サービスアカウントの権限借用の管理

このページでは、プリンシパルとリソースに Identity and Access Management（IAM）サービスアカウントの権限借用を許可する方法について説明します。また、特定の IAM サービスアカウントの権限を借用できるプリンシパルを確認する方法についても説明します。

始める前に

Enable the IAM and Resource Manager APIs.
Enable the APIs
IAM のサービスアカウントの仕組みを理解しておく必要があります。

プリンシパルにサービスアカウントの権限借用を許可する

プリンシパルにサービスアカウントの権限借用を許可する事前定義ロールがいくつかあります。

サービスアカウントユーザー（roles/iam.serviceAccountUser）: このロールには iam.serviceAccounts.actAs 権限が含まれており、プリンシパルは、サービスアカウントがアクセスできるすべてのリソースに間接的にアクセスできます。たとえば、プリンシパルにサービスアカウントのサービスアカウントユーザーロールが付与され、サービスアカウントにプロジェクトの Cloud SQL 管理者ロール（roles/cloudsql.admin）が付与されている場合、このプリンシパルはサービスアカウントして Cloud SQL インスタンスを作成できます。

また、このページで説明するように、プリンシパルは、このロールでもサービスアカウントをリソースに適用できます。

このロールでは、プリンシパルがサービスアカウントの有効期間が短い認証情報を作成することや、Google Cloud CLI の --impersonate-service-account フラグを使用することはできません。こうしたタスクを完了するには、サービスアカウントトークン作成者ロールも必要です。
サービスアカウントトークン作成者（roles/iam.serviceAccountTokenCreator）: このロールにより、プリンシパルがサービスアカウントの権限を借用でき、次のことを行います。
- Google API での認証に使用できる OAuth 2.0 アクセストークンを作成する
- OpenID Connect（OIDC）ID トークンを作成する
- 認証に使用できるように JSON ウェブトークン（JWT）とバイナリ blob に署名する
詳細については、有効期間が短いサービスアカウント認証情報の作成をご覧ください。

このロールの権限は次のとおりです。
- iam.serviceAccounts.getAccessToken: OAuth 2.0 アクセストークンの作成
- iam.serviceAccounts.getOpenIdToken: OpenID Connect（OICD）ID トークンの作成
- iam.serviceAccounts.implicitDelegation: サービスアカウントによる委任チェーンでのトークンの取得
- iam.serviceAccounts.signBlob: バイナリ blob への署名
- iam.serviceAccounts.signJwt: JWT への署名
Workload Identity ユーザー（roles/iam.workloadIdentityUser）: このロールにより、プリンシパルは GKE ワークロードのサービスアカウントの権限を借用できます。

このロールの権限は次のとおりです。
- iam.serviceAccounts.getAccessToken: OAuth 2.0 アクセストークンの作成
- iam.serviceAccounts.getOpenIdToken: OpenID Connect（OICD）ID トークンの作成

また、別の事前定義ロールや、サービスアカウントの権限を借用するカスタムロールを付与することもできます。

ここでは、これらのロールをプロジェクト、フォルダ、組織に付与する方法と、個々のサービスアカウントに付与する方法について説明します。付与するアクセス権の量に応じてレベルを選択します。

プロジェクト、フォルダまたは組織に作成されたすべてのサービスアカウントの権限借用をプリンシパルに許可するには、プロジェクト、フォルダまたは組織にロールを付与します。
プリンシパルに 1 つのサービスアカウントの権限借用を許可するには、サービスアカウントにロールを付与します。

プリンシパルに複数のサービスアカウントの権限借用を許可する

プロジェクト、フォルダまたは組織に作成されたすべてのサービスアカウントの権限借用をプリンシパルに許可するには、プロジェクト、フォルダまたは組織にロールを付与します。

コンソール

Google Cloud コンソールの [IAM] ページに移動します。

[IAM] ページに移動
ページの上部にあるプロジェクトセレクタから、ロールを付与するプロジェクト、フォルダ、または組織を選択します。
[追加] をクリックします。
プリンシパルのメールアドレスを入力します。
プリンシパルに許可するサービスアカウントのロールを選択します。サービスアカウントの権限借用に使用するロールをご覧ください。
[保存] をクリックします。

gcloud CLI

サービスアカウントの権限借用に使用するロールをプリンシパルに付与するには、プロジェクト、フォルダまたは組織の許可ポリシーを変更します。

リソースの許可ポリシーを読み取ります。
```
gcloud resource get-iam-policy resource-id \
    --format=json > policy.json
```
次の値を置き換えます。
- resource: 許可ポリシーを設定するリソースのタイプ。この値は、projects、resource-manager folders、organizations のいずれかにする必要があります。
- resource-id: 許可ポリシーを設定するリソースの ID。
このコマンドは、リソースの許可ポリシーを policy.json ファイルに保存します。

