サービスアカウントの作成と管理

このページでは、Cloud Identity and Access Management API、Google Cloud Platform Console、gcloud コマンドラインツールを使用してサービスアカウントを作成および管理する方法について説明します。

新しいクラウドプロジェクトを作成すると、Google Cloud Platform（GCP）はそのプロジェクトの下に 1 つの Compute Engine サービスアカウントと 1 つの App Engine サービスアカウントを自動的に作成します。プロジェクトには最大 98 個のサービスアカウントを作成し、リソースへのアクセスを制御できます。

始める前に

IAM サービスアカウントを理解する
gcloud コマンドラインツールをインストールする

必要な権限

ユーザーがサービスアカウントを管理できるようにするには、次のいずれかの役割を付与します。

サービスアカウントユーザー (roles/iam.serviceAccountUser): サービスアカウントを取得、一覧表示、偽装する権限が付与されます。
サービスアカウント管理者 (roles/iam.serviceAccountAdmin): サービスアカウントユーザーの権限に加えて、サービスアカウントで Cloud IAM ポリシーを作成、更新、削除、設定、取得する権限が付与されます。

Cloud IAM の基本の役割には、サービスアカウントを管理するための権限も含まれていますが、他の GCP リソースへの不要なアクセスを防止するために、いずれかの事前定義された役割を付与することをおすすめします。

サーリスアカウントに関連する役割の詳細については、サービスアカウントの役割をご覧ください。

サービスアカウントの作成

サービスアカウントの作成はプロジェクトへのメンバーの追加に似ていますが、サービスアカウントは個々のエンドユーザーではなくアプリケーションに属します。

以下の例で、[SA-NAME] はサービスアカウントの名前です。これは一意の識別子です。サービスアカウントのメールアドレスに表示され、サービスアカウントを他の API で更新するために使用されます。一度作成したら変更はできません。[SA-DISPLAY-NAME] はサービスアカウント用のわかりやすい名前です。[PROJECT-ID] は Google Cloud Platform プロジェクトの ID です。

サービスアカウントを作成するには、少なくとも、サービスアカウント管理者の役割（roles/iam.serviceAccountAdmin）または編集者の基本の役割（roles/editor）をユーザーに付与する必要があります。

Console

GCP Console で [サービスアカウント] ページを開きます。
[サービスアカウント] のページを開く
[プロジェクトを選択] をクリックします。
プロジェクトを選択し、[開く] をクリックします。
[サービスアカウントを作成] をクリックします。
サービスアカウント名を入力し、サービスアカウントに付与する役割を選択して [保存] をクリックします。

gcloud コマンド

gcloud iam service-accounts create コマンドを実行して、サービスアカウントを作成します。

コマンド:

gcloud iam service-accounts create [SA-NAME]
    --display-name "[SA-DISPLAY-NAME]"

出力はサービスアカウントです。

Created service account [SA-NAME].

REST API

serviceAccounts.create() を呼び出して、サービスアカウントを作成します。

POST https://iam.googleapis.com/v1/projects/[PROJECT-ID]/serviceAccounts

リクエストの本文にサービスアカウントのプロパティを含める必要があります。

{
    "accountId": "[SA-NAME]",
    "serviceAccount": {
        "displayName": "[SA-DISPLAY-NAME]",
    }
}

レスポンス:

{
    "name": "projects/PROJECT-ID/serviceAccounts/SA-NAME@PROJECT-ID.iam.gserviceaccount.com",
    "projectId": "PROJECT-ID",
    "uniqueId": "113948692397867021414",
    "email": "SA-NAME@PROJECT-ID.iam.gserviceaccount.com",
    "displayName": "SA-DISPLAY-NAME",
    "etag": "BwUp3rVlzes=",
    "oauth2ClientId": "117249000288840666939"
}

C#

Cloud IAM クライアントのインストールと作成の詳細については、Cloud IAM クライアントライブラリをご覧ください。

GitHub で表示フィードバック

public static ServiceAccount CreateServiceAccount(string projectId,
    string name, string displayName)
{
    var request = new CreateServiceAccountRequest
    {
        AccountId = name,
        ServiceAccount = new ServiceAccount
        {
            DisplayName = displayName
        }
    };

    ServiceAccount serviceAccount = s_iam.Projects.ServiceAccounts
        .Create(request, "projects/" + projectId).Execute();

    Console.WriteLine("Created service account: " + serviceAccount.Email);
    return serviceAccount;
}

サービスアカウントを作成したら、そのサービスアカウントに 1 つ以上の役割を付与し、自分を代行できるようにします。

サービスアカウントの一覧取得

サービスアカウントの一覧を取得する際、パラメータを指定してレスポンスに含まれるサービスアカウントの数を制限することができます。残りのサービスアカウントの一覧を取得するには、次のリクエストで ListServiceAccountsResponse.next_page_token を使用します。

