サービスアカウントの作成と管理

このページでは、Cloud Identity and Access Management API、Google Cloud Platform Console、gcloud コマンドラインツールを使用してサービスアカウントを作成および管理する方法について説明します。

新しいクラウドプロジェクトを作成すると、Google Cloud Platform（GCP）はそのプロジェクトの下に 1 つの Compute Engine サービスアカウントと 1 つの App Engine サービスアカウントを自動的に作成します。プロジェクトには最大 98 個のサービスアカウントを作成し、リソースへのアクセスを制御できます。

始める前に

IAM サービスアカウントを理解する
gcloud コマンドラインツールをインストールする

必要な権限

ユーザーがサービスアカウントを管理できるようにするには、次のいずれかの役割を付与します。

サービスアカウントユーザー（roles/iam.serviceAccountUser）: サービスアカウントの取得、一覧表示、代理操作を行う権限を付与します。
サービスアカウント管理者（roles/iam.serviceAccountAdmin）: サービスアカウントユーザーの権限に加え、サービスアカウントに対して Cloud IAM ポリシーを作成、更新、削除、設定、取得する権限を付与します。

Cloud IAM の基本の役割には、サービスアカウントを管理するための権限も含まれていますが、他の GCP リソースへの不要なアクセスを防止するために、いずれかの事前定義された役割を付与することをおすすめします。

サーリスアカウントに関連する役割の詳細については、サービスアカウントの役割をご覧ください。

サービスアカウントの作成

サービスアカウントの作成はプロジェクトへのメンバーの追加に似ていますが、サービスアカウントは個々のエンドユーザーではなくアプリケーションに属します。

以下の例では、[SA-NAME] がサービスアカウントの名前です（my-service-account など）。これは一意の識別子で、作成時にプロビジョニングされたサービスアカウントのメールアドレス（my-service-account@project-name.iam.gserviceaccount.com など）に含まれます。他の API でサービスアカウントを更新するときにも使用します。作成後に変更することはできません。[SA-DISPLAY-NAME] はサービスアカウントのわかりやすい名前です。[PROJECT-ID] は Google Cloud Platform プロジェクトの ID です。

サービスアカウントを作成するには、少なくとも、サービスアカウント管理者の役割（roles/iam.serviceAccountAdmin）または編集者の基本の役割（roles/editor）が付与されている必要があります。

Console

GCP Console で [サービスアカウント] ページを開きます。
[サービスアカウント] のページを開く
[プロジェクトを選択] をクリックします。
プロジェクトを選択し、[開く] をクリックします。
[サービスアカウントを作成] をクリックします。
サービスアカウント名を入力し、サービスアカウントに付与する役割を選択して [保存] をクリックします。

gcloud コマンド

gcloud iam service-accounts create コマンドを実行して、サービスアカウントを作成します。

コマンド:

gcloud iam service-accounts create [SA-NAME]
    --display-name "[SA-DISPLAY-NAME]"

出力はサービスアカウントです。

Created service account [SA-NAME].

REST API

serviceAccounts.create() を呼び出して、サービスアカウントを作成します。

POST https://iam.googleapis.com/v1/projects/[PROJECT-ID]/serviceAccounts

リクエストの本文にサービスアカウントのプロパティを含める必要があります。

{
    "accountId": "[SA-NAME]",
    "serviceAccount": {
        "displayName": "[SA-DISPLAY-NAME]",
    }
}

レスポンス:

{
    "name": "projects/PROJECT-ID/serviceAccounts/SA-NAME@PROJECT-ID.iam.gserviceaccount.com",
    "projectId": "PROJECT-ID",
    "uniqueId": "113948692397867021414",
    "email": "SA-NAME@PROJECT-ID.iam.gserviceaccount.com",
    "displayName": "SA-DISPLAY-NAME",
    "etag": "BwUp3rVlzes=",
    "oauth2ClientId": "117249000288840666939"
}

