プリンシパルアクセス境界ポリシーを削除する

プリンシパルアクセス境界（PAB）ポリシーを使用すると、一連のプリンシパルがアクセスできるリソースを制限できます。プリンシパルセットにプリンシパルアクセス境界ポリシーを適用する必要がなくなった場合は、ポリシーをプリンシパルセットにバインドするポリシーバインディングを削除できます。プリンシパルアクセス境界ポリシーを、バインドされているすべてのプリンシパルセットから削除するには、ポリシーを削除します。

プリンシパルセットからプリンシパルアクセス境界ポリシーを削除すると、次のいずれかの効果があります。

プリンシパルセット内のプリンシパルが他のプリンシパルアクセス境界ポリシーの対象でない場合、すべての Google Cloud リソースにアクセスできます。
プリンシパルセット内のプリンシパルが他のプリンシパルアクセス境界ポリシーの対象となる場合、それらのプリンシパルは、それらのポリシー内のリソースにのみアクセスできます。

始める前に

認証を設定します。

Select the tab for how you plan to use the samples on this page:
gcloud

In the Google Cloud console, activate Cloud Shell.

Activate Cloud Shell

At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
REST

このページの REST API サンプルをローカル開発環境で使用するには、gcloud CLI に指定した認証情報を使用します。
詳細については、Google Cloud 認証ドキュメントの REST を使用して認証するをご覧ください。
プリンシパルアクセス境界ポリシーの概要を確認します。

プリンシパルアクセス境界ポリシーの削除に必要なロール

プリンシパルアクセス境界ポリシーの削除に必要な権限を取得するため、組織に対するプリンシパルアクセス境界管理者（roles/iam.principalAccessBoundaryAdmin）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

この事前定義ロールには、プリンシパルアクセス境界ポリシーの削除に必要な iam.principalaccessboundarypolicies.delete 権限が含まれています。

カスタムロールや他の事前定義ロールを使用して、この権限を取得することもできます。

プリンシパルアクセス境界ポリシーバインディングの削除に必要なロール

プリンシパルアクセス境界ポリシーのポリシーバインディングを削除するために必要な権限は、ポリシーにバインドされているプリンシパルセットによって異なります。

プリンシパルアクセス境界ポリシーのポリシーバインディングを削除するために必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼します。

組織に対するプリンシパルアクセス境界ユーザー（roles/iam.principalAccessBoundaryUser）
Workforce Identity 連携プールにバインドされているプリンシパルアクセス境界ポリシーのポリシーバインディングを削除する: 対象の Workforce Identity 連携プールに対する IAM Workforce プール管理者（roles/iam.workforcePoolAdmin）
Workload Identity 連携プールにバインドされたプリンシパルアクセス境界ポリシーのポリシーバインディングを削除する: 対象の Workforce Identity 連携プールを所有するプロジェクトに対する IAM Workload Identity プール管理者（roles/iam.workloadIdentityPoolAdmin）
Google Workspace ドメインにバインドされたプリンシパルアクセス境界ポリシーのポリシーバインディングを削除する: 組織に対する Workspace プール IAM 管理者（roles/iam.workspacePoolAdmin）
プロジェクトのプリンシパルセットにバインドされているプリンシパルアクセス境界ポリシーのポリシーバインディングを削除する: プロジェクトに対するプロジェクト IAM 管理者（roles/resourcemanager.projectIamAdmin）
フォルダのプリンシパルセットにバインドされているプリンシパルアクセス境界ポリシーのポリシーバインディングを削除する: フォルダに対するフォルダ IAM 管理者（roles/resourcemanager.folderIamAdmin）
組織のプリンシパルセットにバインドされているプリンシパルアクセス境界ポリシーのポリシーバインディングを削除する: 組織に対する組織管理者（roles/resourcemanager.organizationAdmin）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

これらの事前定義ロールには、プリンシパルアクセス境界ポリシーのポリシーバインディングを削除するために必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