このメソッドを使用して、サービスアカウントとキーを監査したり、サービスアカウントの管理用のカスタムツールを作成したりします。

サービスアカウントの一覧を取得するには、少なくとも、サービスアカウントユーザーの役割（roles/iam.serviceAccountUser）または閲覧者の基本の役割（roles/viewer）をユーザーに付与する必要があります。

Console

GCP Console で [サービスアカウント] ページを開きます。
[サービスアカウント] ページを開く
[プロジェクトを選択] をクリックします。
プロジェクトを選択し、[開く] をクリックします。[サービスアカウント] のページにすべてのサービスアカウントが一覧表示されます。

gcloud コマンド

gcloud iam service-accounts list コマンドを実行して、プロジェクト内のすべてのサービスアカウントの一覧を取得します。

コマンド:

gcloud iam service-accounts list

出力はプロジェクト内のすべてのサービスアカウントの一覧です:

NAME                    EMAIL
SA-DISPLAY-NAME-1       SA-NAME-1@PROJECT-ID.iam.gserviceaccount.com
SA-DISPLAY-NAME-2       SA-NAME-2@PROJECT-ID.iam.gserviceaccount.com

REST API

serviceAccounts.list() メソッドを呼び出します。

リクエスト:

GET https://iam.googleapis.com/v1/projects/[PROJECT-ID]/serviceAccounts

レスポンス:

{
    "accounts": [
    {
        "name": "projects/PROJECT-ID/serviceAccounts/SA-NAME-1@PROJECT-ID.iam.gserviceaccount.com",
        "projectId": "PROJECT-ID",
        "uniqueId": "108979773878059201436",
        "email": "SA-NAME-1@PROJECT-ID.iam.gserviceaccount.com",
        "displayName": "SA-DISPLAY-NAME-1",
        "etag": "BwUpTsLVUkQ=",
        "oauth2ClientId": "102240834887833340852"
    },
    {
        "name": "projects/PROJECT-ID/serviceAccounts/SA-NAME-2@PROJECT-ID.iam.gserviceaccount.com",
        "projectId": "PROJECT-ID",
        "uniqueId": "108979773878059201436",
        "email": "SA-NAME-2@PROJECT-ID.iam.gserviceaccount.com",
        "displayName": "SA-DISPLAY-NAME-2",
        "etag": "BwUpTsLVUkQ=",
        "oauth2ClientId": "102240834887833340852"
    }]
}

C#

Cloud IAM クライアントのインストールと作成の詳細については、Cloud IAM クライアントライブラリをご覧ください。

GitHub で表示フィードバック

public static IList<ServiceAccount> ListServiceAccounts(string projectId)
{
    ListServiceAccountsResponse response = s_iam.Projects.ServiceAccounts
        .List("projects/" + projectId).Execute();
    IList<ServiceAccount> serviceAccounts = response.Accounts;

    foreach (ServiceAccount account in serviceAccounts)
    {
        Console.WriteLine("Name: " + account.Name);
        Console.WriteLine("Display Name: " + account.DisplayName);
        Console.WriteLine("Email: " + account.Email);
        Console.WriteLine();
    }
    return serviceAccounts;
}

サービスアカウントの名前変更

サービスアカウントの表示名は通常、サービスアカウントの目的や担当者など、そのサービスアカウントに関する追加情報を取得するのに使用されます。

サービスアカウントの名前を変更するには、少なくとも、サービスアカウント管理者の役割（roles/iam.serviceAccountAdmin）または編集者の基本の役割（roles/editor）をユーザーに付与する必要があります。

Console

GCP Console で [サービスアカウント] ページを開きます。
[サービスアカウント] ページを開く
[プロジェクトを選択] をクリックします。
プロジェクトを選択し、[開く] をクリックします。
名前を変更するサービスアカウントを見つけて、該当行の [詳細] more_vert ボタンをクリックし、[編集] をクリックします。
新しい名前を入力して [保存] をクリックします。

gcloud コマンド

gcloud iam service-accounts update コマンドを実行して、サービスアカウントを更新します。

コマンド:

gcloud iam service-accounts update
    [SA-NAME]@[PROJECT-ID]iam.gserviceaccount.com
    --display-name "[UPDATED-DISPLAY-NAME]"

