サービスアカウントの作成と管理

このページでは、Google Cloud Identity and Access Management API、Google Cloud Platform Console、gcloud コマンドラインツールを使用してサービスアカウントを作成し、管理する方法について説明します。

新しい Cloud プロジェクトを作成すると、Google Cloud Platform により自動的に Compute Engine サービスアカウントと App Engine サービスアカウントが 1 つずつそのプロジェクトに作成されます。プロジェクトには最大 98 個のサービスアカウントを作成し、リソースへのアクセスを制御することができます。

始める前に

IAM サービスアカウントを理解する
gcloud コマンドラインツールをインストールする

サービスアカウントを作成する

サービスアカウントの作成は、プロジェクトにメンバーを追加する手順と同様ですが、サービスアカウントは個々のエンドユーザーではなくアプリケーションに属します。

API

以下に示すコードの例では、serviceAccounts.create() メソッドを使用してプロジェクト my-project-123 に my service account という名前の新しいサービスアカウントを作成します。

API で、次に対する POST リクエストを作成します。

https://iam.googleapis.com/v1/projects/my-project-123/serviceAccounts

リクエストの本文には、新しいサービスアカウントの作成に必要なプロパティとして、そのサービスアカウントの ID と表示名を指定する必要があります。ID は、サービスアカウントのメールアドレスを作成するのに使用されます。サービスアカウントの表示名は後で変更できますが、サービスアカウントの作成後にサービスアカウント ID を変更することはできません。

{
    "accountId": "my-sa-123",
    "serviceAccount": {
        "displayName": "my service account",
    }
}

レスポンス:

{
    "name": "projects/my-project-123/serviceAccounts/my-sa-123@my-project-123.iam.gserviceaccount.com",
    "projectId": "my-project-123",
    "uniqueId": "113948692397867021414",
    "email": "my-sa-123@my-project-123.iam.gserviceaccount.com",
    "displayName": "my service account",
    "etag": "BwUp3rVlzes=",
    "oauth2ClientId": "117249000288840666939"
}

Console

Cloud Platform Console で [サービスアカウント] ページを開きます。
[サービスアカウント] ページを開く
[プロジェクトを選択] をクリックします。
プロジェクトを選択し、[開く] をクリックします。
[サービスアカウントを作成] をクリックします。
サービスアカウント名を入力し、そのサービスアカウントに付与する役割を選択して、[作成] をクリックします。

gcloud

サービスアカウントを作成するには、次のコマンドを実行します。

gcloud iam service-accounts create my-sa-123 --display-name "my service account"

コマンドの出力にはサービスアカウントが表示されます。これはたとえば以下のようになります。

displayName: my service account
email: my-sa-123@my-project-123.iam.gserviceaccount.com
etag: BwUqQpHDCw8=
name: projects/my-project-123/serviceAccounts/my-sa-123@my-project-123.iam.gserviceaccount.com
oauth2ClientId: '112984177383228986143'
projectId: my-project-123
uniqueId: '112984177383228986143'

サービスアカウントを作成したら、そのサービスアカウントに 1 つ以上の役割を付与し、自分を代行できるようにします。

サービスアカウントの一覧取得

サービスアカウントの一覧を取得する際、パラメータを指定してレスポンスに含まれるサービスアカウントの数を制限することができます。残りのサービスアカウントの一覧を取得するには、次のリクエストで ListServiceAccountsResponse.next_page_token を使用します。

このメソッドを使用して、サービスアカウントとキーの監査や、サービスアカウントの管理に使用するカスタムツールのビルドを行います。

API

以下のコードにより、my-project-123 のすべてのサービスアカウントがリスト表示されます。

リクエスト:

GET https://iam.googleapis.com/v1/projects/my-project-123/serviceAccounts

レスポンス:

{
    "accounts": [
    {
        "name": "projects/my-project-123/serviceAccounts/sa-1@my-project-123.iam.gserviceaccount.com",
        "projectId": "my-project-123",
        "uniqueId": "108979773878059201436",
        "email": "sa-1@my-project-123.iam.gserviceaccount.com",
        "displayName": "service account 1",
        "etag": "BwUpTsLVUkQ=",
        "oauth2ClientId": "102240834887833340852"
    },
    {
        "name": "projects/my-project-123/serviceAccounts/835469197146-compute@developer.gserviceaccount.com",
        "projectId": "my-project-123",
        "uniqueId": "117077288574069305058",
        "email": "835469197146-compute@developer.gserviceaccount.com",
        "displayName": "Compute Engine Default Service Account",
        "etag": "BwUomgwvClk=",
        "oauth2ClientId": "101236303957024449895"
    },
    {
        "name": "projects/my-project-123/serviceAccounts/sa-2@my-project-123.iam.gserviceaccount.com",
        "projectId": "my-project-123",
        "uniqueId": "109687856497850065438",
        "email": "sa-2@my-project-123.iam.gserviceaccount.com",
        "displayName": "service account 2",
        "etag": "BwUqKUzcGRM=",
        "oauth2ClientId": "105236325228757713905"
    },

    . . .