リソースに許可ポリシーがすでに設定されている場合、policy.json ファイルは次のようになります。
```
{
  "bindings": [
    {
      "members": [
        "user:hollis@example.com"
      ],
      "role": "roles/owner"
    }
  ],
  "etag": "BwUqLaVeua8=",
  "version": 1
}
```
リソースに許可ポリシーがない場合、policy.json ファイルにはデフォルトの etag のみが含まれます。

既存の許可ポリシーがない場合は、以降の手順で JSON をテンプレートとして使用し、許可ポリシーを手動で作成します。
適切なロールがプリンシパルに付与されるように許可ポリシーを変更します。次のいずれかの方法でロールを付与します。
- ロールバインディングが存在しない場合は、付与するロールとプリンシパルを表す bindings 配列にオブジェクトを追加します。
- ロールバインディングがすでに存在する場合は、既存のプリンシパルのリストに新しいプリンシパルを追加します。許可ポリシーに条件付きロールバインディングが含まれている場合は、プリンシパルを追加する前に、バインディングに適切な条件があることも確認します。
bindings 配列が存在しない場合は、配列を作成できます。

例

サービスアカウントユーザーロール（roles/iam.serviceAccountUser）を robin@example.com に付与するには、上記の例を次のように変更します。
```
{
  "bindings": [
    {
      "role": "roles/iam.serviceAccountUser",
      "members": [
        "user:robin@example.com"
      ]
    },
    {
      "role": "roles/owner",
      "members": [
        "user:hollis@example.com"
      ]
    }
  ],
  "etag": "BwUqLaVeua8=",
  "version": 1
}
```
更新された許可ポリシーを書き込みます。
```
gcloud resource set-iam-policy resource-id \
    policy-file
```
次の値を置き換えます。
- resource: 許可ポリシーを設定するリソースのタイプ。この値は、projects、resource-manager folders、organizations のいずれかにする必要があります。
- resource-id: 許可ポリシーを設定するリソースの ID。
- policy-file: 更新された許可ポリシーを含むファイルのパス。
このコマンドは、更新された etag 値を含む更新後の許可ポリシーを出力します。

REST

Resource Manager REST API を使用してロールを付与するには、プロジェクト、フォルダ、または組織の現在の許可ポリシーを読み取り、目的のロールが付与されるように許可ポリシーを変更し、更新後の許可ポリシーを書き込む必要があります。

リソースの許可ポリシーを読み取ります。

Resource Manager API の getIamPolicy メソッドは、プロジェクト、フォルダ、または組織の許可ポリシーを取得します。

リクエストのデータを使用する前に、次のように置き換えます。

API_VERSION: 使用する API のバージョン。プロジェクトと組織の場合は、v1 を使用します。フォルダの場合は、v2 を使用します。
RESOURCE_TYPE: ポリシーを管理するリソースタイプ。値 projects、folders、または organizations を使用します。
RESOURCE_ID: Google Cloud プロジェクト、組織、またはフォルダ ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
POLICY_VERSION: 返されるポリシーバージョン。リクエストでは、最新のポリシーバージョン（ポリシーバージョン 3）を指定する必要があります。詳細については、ポリシーの取得時にポリシーバージョンを指定するをご覧ください。

HTTP メソッドと URL:

POST https://cloudresourcemanager.googleapis.com/API_VERSION/RESOURCE_TYPE/RESOURCE_ID:getIamPolicy

JSON 本文のリクエスト:

{
  "options": {
    "requestedPolicyVersion": POLICY_VERSION
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://cloudresourcemanager.googleapis.com/API_VERSION/RESOURCE_TYPE/RESOURCE_ID:getIamPolicy"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudresourcemanager.googleapis.com/API_VERSION/RESOURCE_TYPE/RESOURCE_ID:getIamPolicy" | Select-Object -Expand Content

API Explorer（ブラウザ）

リクエスト本文をコピーして、メソッドリファレンスページを開きます。ページの右側に [API Explorer] パネルが開きます。このツールを操作してリクエストを送信できます。このツールにリクエスト本文を貼り付け、その他の必須フィールドに入力して、[Execute] をクリックします。

レスポンスには、リソースの許可ポリシーが含まれます。次に例を示します。

{
  "version": 1,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/owner",
      "members": [
        "user:owner@example.com"
      ]
    }
  ]
}