C#

このサンプルを試す前に、Cloud IAM クイックスタート: クライアントライブラリの使用の C# の設定手順に従ってください。詳細については、Cloud IAM C# API のリファレンスドキュメントをご覧ください。

GitHub で表示フィードバック

using System;
using Google.Apis.Auth.OAuth2;
using Google.Apis.Iam.v1;
using Google.Apis.Iam.v1.Data;

public partial class ServiceAccounts
{
    public static ServiceAccount CreateServiceAccount(string projectId,
        string name, string displayName)
    {
        var credential = GoogleCredential.GetApplicationDefault()
            .CreateScoped(IamService.Scope.CloudPlatform);
        var service = new IamService(new IamService.Initializer
        {
            HttpClientInitializer = credential
        });

        var request = new CreateServiceAccountRequest
        {
            AccountId = name,
            ServiceAccount = new ServiceAccount
            {
                DisplayName = displayName
            }
        };
        var serviceAccount = service.Projects.ServiceAccounts.Create(
            request, "projects/" + projectId).Execute();
        Console.WriteLine("Created service account: " + serviceAccount.Email);
        return serviceAccount;
    }
}

Go

このサンプルを試す前に、Cloud IAM クイックスタート: クライアントライブラリの使用の Go の設定手順に従ってください。詳細については、Cloud IAM Go API のリファレンスドキュメントをご覧ください。

GitHub で表示フィードバック

import (
	"context"
	"fmt"
	"io"

	"golang.org/x/oauth2/google"
	iam "google.golang.org/api/iam/v1"
)

// createServiceAccount creates a service account.
func createServiceAccount(w io.Writer, projectID, name, displayName string) (*iam.ServiceAccount, error) {
	client, err := google.DefaultClient(context.Background(), iam.CloudPlatformScope)
	if err != nil {
		return nil, fmt.Errorf("google.DefaultClient: %v", err)
	}
	service, err := iam.New(client)
	if err != nil {
		return nil, fmt.Errorf("iam.New: %v", err)
	}

	request := &iam.CreateServiceAccountRequest{
		AccountId: name,
		ServiceAccount: &iam.ServiceAccount{
			DisplayName: displayName,
		},
	}
	account, err := service.Projects.ServiceAccounts.Create("projects/"+projectID, request).Do()
	if err != nil {
		return nil, fmt.Errorf("Projects.ServiceAccounts.Create: %v", err)
	}
	fmt.Fprintf(w, "Created service account: %v", account)
	return account, nil
}

Java

このサンプルを試す前に、Cloud IAM クイックスタート: クライアントライブラリの使用の Java の設定手順に従ってください。詳細については、Cloud IAM Java API のリファレンスドキュメントをご覧ください。

GitHub で表示フィードバック

public ServiceAccount createServiceAccount(String projectId, String name, String displayName)
    throws IOException {

  ServiceAccount serviceAccount = new ServiceAccount();
  serviceAccount.setDisplayName(displayName);
  CreateServiceAccountRequest request = new CreateServiceAccountRequest();
  request.setAccountId(name);
  request.setServiceAccount(serviceAccount);

  serviceAccount =
      service.projects().serviceAccounts().create("projects/" + projectId, request).execute();

  System.out.println("Created service account: " + serviceAccount.getEmail());
  return serviceAccount;
}

Python

このサンプルを試す前に、Cloud IAM クイックスタート: クライアントライブラリの使用の Python の設定手順に従ってください。詳細については、Cloud IAM Python API のリファレンスドキュメントをご覧ください。

GitHub で表示フィードバック

def create_service_account(project_id, name, display_name):
    """Creates a service account."""