必要な権限

プリンシパルアクセス境界ポリシーのポリシーバインディングを削除するには、次の権限が必要です。

組織に対する iam.principalaccessboundarypolicies.unbind
Workforce Identity 連携プールにバインドされているプリンシパルアクセス境界ポリシーのポリシーバインディングを削除する: Workforce Identity 連携プールに対する iam.workforcePools.deletePolicyBinding
Workload Identity 連携プールにバインドされているプリンシパルアクセス境界ポリシーのポリシーバインディングを削除する: 対象の Workforce Identity 連携プールを所有するプロジェクトに対する iam.workloadIdentityPools.deletePolicyBinding
Google Workspace ドメインにバインドされているプリンシパルアクセス境界ポリシーのポリシーバインディングを削除する: 組織に対する iam.workspacePools.deletePolicyBinding
プロジェクトのプリンシパルセットにバインドされたプリンシパルアクセス境界ポリシーのポリシーバインディングを削除する: プロジェクトに対する resourcemanager.projects.deletePolicyBinding
フォルダのプリンシパルセットにバインドされたプリンシパルアクセス境界ポリシーのポリシーバインディングを削除する: フォルダに対する resourcemanager.folders.deletePolicyBinding
組織のプリンシパルセットにバインドされているプリンシパルアクセス境界ポリシーのポリシーバインディングを削除する: 組織に対する resourcemanager.organizations.deletePolicyBinding

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

プリンシパルアクセス境界ポリシーの削除を準備する

プリンシパルアクセス境界ポリシーを削除する前に、次の目標のうち、いずれを達成する必要があるかを決定します。

プリンシパルセット内のプリンシパルがすべてのリソースにアクセスできるようにする
プリンシパルセット内のプリンシパルがアクセスできるリソースの数を減らす

以降のセクションでは、これらの各目標を達成するために必要な手順について説明します。

プリンシパルがすべてのリソースにアクセスできるようにする

プリンシパルセット内のプリンシパルがすべてのリソースにアクセスできるようにする手順は、次のとおりです。

プリンシパルセットにバインドされているすべてのプリンシパルアクセス境界ポリシーを特定します。
関連するポリシーバインディングを削除して、プリンシパルセットにバインドされているすべてのプリンシパルアクセス境界ポリシーを削除します。

プリンシパルがどのプリンシパルアクセス境界ポリシーの対象でもない場合、そのプリンシパルはすべての Google Cloud リソースにアクセスできます。

リソースにアクセスする資格がある場合でも、必ずしもユーザーがリソースにアクセスできるとは限りません。詳細については、ポリシー評価をご覧ください。

プリンシパルがアクセスできるリソースを減らす

プリンシパルセット内のプリンシパルが複数のプリンシパルアクセス境界ポリシーの対象となっている場合は、それらのプリンシパルを対象とするプリンシパルアクセス境界ポリシーを 1 つ以上削除することで、それらのプリンシパルがアクセスできるリソースの数を減らすことができます。ただし、どのような場合でも、目的のプリンシパルを対象とするプリンシパルアクセス境界ポリシーをすべて削除することは避けてください。削除すると、それらのプリンシパルはすべての Google Cloud リソースにアクセスできるようになります。

プリンシパルセット内のプリンシパルが常に少なくとも 1 つのプリンシパルアクセス境界ポリシーの対象となるようにしながら、プリンシパルアクセス境界ポリシーを削除する手順は次のとおりです。

プリンシパルセットにバインドされているすべてのプリンシパルアクセス境界ポリシーを特定します。
プリンシパルセット内のプリンシパルがアクセスできるようにするリソースのみを含むプリンシパルアクセス境界ポリシーを特定します。それらのポリシーが、プリンシパルセットから削除しないポリシーになります。

このようなポリシーがない場合は、プリンシパルがアクセスできるようにするリソースのみを含む新しいプリンシパルアクセス境界ポリシーを作成します。次に、プリンシパルセットにポリシーを関連付けます。
プリンシパルセット内のプリンシパルがアクセスできないようにするリソースを含むプリンシパルアクセス境界ポリシーを特定します。次に、関連するポリシーバインディングを削除して、これらのプリンシパルアクセス境界ポリシーを削除します。