既存の許可ポリシーがない場合、レスポンスにはデフォルトの etag のみが含まれます。このレスポンスが返された場合は、version フィールドを追加して 3 に設定し、bindings フィールドを空の配列に設定します。

適切なロールがプリンシパルに付与されるように許可ポリシーを変更します。

次のいずれかの方法でロールを付与します。

ロールバインディングが存在しない場合は、付与するロールとプリンシパルを表す bindings 配列にオブジェクトを追加します。
ロールバインディングがすでに存在する場合は、既存のプリンシパルのリストに新しいプリンシパルを追加します。

例:

サービスアカウントユーザーロール（roles/iam.serviceAccountUser）を robin@example.com に付与するには、上記の例を次のように変更します。

{
  "version": 1,
  "etag": "BwUqLaVeua8=",
  "bindings": [
    {
      "role": "roles/iam.serviceAccountUser",
      "members": [
        "user:robin@example.com"
      ]
    },
    {
      "role": "roles/owner",
      "members": [
        "user:owner@example.com"
      ]
    }
  ]
}

更新された許可ポリシーを書き込みます。

Resource Manager API の setIamPolicy メソッドを使用して、プロジェクト、フォルダまたは組織の新しい許可ポリシーとしてリクエストのポリシーを設定します。

リクエストのデータを使用する前に、次のように置き換えます。

API_VERSION: 使用する API のバージョン。プロジェクトと組織の場合は、v1 を使用します。フォルダの場合は、v2 を使用します。
RESOURCE_TYPE: ポリシーを管理するリソースタイプ。値 projects、folders、または organizations を使用します。
RESOURCE_ID: Google Cloud プロジェクト、組織、またはフォルダ ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。

POLICY: 設定するポリシーの JSON 表現。ポリシーの形式については、ポリシーリファレンスをご覧ください。

たとえば、前の手順で示した許可ポリシーを設定するには、POLICY を次のコードに置き換えます。

{
  "version": 1,
  "etag": "BwUqLaVeua8=",
  "bindings": [
    {
      "role": "roles/iam.serviceAccountUser",
      "members": [
        "user:robin@example.com"
      ]
    },
    {
      "role": "roles/owner",
      "members": [
        "user:owner@example.com"
      ]
    }
  ]
}

HTTP メソッドと URL:

POST https://cloudresourcemanager.googleapis.com/API_VERSION/RESOURCE_TYPE/RESOURCE_ID:setIamPolicy

JSON 本文のリクエスト:

{
  "policy": POLICY
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://cloudresourcemanager.googleapis.com/API_VERSION/RESOURCE_TYPE/RESOURCE_ID:setIamPolicy"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudresourcemanager.googleapis.com/API_VERSION/RESOURCE_TYPE/RESOURCE_ID:setIamPolicy" | Select-Object -Expand Content

API Explorer（ブラウザ）

レスポンスには、更新された許可ポリシーが含まれます。

プリンシパルに 1 つのサービスアカウントの権限の使用を許可する

プリンシパルに 1 つのサービスアカウントの権限の使用を許可するには、サービスアカウントにロールを付与します。

コンソール

Google Cloud コンソールで、[サービスアカウント] ページに移動します。

[サービスアカウント] ページに移動
プロジェクトを選択します。
プリンシパルに権限借用を許可するサービスアカウントのメールアドレスをクリックします。
[権限] タブをクリックします。
[このサービスアカウントにアクセスできるプリンシパル] で、[アクセスを許可] をクリックします。
プリンシパルのメールアドレスを入力します。
サービスアカウントの権限借用を許可するためにプリンシパルに付与するロールを選択します。サービスアカウントの権限借用に使用するロールをご覧ください。
プリンシパルにロールを適用するには、[保存] をクリックします。

複数のサービスアカウントにロールを付与するには、それぞれのサービスアカウントに同じ手順を繰り返します。

gcloud CLI

サービスアカウントの権限借用を許可するためにプリンシパルにロールを付与するには、サービスアカウントの許可ポリシーを変更します。

service-accounts get-iam-policy コマンドを使用して、現在の許可ポリシーを読み取ります。
```
gcloud iam service-accounts get-iam-policy sa-id \
    --format=json > policy.json
```
次の値を置き換えます。
- sa-id: サービスアカウントの ID。サービスアカウントのメールアドレス（sa-name@project-id.iam.gserviceaccount.com の形式）か、サービスアカウントの一意の数値 ID のいずれかを指定します。
このコマンドは、サービスアカウントの許可ポリシーを policy.json ファイルに保存します。

