サービスアカウントのタイプ

サービスアカウントは次のカテゴリに分類できます。

ユーザー管理サービスアカウント。ユーザーが作成して管理するサービスアカウント。
サービスエージェント。Google Cloud によって作成、管理されます。

このページでは、それぞれのタイプのサービスアカウントの作成方法と使用方法について説明します。

ユーザー管理サービスアカウント

ユーザー管理サービスアカウントは、プロジェクト内に作成するサービスアカウントです。必要に応じて、これらのサービスアカウントの更新、無効化、有効化、削除を行うことができます。また、これらのサービスアカウントに対する他のプリンシパルのアクセス権を管理できます。

プロジェクトでユーザー管理サービスアカウントを作成するには、IAM API、Google Cloud コンソール、または Google Cloud CLI を使用します。

デフォルトでは、1 つのプロジェクトに最大 100 個のユーザー管理サービスアカウントを作成できます。この割り当てがニーズを満たしていない場合は、Google Cloud コンソールを使用して割り当ての増加をリクエストできます。この割り当ての対象はユーザー作成のサービスアカウントのみです。デフォルトのサービスアカウントとサービスエージェントは、カウントの対象に含まれません。

プロジェクトでユーザー管理サービスアカウントを作成するときには、サービスアカウントの名前を選んでください。この名前は、サービスアカウントを識別するメールアドレスに次の形式で表示されます。

service-account-name@project-id.iam.gserviceaccount.com

サービスアカウントの作成方法については、サービスアカウントを作成するをご覧ください。

デフォルトのサービスアカウント

デフォルトのサービスアカウントは、特定の Google Cloud サービスを有効にするとき、または使用するときに自動的に作成されるユーザー管理のサービスアカウントです。これらのサービスアカウントを使用すると、他の Google Cloud リソースにアクセスするジョブをデプロイできます。デフォルトのサービスアカウントが作成された後、このアカウントの管理はお客様自身で行う必要があります。

デフォルトのサービスアカウントがある Google Cloud 環境内でアプリケーションが実行される場合、アプリケーションはデフォルトのサービスアカウントの認証情報を使用して Google Cloud APIs を呼び出すことができます。または、独自のユーザー管理サービスアカウントを作成し、そのアカウントを使用して認証することもできます。詳細については、アプリケーションのデフォルト認証情報を設定するをご覧ください。

組織のポリシーの構成によっては、デフォルトのサービスアカウントにプロジェクトの編集者のロールが自動的に付与される場合があります。iam.automaticIamGrantsForDefaultServiceAccounts 組織ポリシー制約を適用して、自動的なロール付与を無効にすることを強くおすすめします。2024 年 5 月 3 日以降に組織を作成した場合、この制約はデフォルトで適用されます。

自動ロール付与を無効にする場合、デフォルトのサービスアカウントに付与するロールを決定し、これらのロールを付与する必要があります。

デフォルトのサービスアカウントにすでに編集者ロールが設定されている場合は、編集者ロールを権限の低いロールに置き換えることをおすすめします。サービスアカウントのロールを安全に変更するには、Policy Simulator を使用して変更の影響を確認してから、適切なロールを付与または取り消す操作を行います。

次の表に、デフォルトサービスアカウントを作成するサービスを示します。

サービス	サービスアカウント名	メールアドレス
App Engine、および App Engine を使用する Google Cloud サービス	App Engine デフォルトサービスアカウント	`project-id@appspot.gserviceaccount.com`
Compute Engine、および Compute Engine を使用する Google Cloud サービス	Compute Engine のデフォルトのサービスアカウント	`project-number-compute@developer.gserviceaccount.com`

サービスエージェント

一部の Google Cloud サービスは、ユーザーに代わって処理を行うためにリソースにアクセスする必要があります。たとえば、Cloud Run でコンテナを実行する場合、このサービスはコンテナをトリガーする Pub/Sub トピックにアクセスする必要があります。

このニーズに応えるために、Google Cloud では多くの Google Cloud サービスにサービスアカウントを作成し、管理しています。これらのサービスアカウントは、サービスエージェントとも呼ばれます。サービスエージェントは、プロジェクトの許可ポリシー、監査ログ、または Google Cloud コンソールの IAM ページに表示されます。