    ]
}

Console

Cloud Platform Console で [サービスアカウント] ページを開きます。
[サービスアカウント] ページを開く
[プロジェクトを選択] をクリックします。
プロジェクトを選択し、[開く] をクリックします。[サービスアカウント] のページにすべてのサービスアカウントが一覧表示されます。

gcloud

サービスアカウントの一覧を取得するには、次のコマンドを実行します。

gcloud iam service-accounts list

コマンドの出力にはすべてのサービスアカウントのリストが表示されます。これはたとえば以下のようになります。

NAME                                    EMAIL
my service account 1                    my-sa-1@my-project-123.iam.gserviceaccount.com
my service account 2                    my-sa-2@my-project-123.iam.gserviceaccount.com
. . .

サービスアカウントの名前変更

サービスアカウントの表示名は通常、サービスアカウントの目的や担当者など、そのサービスアカウントに関する追加情報を取得するのに使用されます。

API

既存のサービスアカウントの表示名は、serviceAccounts.update() メソッドを使用して変更します。

リクエスト:

PUT https://iam.googleapis.com/v1/projects/my-project-123/serviceAccounts/my-sa-123@my-project-123.iam.gserviceaccount.com

リクエストの本文には、新しい表示名、プロジェクト ID、サービスアカウントの一意の ID、サービスアカウントのメールアドレスを含める必要があります。

{
    "displayName":"my service account",
    "etag":"BwUpVKjgNtE=",
    "projectId":"my-project-123",
    "uniqueId":"107522985251862639552",
    "email":"my-sa-123@my-project-123.iam.gserviceaccount.com",
}

レスポンス:

{
    "name": "projects/my-project-123/serviceAccounts/my-sa-123@my-project-123.iam.gserviceaccount.com",
    "projectId": "my-project-123",
    "uniqueId": "107522985251862639552",
    "email": "my-sa-123@my-project-123.iam.gserviceaccount.com",
    "displayName": "my service account",
    "etag": "BwUqLK4bL9U=",
    "oauth2ClientId": "105236325228757713905"
}

Console

Cloud Platform Console で [サービスアカウント] ページを開きます。
[サービスアカウント] ページを開く
[プロジェクトを選択] をクリックします。
プロジェクトを選択し、[開く] をクリックします。
名前を変更するサービスアカウントを見つけ、その行の丸が縦に並んだボタンをクリックして、[編集] をクリックします。
新しい名前を入力して [保存] をクリックします。

gcloud

サービスアカウントの名前を変更するには:

gcloud iam service-accounts update \
    my-sa-123@my-project-123.iam.gserviceaccount.com \
    --display-name "updated service account"

コマンドの出力には名前を変更したサービスアカウントが表示されます。これはたとえば以下のようになります。

displayName: updated service account
email: my-sa-123@my-project-123.iam.gserviceaccount.com
etag: BwUqQpHDCw8=
name: projects/my-project-123/serviceAccounts/my-sa-123@my-project-123.iam.gserviceaccount.com
oauth2ClientId: '112984177383228986143'
projectId: my-project-123
uniqueId: '112984177383228986143'

サービスアカウントの削除

サービスアカウントを削除すると、アプリケーションはそのサービスアカウントを使用して Google Cloud Platform リソースにアクセスすることができなくなります。デフォルトの App Engine と Compute Engine のサービスアカウントを削除すると、インスタンスはプロジェクトのリソースにアクセスできなくなります。そのため、削除は注意して行う必要があります。サービスアカウントを削除する前に、重要なアプリケーションがそのサービスアカウントを使用していないことを確認してください。

API

既存のサービスアカウントは serviceAccounts.delete() メソッドを使用して削除できます。

以下のリクエストは、my-project-123 プロジェクトの my-sa-123 サービスアカウントを削除します。

DELETE https://iam.googleapis.com/v1/projects/my-project-123/serviceAccounts/my-sa-123@my-project-123.iam.gserviceaccount.com

Console

Cloud Platform Console で [サービスアカウント] ページを開きます。
[サービスアカウント] ページを開く
[プロジェクトを選択] をクリックします。
プロジェクトを選択し、[開く] をクリックします。
削除するサービスアカウントを選択して、[削除] をクリックします。

gcloud

サービスアカウントを削除するには次のコマンドを実行します。

gcloud iam service-accounts delete \
    my-sa-123@my-project-123.iam.gserviceaccount.com

コマンドの出力には次のようなメッセージが表示されます。

deleted service account [my-sa-123@my-project-123.iam.gserviceaccount.com]

次のステップ

サービスアカウントキーを作成、管理する方法について学ぶ。
IAM の役割をサービスアカウントに付与する方法について学ぶ。

始める前に

サービスアカウントを作成する

API

Console

gcloud

サービスアカウントの一覧取得

API

Console

gcloud

サービスアカウントの名前変更

API

Console

gcloud

サービスアカウントの削除

API

Console

gcloud

次のステップ

外出先でもリソースをモニタリング

フィードバックを送信...

サービス アカウントの作成と管理

始める前に

サービス アカウントを作成する

API

Console

gcloud

サービス アカウントの一覧取得

API

Console

gcloud

サービス アカウントの名前変更

API

Console

gcloud

サービス アカウントの削除

API

Console

gcloud

次のステップ

外出先でもリソースをモニタリング

フィードバックを送信...

サービスアカウントの作成と管理

サービスアカウントを作成する

サービスアカウントの一覧取得

サービスアカウントの名前変更

サービスアカウントの削除