サービスアカウントに許可ポリシーがすでに設定されている場合、policy.json ファイルは次のようになります。
```
{
  "bindings": [
    {
      "members": [
        "user:hollis@example.com"
      ],
      "role": "roles/iam.serviceAccountAdmin"
    }
  ],
  "etag": "BwUqLaVeua8=",
  "version": 1
}
```
サービスアカウントに許可ポリシーが設定されていない場合、policy.json ファイルにはデフォルトの etag のみが含まれます。

既存の許可ポリシーがない場合は、以降の手順で JSON をテンプレートとして使用し、許可ポリシーを手動で作成します。
テキストエディタで、policy.json ファイルを開き、プリンシパルに適切なロールが付与されるようにバインディング配列を変更します。次のいずれかの方法でロールを付与します。
- ロールバインディングが存在しない場合は、付与するロールとプリンシパルを定義する bindings 配列に新しいオブジェクトを追加します。
- ロールバインディングがすでに存在する場合は、既存のプリンシパルのリストに新しいプリンシパルを追加します。許可ポリシーに条件付きロールバインディングが含まれている場合は、プリンシパルを追加する前に、バインディングに適切な条件があることも確認します。
bindings 配列が存在しない場合は、配列を作成できます。

例

サービスアカウントユーザーロール（roles/iam.serviceAccountUser）を robin@example.com に付与するには、上記の例を次のように変更します。
```
{
  "bindings": [
    {
      "role": "roles/iam.serviceAccountUser",
      "members": [
        "user:robin@example.com"
      ]
    },
    {
      "role": "roles/iam.serviceAccountAdmin",
      "members": [
        "user:hollis@example.com"
      ]
    }
  ],
  "etag": "BwUqLaVeua8=",
  "version": 1
}
```
service-accounts set-iam-policy コマンドを使用して、更新された許可ポリシーを書き込みます。
```
gcloud iam service-accounts set-iam-policy sa-id \
    policy-file
```
次の値を置き換えます。
- sa-id: サービスアカウントの ID。サービスアカウントのメールアドレス（sa-name@project-id.iam.gserviceaccount.com の形式）か、サービスアカウントの一意の数値 ID のいずれかを指定します。
- policy-file: 更新された許可ポリシーを含むファイルのパス。
このコマンドは、更新された etag 値を含む更新後の許可ポリシーを出力します。

REST

IAM REST API を使用してロールを付与するには、サービスアカウントの現在の許可ポリシーを読み取り、目的のロールが付与されるように変更し、更新後の許可ポリシーを書き込む必要があります。

サービスアカウントの許可ポリシーを読み取ります。

serviceAccounts.getIamPolicy メソッドで、サービスアカウントの許可ポリシーを取得します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: Google Cloud プロジェクト ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。
SA_ID: サービスアカウントの ID。これは、サービスアカウントのメールアドレス（SA_NAME@PROJECT_ID.iam.gserviceaccount.com の形式）、またはサービスアカウントの一意の数値 ID のいずれかです。
注: サービスアカウントの作成後にサービスを識別するには、メールアドレスではなく数値 ID を使用します。
POLICY_VERSION: 返されるポリシーバージョン。リクエストでは、最新のポリシーバージョン（ポリシーバージョン 3）を指定する必要があります。詳細については、ポリシーの取得時にポリシーバージョンを指定するをご覧ください。

HTTP メソッドと URL:

POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:getIamPolicy

JSON 本文のリクエスト:

{
  "options": {
    "requestedPolicyVersion": POLICY_VERSION
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:getIamPolicy"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:getIamPolicy" | Select-Object -Expand Content

API Explorer（ブラウザ）

レスポンスには、サービスアカウントの許可ポリシーが含まれます。次に例を示します。

{
  "version": 1,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/serviceAccountAdmin",
      "members": [
        "user:admin@example.com"
      ]
    }
  ]
}

適切なロールがプリンシパルに付与されるように許可ポリシーを変更します。

テキストエディタでレスポンスの本文を開き、プリンシパルに適切なロールが付与されるようにバインディング配列を変更します。次のいずれかの方法でロールを付与します。

ロールバインディングが存在しない場合は、付与するロールとプリンシパルを定義する bindings 配列に新しいオブジェクトを追加します。
ロールバインディングがすでに存在する場合は、既存のプリンシパルのリストに新しいプリンシパルを追加します。

例:

サービスアカウントユーザーロール（roles/iam.serviceAccountUser）を robin@example.com に付与するには、上記の例を次のように変更します。

{
  "version": 1,
  "etag": "BwUqLaVeua8=",
  "bindings": [
    {
      "role": "roles/iam.serviceAccountUser",
      "members": [
        "user:robin@example.com"
      ]
    },
    {
      "role": "roles/iam.serviceAccountAdmin",
      "members": [
        "user:admin@example.com"
      ]
    }
  ]
}