    # pylint: disable=no-member
    service_account = service.projects().serviceAccounts().create(
        name='projects/' + project_id,
        body={
            'accountId': name,
            'serviceAccount': {
                'displayName': display_name
            }
        }).execute()

    print('Created service account: ' + service_account['email'])
    return service_account

サービスアカウントを作成したら、そのサービスアカウントに 1 つ以上の役割を付与し、自分を代行できるようにします。

サービスアカウントの一覧取得

サービスアカウントの一覧を取得する際、パラメータを指定してレスポンスに含まれるサービスアカウントの数を制限できます。残りのサービスアカウントの一覧を取得するには、次のリクエストで ListServiceAccountsResponse.next_page_token を使用します。

このメソッドを使用して、サービスアカウントとキーを監査したり、サービスアカウントの管理用のカスタムツールを作成したりします。

サービスアカウントの一覧を取得するには、少なくとも、サービスアカウントユーザーの役割（roles/iam.serviceAccountUser）または閲覧者の基本の役割（roles/viewer）が付与されている必要があります。

Console

GCP Console で [サービスアカウント] ページを開きます。
[サービスアカウント] ページを開く
[プロジェクトを選択] をクリックします。
プロジェクトを選択し、[開く] をクリックします。[サービスアカウント] ページに、すべてのサービスアカウントが一覧表示されます。

gcloud コマンド

gcloud iam service-accounts list コマンドを実行して、プロジェクト内のすべてのサービスアカウントの一覧を取得します。

コマンド:

gcloud iam service-accounts list

出力はプロジェクト内のすべてのサービスアカウントの一覧です:

NAME                    EMAIL
SA-DISPLAY-NAME-1       SA-NAME-1@PROJECT-ID.iam.gserviceaccount.com
SA-DISPLAY-NAME-2       SA-NAME-2@PROJECT-ID.iam.gserviceaccount.com

REST API

serviceAccounts.list() メソッドを呼び出します。

リクエスト:

GET https://iam.googleapis.com/v1/projects/[PROJECT-ID]/serviceAccounts

レスポンス:

{
    "accounts": [
    {
        "name": "projects/PROJECT-ID/serviceAccounts/SA-NAME-1@PROJECT-ID.iam.gserviceaccount.com",
        "projectId": "PROJECT-ID",
        "uniqueId": "108979773878059201436",
        "email": "SA-NAME-1@PROJECT-ID.iam.gserviceaccount.com",
        "displayName": "SA-DISPLAY-NAME-1",
        "etag": "BwUpTsLVUkQ=",
        "oauth2ClientId": "102240834887833340852"
    },
    {
        "name": "projects/PROJECT-ID/serviceAccounts/SA-NAME-2@PROJECT-ID.iam.gserviceaccount.com",
        "projectId": "PROJECT-ID",
        "uniqueId": "108979773878059201436",
        "email": "SA-NAME-2@PROJECT-ID.iam.gserviceaccount.com",
        "displayName": "SA-DISPLAY-NAME-2",
        "etag": "BwUpTsLVUkQ=",
        "oauth2ClientId": "102240834887833340852"
    }]
}

C#

GitHub で表示フィードバック

using System;
using System.Collections.Generic;
using Google.Apis.Auth.OAuth2;
using Google.Apis.Iam.v1;
using Google.Apis.Iam.v1.Data;

public partial class ServiceAccounts
{
    public static IList<ServiceAccount> ListServiceAccounts(string projectId)
    {
        var credential = GoogleCredential.GetApplicationDefault()
            .CreateScoped(IamService.Scope.CloudPlatform);
        var service = new IamService(new IamService.Initializer
        {
            HttpClientInitializer = credential
        });

        var response = service.Projects.ServiceAccounts.List(
            "projects/" + projectId).Execute();
        foreach (ServiceAccount account in response.Accounts)
        {
            Console.WriteLine("Name: " + account.Name);
            Console.WriteLine("Display Name: " + account.DisplayName);
            Console.WriteLine("Email: " + account.Email);
            Console.WriteLine();
        }
        return response.Accounts;
    }
}

Go

GitHub で表示フィードバック

import (
	"context"
	"fmt"
	"io"