出力は名前が変更されたサービスアカウントです。

displayName: Updated display name
email: SA-NAME@PROJECT-ID.iam.gserviceaccount.com
etag: BwUqQpHDCw8=
name: projects/PROJECT-ID/serviceAccounts/SA-NAME@PROJECT-ID.iam.gserviceaccount.com
oauth2ClientId: '112984177383228986143'
projectId: PROJECT-ID
uniqueId: '112984177383228986143'

REST API

serviceAccounts.update() メソッドを使用します。

リクエスト:

PUT https://iam.googleapis.com/v1/projects/[PROJECT-ID]/serviceAccounts/[SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com

リクエストの本文には、新しい表示名、プロジェクト ID、サービスアカウントの一意の ID、サービスアカウントのメールアドレスを含める必要があります。

{
    "displayName":"[UPDATED-DISPLAY-NAME]",
    "etag":"BwUpVKjgNtE=",
    "projectId":"[PROJECT-ID]",
    "uniqueId":"107522985251862639552",
    "email":"[SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com",
}

レスポンス:

{
    "name": "projects/PROJECT-ID/serviceAccounts/SA-NAME@PROJECT-ID.iam.gserviceaccount.com",
    "projectId": "PROJECT-ID",
    "uniqueId": "107522985251862639552",
    "email": "SA-NAME@PROJECT-ID.iam.gserviceaccount.com",
    "displayName": "Updated display name",
    "etag": "BwUqLK4bL9U=",
    "oauth2ClientId": "105236325228757713905"
}

C#

Cloud IAM クライアントのインストールと作成の詳細については、Cloud IAM クライアントライブラリをご覧ください。

GitHub で表示フィードバック

public static ServiceAccount RenameServiceAccount(string email,
    string newDisplayName)
{
    // First, get a ServiceAccount using List() or Get()
    string resource = "projects/-/serviceAccounts/" + email;
    ServiceAccount serviceAccount = s_iam.Projects.ServiceAccounts
        .Get(resource).Execute();

    // Then you can update the display name
    serviceAccount.DisplayName = newDisplayName;
    serviceAccount = s_iam.Projects.ServiceAccounts.Update(
        serviceAccount, resource).Execute();

    Console.WriteLine($"Updated display name for {serviceAccount.Email} " +
        "to: " + serviceAccount.DisplayName);
    return serviceAccount;
}

サービスアカウントの削除

サービスアカウントを削除すると、アプリケーションはそのサービスアカウントを使用して Google Cloud Platform リソースにアクセスすることができなくなります。デフォルトの App Engine サービスアカウントと Compute Engine サービスアカウントを削除すると、インスタンスがプロジェクト内のリソースにアクセスできなくなります。慎重に削除してください。サービスアカウントを削除する前に、重要なアプリケーションがそのサービスアカウントを使用していないことを確認してください。

サービスアカウントを削除するには、少なくとも、サービスアカウント管理者の役割（roles/iam.serviceAccountAdmin）または編集者の基本の役割（roles/editor）をユーザーに付与する必要があります。

Console

GCP Console で [サービスアカウント] ページを開きます。
[サービスアカウント] ページを開く
[プロジェクトを選択] をクリックします。
プロジェクトを選択し、[開く] をクリックします。
削除するサービスアカウントを選択して（複数選択も可）、[削除] delete をクリックします。

gcloud コマンド

gcloud iam service-accounts delete コマンドを実行して、サービスアカウントを削除します。

コマンド:

gcloud iam service-accounts delete
  [SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com

出力:

Deleted service account SA-NAME@PROJECT-ID.iam.gserviceaccount.com

REST API

serviceAccounts.delete() メソッドを使用します。

DELETE https://iam.googleapis.com/v1/projects/[PROJECT-ID]/serviceAccounts/[SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com

C#

Cloud IAM クライアントのインストールと作成の詳細については、Cloud IAM クライアントライブラリをご覧ください。

GitHub で表示フィードバック

public static void DeleteServiceAccount(string email)
{
    string resource = "projects/-/serviceAccounts/" + email;
    s_iam.Projects.ServiceAccounts.Delete(resource).Execute();

    Console.WriteLine("Deleted service account: " + email);
}

次のステップ

サービスアカウントキーを作成、管理する方法について学ぶ。
IAM の役割をサービスアカウントに付与する方法について学ぶ。

サービス アカウントの作成と管理

始める前に

必要な権限

サービス アカウントの作成

Console

gcloud コマンド

REST API

C#

サービス アカウントの一覧取得

Console

gcloud コマンド

REST API

C#

サービス アカウントの名前変更

Console

gcloud コマンド

REST API

C#

サービス アカウントの削除

Console

gcloud コマンド

REST API

C#

次のステップ

フィードバックを送信...

サービスアカウントの作成

サービスアカウントの一覧取得

サービスアカウントの名前変更

サービスアカウントの削除