更新された許可ポリシーを書き込みます。

serviceAccounts.setIamPolicy メソッドは、サービスアカウントに更新後の許可ポリシーを設定します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: Google Cloud プロジェクト ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。
SA_ID: サービスアカウントの ID。これは、サービスアカウントのメールアドレス（SA_NAME@PROJECT_ID.iam.gserviceaccount.com の形式）、またはサービスアカウントの一意の数値 ID のいずれかです。
注: サービスアカウントの作成後にサービスを識別するには、メールアドレスではなく数値 ID を使用します。

POLICY: 設定するポリシーの JSON 表現。ポリシーの形式については、ポリシーリファレンスをご覧ください。

たとえば、前の手順で示した許可ポリシーを設定するには、policy を次のコードに置き換えます。

{
  "version": 1,
  "etag": "BwUqLaVeua8=",
  "bindings": [
    {
      "role": "roles/iam.serviceAccountUser",
      "members": [
        "user:robin@example.com"
      ]
    },
    {
      "role": "roles/serviceAccountAdmin",
      "members": [
        "user:admin@example.com"
      ]
    }
  ]
}

HTTP メソッドと URL:

POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:setIamPolicy

JSON 本文のリクエスト:

{
  "policy": POLICY
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:setIamPolicy"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:setIamPolicy" | Select-Object -Expand Content

API Explorer（ブラウザ）

レスポンスには、更新された許可ポリシーが含まれます。

サービスアカウントにアクセスできるプリンシパルを一覧表示する

サービスアカウントに付与されたロール、またはプロジェクト、フォルダ、組織に付与されたロールにより、サービスアカウントへのアクセスが許可されているプリンシパルを確認するには、Google Cloud コンソールを使用します。

Google Cloud コンソールで、[サービスアカウント] ページに移動します。

[サービスアカウント] に移動
プロジェクトを選択します。
プリンシパルに権限借用を許可するサービスアカウントのメールアドレスをクリックします。
[権限] タブをクリックします。[このサービスアカウントにアクセスできるプリンシパル] セクションには、サービスアカウントにアクセスできるプリンシパルが表示されます。

サービスアカウントをリソースに関連付ける

一部の Google Cloud リソースでは、リソースがデフォルトの ID として使用するユーザー管理のサービスアカウントを指定できます。このプロセスは、サービスアカウントをリソースに「接続する」、またはサービスアカウントとリソースを「関連付ける」といいます。

リソースは、他の Google Cloud サービスとリソースにアクセスする必要がある場合、自身に接続されたサービスアカウントの権限を借用します。たとえば、サービスアカウントを Compute Engine インスタンスに接続し、そのインスタンス上のアプリケーションがクライアントライブラリを使用して Google Cloud APIs を呼び出す場合、それらのアプリケーションは自動的に、接続されたサービスアカウントの権限を借用します。

ほとんどの場合、リソースの作成時にリソースアカウントをサービスアカウントに関連付ける必要があります。リソースの作成後に、リソースに関連付けられているサービスアカウントを変更することはできません。Compute Engine インスタンスは例外です。必要に応じて、インスタンスに接続するサービスアカウントを変更できます。

サービスアカウントは、リソースに接続する前に構成する必要があります。このプロセスは、サービスアカウントとリソースが同じプロジェクト内にあるか、または異なるプロジェクトにあるかによって異なります。サービスアカウントの構成後、リソースを作成してサービスアカウントを接続できます。

同じプロジェクト内のリソースを構成する

同じプロジェクト内の別のリソースにサービスアカウントを接続する前に、他のプリンシパルにロールを付与する場合と同様に、サービスアカウントにロールを付与して、適切なリソースにアクセスできるようにします。

異なるプロジェクトのリソースを構成する

場合によっては、別のプロジェクトに配置されているリソースにサービスアカウントを接続する必要が生じる可能性があります。たとえば、1 つのプロジェクト内にすべてのサービスアカウントを作成する場合には、それらのアカウントの 1 つを別のプロジェクトの新しいリソースに接続する必要が生じる可能性があります。

サービスアカウントを別のプロジェクトのリソースに接続する前に、次のことを実施します。

サービスアカウントが存在するプロジェクトで、このページの手順に沿ってプロジェクト間のサービスアカウントの権限借用を有効にします。
リソースを作成するプロジェクトを特定します。
サービスアカウントを接続するリソースのタイプと、そのタイプのリソースを所有するサービスを特定します。