	"golang.org/x/oauth2/google"
	iam "google.golang.org/api/iam/v1"
)

// listServiceAccounts lists a project's service accounts.
func listServiceAccounts(w io.Writer, projectID string) ([]*iam.ServiceAccount, error) {
	client, err := google.DefaultClient(context.Background(), iam.CloudPlatformScope)
	if err != nil {
		return nil, fmt.Errorf("google.DefaultClient: %v", err)
	}
	service, err := iam.New(client)
	if err != nil {
		return nil, fmt.Errorf("iam.New: %v", err)
	}

	response, err := service.Projects.ServiceAccounts.List("projects/" + projectID).Do()
	if err != nil {
		return nil, fmt.Errorf("Projects.ServiceAccounts.List: %v", err)
	}
	for _, account := range response.Accounts {
		fmt.Fprintf(w, "Listing service account: %v\n", account.Name)
	}
	return response.Accounts, nil
}

Java

GitHub で表示フィードバック

public List<ServiceAccount> listServiceAccounts(String projectId) throws IOException {

  ListServiceAccountsResponse response =
      service.projects().serviceAccounts().list("projects/" + projectId).execute();
  List<ServiceAccount> serviceAccounts = response.getAccounts();

  for (ServiceAccount account : serviceAccounts) {
    System.out.println("Name: " + account.getName());
    System.out.println("Display Name: " + account.getDisplayName());
    System.out.println("Email: " + account.getEmail());
    System.out.println();
  }
  return serviceAccounts;
}

Python

GitHub で表示フィードバック

def list_service_accounts(project_id):
    """Lists all service accounts for the current project."""

    # pylint: disable=no-member
    service_accounts = service.projects().serviceAccounts().list(
        name='projects/' + project_id).execute()

    for account in service_accounts['accounts']:
        print('Name: ' + account['name'])
        print('Email: ' + account['email'])
        print(' ')
    return service_accounts

サービスアカウントの名前変更

サービスアカウントの表示名は通常、サービスアカウントの目的や担当者など、そのサービスアカウントに関する追加情報を取得するのに使用されます。

サービスアカウントの名前を変更するには、少なくとも、サービスアカウント管理者の役割（roles/iam.serviceAccountAdmin）または編集者の基本の役割（roles/editor）が付与されている必要があります。

Console

GCP Console で [サービスアカウント] ページを開きます。
[サービスアカウント] ページを開く
[プロジェクトを選択] をクリックします。
プロジェクトを選択し、[開く] をクリックします。
名前を変更するサービスアカウントを見つけて、該当する行の [詳細]（more_vert）ボタンをクリックし、[編集] をクリックします。
新しい名前を入力して [保存] をクリックします。

gcloud コマンド

gcloud iam service-accounts update コマンドを実行して、サービスアカウントを更新します。

コマンド:

gcloud iam service-accounts update
    [SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com
    --display-name "[UPDATED-DISPLAY-NAME]"

出力は名前が変更されたサービスアカウントです。

displayName: Updated display name
email: SA-NAME@PROJECT-ID.iam.gserviceaccount.com
etag: BwUqQpHDCw8=
name: projects/PROJECT-ID/serviceAccounts/SA-NAME@PROJECT-ID.iam.gserviceaccount.com
oauth2ClientId: '112984177383228986143'
projectId: PROJECT-ID
uniqueId: '112984177383228986143'

REST API

serviceAccounts.update() メソッドを使用します。

リクエスト:

PUT https://iam.googleapis.com/v1/projects/[PROJECT-ID]/serviceAccounts/[SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com

リクエストの本文には、新しい表示名、プロジェクト ID、サービスアカウントの一意の ID、サービスアカウントのメールアドレスを含める必要があります。

{
    "displayName":"[UPDATED-DISPLAY-NAME]",
    "etag":"BwUpVKjgNtE=",
    "projectId":"[PROJECT-ID]",
    "uniqueId":"107522985251862639552",
    "email":"[SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com",
}