特定のプリンシパルのアクセスを制限する場合は、ポリシーバインディングを削除するのではなく、ポリシーバインディングに条件を追加します。

プリンシパルがアクセスできるリソースの数を減らす際に、どのプリンシパルアクセス境界ポリシーも削除したくない場合は、代わりに、そのプリンシパルを対象とするプリンシパルアクセス境界ポリシーを変更できます。プリンシパルアクセス境界ポリシーを変更する方法については、プリンシパルアクセス境界ポリシーを編集するをご覧ください。

プリンシパルセットからプリンシパルアクセス境界ポリシーを削除する

プリンシパルセットからプリンシパルアクセス境界ポリシーを削除する前に、まず、ポリシーの削除を準備します。次に、ポリシーをプリンシパルセットにバインドしているポリシーバインディングを削除して、ポリシーを削除します。

ポリシーバインディングは、Google Cloud コンソール、gcloud CLI、または IAM REST API を使用して削除できます。

コンソール

Google Cloud コンソールで、プリンシパルアクセス境界ポリシーのページに移動します。

プリンシパルアクセス境界ポリシーに移動
バインディングを削除するプリンシパルアクセス境界ポリシーの組織を選択します。
バインディングを削除するプリンシパルアクセス境界ポリシーのポリシー ID をクリックします。
[バインディング] タブをクリックします。
削除するバインディングの ID を見つけます。そのバインディングの行で、（アクション）をクリックし、[バインディングを削除] をクリックします。
確認ダイアログで [削除] をクリックします。

gcloud

gcloud beta iam policy-bindings delete コマンドは、ポリシーバインディングを削除します。

後述のコマンドデータを使用する前に、次のように置き換えます。

BINDING_ID: 削除するポリシーバインディングの ID（例: example-binding）。
RESOURCE_TYPE: ポリシーバインディングの子である Resource Manager リソースのタイプ（プロジェクト、フォルダ、組織）。値 project、folder、または organization を使用します。

リソースタイプは、ポリシーバインディングで設定されたプリンシパルによって異なります。使用するリソースタイプを確認するには、サポートされているプリンシパルタイプをご覧ください。
RESOURCE_ID: ポリシーバインディングが子であるプロジェクト、フォルダ、または組織の ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。

次のコマンドを実行します。

Linux、macOS、Cloud Shell

gcloud beta iam policy-bindings delete BINDING_ID \
    --RESOURCE_TYPE=RESOURCE_ID --location=global

Windows（PowerShell）

gcloud beta iam policy-bindings delete BINDING_ID `
    --RESOURCE_TYPE=RESOURCE_ID --location=global

Windows（cmd.exe）

gcloud beta iam policy-bindings delete BINDING_ID ^
    --RESOURCE_TYPE=RESOURCE_ID --location=global

レスポンスには、リクエストを表す長時間実行オペレーションが含まれます。

Delete request issued for: [example-binding]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374724030-6181fcd1520c5-d21b0a12-b704e1ce] to complete...done.
Deleted policyBinding [example-binding].

REST

policyBindings.delete メソッドは、ポリシーバインディングを削除します。

リクエストのデータを使用する前に、次のように置き換えます。

RESOURCE_TYPE: ポリシーバインディングの子である Resource Manager リソースのタイプ（プロジェクト、フォルダ、組織）。値 projects、folders、または organizations を使用します。

リソースタイプは、ポリシーバインディングで設定されたプリンシパルによって異なります。使用するリソースタイプを確認するには、サポートされているプリンシパルタイプをご覧ください。
RESOURCE_ID: ポリシーバインディングが子であるプロジェクト、フォルダ、または組織の ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
BINDING_ID: 削除するポリシーバインディングの ID（例: example-binding）。

HTTP メソッドと URL:

DELETE https://iam.googleapis.com/v3beta/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID

リクエストを送信するには、次のいずれかのオプションを開きます。

curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3beta/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID"

PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3beta/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID" | Select-Object -Expand Content

レスポンスには、リクエストを表す長時間実行オペレーションが含まれます。

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3beta.OperationMetadata",
    "createTime": "2024-05-10T20:33:11.165728913Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-binding",
    "verb": "delete",
    "requestedCancellation": false,
    "apiVersion": "v3beta"
  },
  "done": false
}