たとえば、Pub/Sub サブスクリプションを作成する場合、Pub/Sub はリソースを所有するサービスです。
そのサービスを提供するサービスエージェントのメールアドレスを検索します。

サービスによって、使用するサービスエージェントが異なります。詳細については、サービスエージェントをご覧ください。

注: Dataflow、Dataproc、Google Kubernetes Engine などの一部のサービスは、Compute Engine インスタンスを作成でき、または別の方法で Compute Engine に依存する可能性があります。こうしたサービスでは、複数のサービスエージェントのメールアドレスを見つける必要があります。1 つは Compute Engine 用、もう 1 つはインスタンスをデプロイするサービス用です。
サービスエージェントにサービスアカウントトークン作成者のロール（roles/iam.serviceAccountTokenCreator）を付与します。
コンソール
1. Google Cloud コンソールで、[サービスアカウント] ページに移動します。
  
  [サービスアカウント] に移動
2. リソースに接続するサービスアカウントを所有するプロジェクトを選択します。
3. リソースに接続するサービスアカウントを見つけて、そのチェックボックスをオンにします。
4. [権限] タブで、[プリンシパルを追加] をクリックします。
5. [新しいプリンシパル] フィールドに、サービスエージェントのメールアドレスを入力します。
6. [ロールを選択] プルダウンリストで「Service Account Token Creator」と入力し、ロールをクリックします。
7. [保存] をクリックして、変更を保存します。
8. 省略可: 別のサービスエージェントにロールを付与する必要がある場合は、上記の手順を繰り返します。
gcloud CLI

gcloud iam service-accounts add-iam-policy-binding コマンドを実行します。
```
gcloud iam service-accounts add-iam-policy-binding \
    user-sa-name@project-id.iam.gserviceaccount.com \
    --member=serviceAccount:service-agent-email \
    --role=roles/iam.serviceAccountTokenCreator
```
次の値を置き換えます。
- user-sa-name: リソースに接続するユーザー管理のサービスアカウントの名前。
- project-id: ユーザー管理のサービスアカウントが存在するプロジェクト ID。
- service-agent-email: サービスエージェントのメールアドレス。
このコマンドでは、ユーザー管理のサービスアカウントの更新済みの許可ポリシーが出力されます。

省略可: 別のサービスエージェントにロールを付与する必要がある場合は、コマンドを再度実行します。
REST

このロールを付与するには、読み取り - 変更 - 書き込みパターンを使用して、ユーザー管理のサービスアカウントの許可ポリシーを更新します。

まず、ユーザー管理のサービスアカウントの許可ポリシーを読み取ります。

projects.serviceAccounts.getIamPolicy メソッドは、サービスアカウントの許可ポリシーを返します。

リクエストのデータを使用する前に、次のように置き換えます。
- PROJECT_ID: Google Cloud プロジェクト ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。
- USER_SA_NAME: リソースにバインドするユーザー管理のサービスアカウントの名前。
HTTP メソッドと URL:
POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/USER_SA_NAME@PROJECT_ID.iam.gserviceaccount.com:getIamPolicy
JSON 本文のリクエスト:
{ "requestedPolicyVersion": 3 }
リクエストを送信するには、次のいずれかのオプションを展開します。
curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。
curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/USER_SA_NAME@PROJECT_ID.iam.gserviceaccount.com:getIamPolicy"
PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/USER_SA_NAME@PROJECT_ID.iam.gserviceaccount.com:getIamPolicy" | Select-Object -Expand Content
API Explorer（ブラウザ）

リクエスト本文をコピーして、メソッドリファレンスページを開きます。ページの右側に [API Explorer] パネルが開きます。このツールを操作してリクエストを送信できます。このツールにリクエスト本文を貼り付け、その他の必須フィールドに入力して、[Execute] をクリックします。

次のような JSON レスポンスが返されます。
{ "version": 1, "etag": "BwWl3KCTUMY=", "bindings": [ { "role": "roles/iam.serviceAccountUser", "members": [ "serviceAccount:my-service-account@my-project.iam.gserviceaccount.com" ] } ] }
次に、許可ポリシーを変更して、サービスエージェントにサービスアカウントトークン作成者のロールを付与します。SERVICE_AGENT_EMAIL は、サービスエージェントのメールアドレスに置き換えます。
```
{
  "version": 1,
  "etag": "BwWl3KCTUMY=",
  "bindings": [
    {
      "role": "roles/iam.serviceAccountTokenCreator",
      "members": [
        "serviceAccount:SERVICE_AGENT_EMAIL"
      ]
    },
    {
      "role": "roles/iam.serviceAccountUser",
      "members": [
        "serviceAccount:my-service-account@my-project.iam.gserviceaccount.com"
      ]
    }
  ]
}
```
注: 複数のサービスエージェントにロールを付与する必要がある場合は、サービスアカウントをすべて members 配列に追加します。
最後に、更新された許可ポリシーを作成します。