レスポンス:

{
    "name": "projects/PROJECT-ID/serviceAccounts/SA-NAME@PROJECT-ID.iam.gserviceaccount.com",
    "projectId": "PROJECT-ID",
    "uniqueId": "107522985251862639552",
    "email": "SA-NAME@PROJECT-ID.iam.gserviceaccount.com",
    "displayName": "Updated display name",
    "etag": "BwUqLK4bL9U=",
    "oauth2ClientId": "105236325228757713905"
}

C#

GitHub で表示フィードバック

using System;
using Google.Apis.Auth.OAuth2;
using Google.Apis.Iam.v1;
using Google.Apis.Iam.v1.Data;

public partial class ServiceAccounts
{
    public static ServiceAccount RenameServiceAccount(string email,
        string newDisplayName)
    {
        var credential = GoogleCredential.GetApplicationDefault()
            .CreateScoped(IamService.Scope.CloudPlatform);
        var service = new IamService(new IamService.Initializer
        {
            HttpClientInitializer = credential
        });

        // First, get a ServiceAccount using List() or Get().
        string resource = "projects/-/serviceAccounts/" + email;
        var serviceAccount = service.Projects.ServiceAccounts.Get(resource)
            .Execute();
        // Then you can update the display name.
        serviceAccount.DisplayName = newDisplayName;
        serviceAccount = service.Projects.ServiceAccounts.Update(
            serviceAccount, resource).Execute();
        Console.WriteLine($"Updated display name for {serviceAccount.Email} " +
            "to: " + serviceAccount.DisplayName);
        return serviceAccount;
    }
}

Go

GitHub で表示フィードバック

import (
	"context"
	"fmt"
	"io"

	"golang.org/x/oauth2/google"
	iam "google.golang.org/api/iam/v1"
)

// renameServiceAccount renames a service account.
func renameServiceAccount(w io.Writer, email, newDisplayName string) (*iam.ServiceAccount, error) {
	client, err := google.DefaultClient(context.Background(), iam.CloudPlatformScope)
	if err != nil {
		return nil, fmt.Errorf("google.DefaultClient: %v", err)
	}
	service, err := iam.New(client)
	if err != nil {
		return nil, fmt.Errorf("iam.New: %v", err)
	}

	// First, get a ServiceAccount using List() or Get().
	resource := "projects/-/serviceAccounts/" + email
	serviceAccount, err := service.Projects.ServiceAccounts.Get(resource).Do()
	if err != nil {
		return nil, fmt.Errorf("Projects.ServiceAccounts.Get: %v", err)
	}
	// Then you can update the display name.
	serviceAccount.DisplayName = newDisplayName
	serviceAccount, err = service.Projects.ServiceAccounts.Update(resource, serviceAccount).Do()
	if err != nil {
		return nil, fmt.Errorf("Projects.ServiceAccounts.Update: %v", err)
	}

	fmt.Fprintf(w, "Updated service account: %v", serviceAccount.Email)
	return serviceAccount, nil
}

Java

GitHub で表示フィードバック

public ServiceAccount renameServiceAccount(String email, String newDisplayName)
    throws IOException {

  // First, get a service account using List() or Get()
  ServiceAccount serviceAccount =
      service.projects().serviceAccounts().get("projects/-/serviceAccounts/" + email).execute();

  // Then you can update the display name
  serviceAccount.setDisplayName(newDisplayName);
  service.projects().serviceAccounts().update(serviceAccount.getName(), serviceAccount).execute();

  System.out.println(
      "Updated display name for " + serviceAccount.getName() + " to: " + newDisplayName);
  return serviceAccount;
}

Python

GitHub で表示フィードバック

def rename_service_account(email, new_display_name):
    """Changes a service account's display name."""