projects.serviceAccounts.setIamPolicy メソッドは、サービスアカウントの許可ポリシーを更新します。

リクエストのデータを使用する前に、次のように置き換えます。
- PROJECT_ID: Google Cloud プロジェクト ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。
- USER_SA_NAME: リソースにバインドするユーザー管理のサービスアカウントの名前。
- SERVICE_AGENT_EMAIL: ユーザー管理のサービスアカウントのアクセストークンを作成するサービスエージェントのメールアドレス。
HTTP メソッドと URL:
POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/USER_SA_NAME@PROJECT_ID.iam.gserviceaccount.com:setIamPolicy
JSON 本文のリクエスト:
{ "policy": { "version": 1, "etag": "BwWl3KCTUMY=", "bindings": [ { "role": "roles/iam.serviceAccountTokenCreator", "members": [ "serviceAccount:SERVICE_AGENT_EMAIL" ] }, { "role": "roles/iam.serviceAccountUser", "members": [ "serviceAccount:my-service-account@my-project.iam.gserviceaccount.com" ] } ] } }
リクエストを送信するには、次のいずれかのオプションを展開します。
curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。
curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/USER_SA_NAME@PROJECT_ID.iam.gserviceaccount.com:setIamPolicy"
PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/USER_SA_NAME@PROJECT_ID.iam.gserviceaccount.com:setIamPolicy" | Select-Object -Expand Content
API Explorer（ブラウザ）

リクエスト本文をコピーして、メソッドリファレンスページを開きます。ページの右側に [API Explorer] パネルが開きます。このツールを操作してリクエストを送信できます。このツールにリクエスト本文を貼り付け、その他の必須フィールドに入力して、[Execute] をクリックします。

次のような JSON レスポンスが返されます。
{ "version": 1, "etag": "BwWo331TkHE=", "bindings": [ { "role": "roles/iam.serviceAccountTokenCreator", "members": [ "serviceAccount:SERVICE_AGENT_EMAIL" ] }, { "role": "roles/iam.serviceAccountUser", "members": [ "serviceAccount:my-service-account@my-project.iam.gserviceaccount.com" ] } ] }

サービスアカウントを新しいリソースに接続する

ユーザー管理のサービスアカウントの構成後、新しいリソースを作成してサービスアカウントを接続できます。新しいリソースは、適切なプロジェクトで作成するようにしてください。

作成するリソースの種類に応じた手順をご覧ください。

リソースの作成時にサービスアカウントを接続する
AI Platform の予測	モデルバージョン
AI Platform Training	ジョブ
App Engine スタンダード環境	アプリのバージョン
App Engine フレキシブル環境	アプリのバージョン
Cloud Composer	環境
Cloud Functions	Cloud Functions の関数
Cloud Life Sciences	パイプライン
Cloud Run	サービス
Cloud Scheduler	ジョブ
Cloud Source Repositories	プロジェクト構成ファイルリポジトリの Pub/Sub 構成
Compute Engine	インスタンスインスタンステンプレート
Dataflow	ジョブ
Datalab	インスタンス
Dataproc	クラスタ
Google Kubernetes Engine	クラスタノードプール
ノートブック	ノートブックインスタンス
Pub/Sub	登録
Vertex AI	カスタムジョブデプロイされるモデルハイパーパラメータ調整ジョブトレーニングパイプライン
Workflows	Workflows

リソースを作成してそのリソースにサービスアカウントを関連付けると、適切なリソースにアクセスできるようにサービスアカウントにロールを付与できます。このプロセスは、他のプリンシパルにロールを付与する場合と同じです。

ロールを付与する方法については、リソースへのアクセス権の付与、変更、取り消しをご覧ください。

監査ログの解釈

Cloud Audit Logs を使用すると、Google Cloud リソースに対して「いつ誰がどこで何をしたか」を調べることができます。

有効期間の短い認証情報を使用してサービスアカウントの権限を借用すると、ほとんどの Google Cloud サービスのログエントリには次の ID が表示されます。

有効期間の短い認証情報が権限を借用するサービスアカウント
有効期間の短い認証情報を作成した ID

これらのログエントリを使用して、有効期間が短い認証情報を作成したプリンシパルと、プリンシパルが権限を借用したサービスアカウントを特定できます。

サービスアカウントのなりすましを示す監査ログエントリの例については、サービスアカウントに成り代わって Google Cloud にアクセスするをご覧ください。

プロジェクト間のサービスアカウントの権限借用を有効にする

デフォルトでは、あるプロジェクトでサービスアカウントを作成したとき、そのアカウントを別のプロジェクトのリソースに接続することはできません。すべてのサービスアカウントを 1 つのプロジェクトで保持する場合は、そのプロジェクトの組織のポリシーを更新する必要があります。

サービスアカウントが存在するプロジェクトの組織のポリシーで、次のブール型制約を確認します。

iam.disableCrossProjectServiceAccountUsage ブール型制約はプロジェクトに適用しないようにしてください。

このブール型制約は、サービスアカウントを別のプロジェクトのリソースに接続できるかどうかを制御します。この制約はデフォルトで適用されます。

この制約が適用されていない場合は、プロジェクトの削除を防止するプロジェクトリーエンが IAM によって追加されます。このリーエンは元の iam.googleapis.com/cross-project-service-accounts を持ちます。このリーエンは削除しないことを強くおすすめします。

この制約は、プロジェクトレベルでのみ使用できます。フォルダレベルや組織レベルでは使用できません。
推奨: iam.restrictCrossProjectServiceAccountLienRemoval ブール型制約がプロジェクトに適用されていることを確認してください。

このブール型制約は、組織レベルで resourcemanager.projects.updateLiens 権限を付与されている場合にのみ、プリンシパルがプロジェクトリーエンを削除できるようにします。この制約が適用されていない場合、プリンシパルはプロジェクトレベルでこの権限があればプロジェクトリーエンを削除できます。

組織のポリシーのブール型制約を確認、変更する方法については、ブール型制約の設定をご覧ください。

プロジェクト間のサービスアカウントの権限借用を無効にする

以前にプロジェクト間のサービスアカウントの権限借用を有効にした場合、特に本番環境では、この機能を無効しないことを強くおすすめします。

具体的には、サービスアカウントが存在するプロジェクトで次のような変更を行うことは推奨されません。

iam.disableCrossProjectServiceAccountUsage ブール型制約を適用するようにプロジェクトの組織のポリシーを更新することは控える。
iam.restrictCrossProjectServiceAccountLienRemoval ブール型制約を適用しないようにプロジェクトの組織ポリシーを更新することは控える。
元の iam.googleapis.com/cross-project-service-accounts があるプロジェクトリーエンの削除は控える。こうすることでプロジェクトの削除を防止できます。
プロジェクトの削除は控える。

この機能を無効にすることで発生するリスクをとる場合、そのリスクを軽減するには、プロジェクト間で使用しているサービスアカウントを無効にし、問題が生じないかどうか、Google Cloud 環境をモニタリングします。問題が見つかった場合は、サービスアカウントを再度有効にできます。問題が生じない場合は、別のプロジェクトのサービスアカウントに依存する Google Cloud リソースが存在しないことが考えられます。

次のステップ

サービスアカウントを Compute Engine インスタンスに接続する方法を確認する。
サービスアカウント保護のベストプラクティスを確認して適用する。
条件付きロールバインディングを使用して、プリンシパルのアクセス権を条件付きにする方法を確認する。
IAM の監査ロギングの詳細を確認する。

サービス アカウントの権限借用の管理

始める前に

プリンシパルにサービス アカウントの権限借用を許可する

プリンシパルに複数のサービス アカウントの権限借用を許可する

コンソール

gcloud CLI

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

プリンシパルに 1 つのサービス アカウントの権限の使用を許可する

コンソール

gcloud CLI

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

サービス アカウントにアクセスできるプリンシパルを一覧表示する

サービス アカウントをリソースに関連付ける

同じプロジェクト内のリソースを構成する

異なるプロジェクトのリソースを構成する

コンソール

gcloud CLI

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

サービス アカウントを新しいリソースに接続する

監査ログの解釈

プロジェクト間のサービス アカウントの権限借用を有効にする

プロジェクト間のサービス アカウントの権限借用を無効にする

次のステップ

サービスアカウントの権限借用の管理

プリンシパルにサービスアカウントの権限借用を許可する

プリンシパルに複数のサービスアカウントの権限借用を許可する

プリンシパルに 1 つのサービスアカウントの権限の使用を許可する

サービスアカウントにアクセスできるプリンシパルを一覧表示する

サービスアカウントをリソースに関連付ける

サービスアカウントを新しいリソースに接続する

プロジェクト間のサービスアカウントの権限借用を有効にする

プロジェクト間のサービスアカウントの権限借用を無効にする