    # First, get a service account using List() or Get()
    resource = 'projects/-/serviceAccounts/' + email
    # pylint: disable=no-member
    service_account = service.projects().serviceAccounts().get(
        name=resource).execute()

    # Then you can update the display name
    service_account['displayName'] = new_display_name
    service_account = service.projects().serviceAccounts().update(
        name=resource, body=service_account).execute()

    print('Updated display name for {} to: {}'.format(
        service_account['email'], service_account['displayName']))
    return service_account

サービスアカウントの削除

サービスアカウントを削除すると、アプリケーションはそのサービスアカウントを使用して Google Cloud Platform リソースにアクセスすることができなくなります。デフォルトの App Engine サービスアカウントと Compute Engine サービスアカウントを削除すると、インスタンスがプロジェクト内のリソースにアクセスできなくなります。

慎重に削除してください。サービスアカウントを削除する前に、重要なアプリケーションがそのサービスアカウントを使用していないことを確認してください。サービスアカウントが使用されているかどうかわからない場合は、削除する前にサービスアカウントを無効にすることをおすすめします。無効になっているサービスアカウントがまだ使用中の場合は、簡単に有効にできます。

サービスアカウントが削除されても、役割のバインディングはすぐには削除されません。最大期間の 60 日が過ぎると、システムから自動的に削除されます。

サービスアカウントを削除するには、少なくとも、サービスアカウント管理者の役割（roles/iam.serviceAccountAdmin）または編集者の基本の役割（roles/editor）が付与されている必要があります。

Console

GCP Console で [サービスアカウント] ページを開きます。
[サービスアカウント] ページを開く
[プロジェクトを選択] をクリックします。
プロジェクトを選択し、[開く] をクリックします。
削除するサービスアカウントを選択して（複数選択も可）、[削除]（delete）をクリックします。

gcloud コマンド

gcloud iam service-accounts delete コマンドを実行して、サービスアカウントを削除します。

コマンド:

gcloud iam service-accounts delete
  [SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com

出力:

Deleted service account SA-NAME@PROJECT-ID.iam.gserviceaccount.com

REST API

serviceAccounts.delete() メソッドを使用します。

DELETE https://iam.googleapis.com/v1/projects/[PROJECT-ID]/serviceAccounts/[SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com

C#

GitHub で表示フィードバック

using System;
using Google.Apis.Auth.OAuth2;
using Google.Apis.Iam.v1;

public partial class ServiceAccounts
{
    public static void DeleteServiceAccount(string email)
    {
        var credential = GoogleCredential.GetApplicationDefault()
            .CreateScoped(IamService.Scope.CloudPlatform);
        var service = new IamService(new IamService.Initializer
        {
            HttpClientInitializer = credential
        });

        string resource = "projects/-/serviceAccounts/" + email;
        service.Projects.ServiceAccounts.Delete(resource).Execute();
        Console.WriteLine("Deleted service account: " + email);
    }
}

Go

GitHub で表示フィードバック

import (
	"context"
	"fmt"
	"io"

	"golang.org/x/oauth2/google"
	iam "google.golang.org/api/iam/v1"
)

// deleteServiceAccount deletes a service account.
func deleteServiceAccount(w io.Writer, email string) error {
	client, err := google.DefaultClient(context.Background(), iam.CloudPlatformScope)
	if err != nil {
		return fmt.Errorf("google.DefaultClient: %v", err)
	}
	service, err := iam.New(client)
	if err != nil {
		return fmt.Errorf("iam.New: %v", err)
	}

	_, err = service.Projects.ServiceAccounts.Delete("projects/-/serviceAccounts/" + email).Do()
	if err != nil {
		return fmt.Errorf("Projects.ServiceAccounts.Delete: %v", err)
	}
	fmt.Fprintf(w, "Deleted service account: %v", email)
	return nil
}

Java

GitHub で表示フィードバック

public void deleteServiceAccount(String email) throws IOException {

  service.projects().serviceAccounts().delete("projects/-/serviceAccounts/" + email).execute();

  System.out.println("Deleted service account: " + email);
}

Python

GitHub で表示フィードバック

def delete_service_account(email):
    """Deletes a service account."""

    # pylint: disable=no-member
    service.projects().serviceAccounts().delete(
        name='projects/-/serviceAccounts/' + email).execute()

    print('Deleted service account: ' + email)

サービスアカウントを削除した後に、同じ名前で新しいサービスアカウントを作成しないでください。予期しない動作が起こる可能性があります。詳細については、サービスアカウントの削除と再作成をご覧ください。

サービスアカウントの無効化

サービスアカウントを削除する場合と同様に、サービスアカウントを無効にすると、アプリケーションはそのサービスアカウントで GCP リソースにアクセスできなくなります。デフォルトの App Engine サービスアカウントと Compute Engine サービスアカウントを無効にすると、インスタンスがプロジェクト内のリソースにアクセスできなくなります。すでに無効になっているサービスアカウントを無効にしようとしても、効果はありません。

サービスアカウントの削除と異なり、無効になったサービスアカウントは必要に応じて簡単に有効にできます。重要なアプリケーションがサービスアカウントを使用しないように、削除する前にサービスアカウントを無効にすることをおすすめします。

サービスアカウントを無効にするには、少なくとも、サービスアカウント管理者の役割（roles/iam.serviceAccountAdmin）または編集者の基本の役割（roles/editor）が付与されている必要があります。

gcloud コマンド

gcloud alpha iam service-accounts disable コマンドを実行して、サービスアカウントを無効にします。

コマンド:

gcloud alpha iam service-accounts delete
  [SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com

出力:

Disabled service account SA-NAME@PROJECT-ID.iam.gserviceaccount.com

REST API

serviceAccounts.disable() メソッドを使用します。

POST https://iam.googleapis.com/v1/projects/[PROJECT-ID]/serviceAccounts/[SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com:disable

サービスアカウントの有効化

無効になったサービスアカウントを有効にすると、アプリケーションはそのサービスアカウントで GCP リソースにアクセスできるようになります。

無効になっているサービスアカウントは、必要なときにいつでも有効にできます。すでに有効になっているサービスアカウントを有効にしようとしても、効果はありません。

サービスアカウントを有効にするには、少なくとも、サービスアカウント管理者の役割（roles/iam.serviceAccountAdmin）または編集者の基本の役割（roles/editor）が付与されている必要があります。

gcloud コマンド

gcloud alpha iam service-accounts enable コマンドを実行して、サービスアカウントを有効にします。

コマンド:

gcloud alpha iam service-accounts enable
  [SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com

出力:

Enabled service account SA-NAME@PROJECT-ID.iam.gserviceaccount.com

REST API

serviceAccounts.enable() メソッドを使用します。

POST https://iam.googleapis.com/v1/projects/[PROJECT-ID]/serviceAccounts/[SA-NAME]@[PROJECT-ID].iam.gserviceaccount.com:enable

次のステップ

サービスアカウントキーを作成、管理する方法について学ぶ。
IAM の役割をサービスアカウントに付与する方法について学ぶ。

サービス アカウントの作成と管理

始める前に

必要な権限

サービス アカウントの作成

Console

gcloud コマンド

REST API

C#

Go

Java

Python

サービス アカウントの一覧取得

Console

gcloud コマンド

REST API

C#

Go

Java

Python

サービス アカウントの名前変更

Console

gcloud コマンド

REST API

C#

Go

Java

Python

サービス アカウントの削除

Console

gcloud コマンド

REST API

C#

Go

Java

Python

サービス アカウントの無効化

gcloud コマンド

REST API

サービス アカウントの有効化

gcloud コマンド

REST API

次のステップ

フィードバックを送信...

サービスアカウントの作成

サービスアカウントの一覧取得

サービスアカウントの名前変更

サービスアカウントの削除

サービスアカウントの無効化

サービスアカウントの有効化