サービスエージェントはプロジェクトに作成されないため、プロジェクトのサービスアカウントを表示する際に表示されません。これらに直接アクセスすることはできません。

デフォルトでは、サービスエージェントは、プロジェクトに対するロールが付与されている場合でも、Google Cloud コンソールの [IAM] ページには表示されません。サービスエージェントに付与されたロールを表示するには、[Google 提供のロール付与を含める] チェックボックスをオンにします。

Google Cloud には、次の種類のサービスエージェントがあります。

サービス固有のサービスエージェント
Google API サービスエージェント
サービスエージェントのロールマネージャー

サービス固有のサービスエージェント

ほとんどのサービスエージェントはサービス固有であり、個々のサービスに代わって動作します。多くの場合、サービスを正常に機能させるには、これらのサービスエージェントが必要になります。たとえば、Cloud Logging シンクが Cloud Storage バケットにログを書き込むことができるのは、サービスエージェントのおかげです。

各サービスエージェントはリソースに関連付けられます。このリソースは通常はプロジェクト、フォルダ、組織のいずれかですが、サービス固有のリソース（Cloud SQL インスタンスなど）にすることもできます。このリソースは、サービスエージェントのアクションのスコープを定義します。たとえば、サービスエージェントがプロジェクトに関連付けられている場合、そのサービスエージェントは、そのプロジェクトならびにその子孫リソースのサービスに代わって動作します。

サービスエージェントが関連付けられているリソースの種類は、メールアドレスで確認できます。

サービスエージェントがプロジェクト、フォルダ、または組織に関連付けられている場合、そのメールアドレスにはそのプロジェクト、フォルダ、または組織の数値 ID が含まれます。
サービスエージェントがサービス固有のリソースに関連付けられている場合、そのメールアドレスには、数値のプロジェクト ID と一意の識別子が含まれます。数値のプロジェクト ID は、サービスエージェントが関連付けられているリソースを所有するプロジェクトを示します。一意の識別子は、同一のプロジェクト内の類似したサービスエージェントを区別します。

Google API サービスエージェント

プロジェクトの許可ポリシーでは、Google API サービスエージェントという名前のサービスアカウントが言及されることがよくあります。そのサービスアカウントのメールアドレスは project-number@cloudservices.gserviceaccount.com という形式になります。

このサービスアカウントは内部の Google Cloud プロセスを実行します。これには、プロジェクトの編集者ロール（roles/editor）が自動的に付与されます

サービスエージェントのロールマネージャー

IAM の監査ログにサービスアカウント service-agent-manager@system.gserviceaccount.com が含まれることがあります。

このサービスアカウントは、他のサービスエージェントに付与されているロールを管理します。これは監査ログにのみ表示されます。

たとえば、新しい API を使用する場合、Google Cloud が新しいサービスエージェントを自動的に作成し、プロジェクトに対するロールを付与することがあります。これらのロールを付与すると、監査ログエントリが生成されます。これは、service-agent-manager@system.gserviceaccount.com がプロジェクトの許可ポリシーを設定していることを示しています。

サービスエージェントの作成

サービスエージェントが作成される正確な時間は、関連付けられているリソースの種類によって異なります。

サービス固有のリソースに関連付けられるサービスエージェントは、リソースの作成時に作成されます。それらのサービスエージェントを特定する方法や、構成する方法については、関連するリソースのドキュメントをご覧ください。

プロジェクト、フォルダ、組織に関連付けられるサービスエージェントは、必要に応じて（通常は初めてサービスを使用するときに）作成されます。サービスを使用する前に、必要に応じて、サービスのサービスエージェントを作成するように Google Cloud に指示することもできます。詳細については、ロールを作成してサービスエージェントに付与するをご覧ください。

サービスエージェントのロール

Google Cloud の一部のアクションでは、ユーザーの代理でサービスエージェントがリソースを作成したり、アクセスしたりする必要があります。たとえば、Dataproc クラスタを作成する場合、クラスタを作成するには、Dataproc サービスエージェントが、プロジェクト内に Compute Engine インスタンスを作成する権限を持っている必要があります。

このアクセス権を取得するには、サービスエージェントに特定の IAM ロールが必要です。多くのプロジェクトレベルのサービスエージェントには、必要なロールが自動的に付与されます。通常、これらの自動付与されるロールの名前は、serviceAgent または ServiceAgent で終わります。他のサービスエージェントの場合、サービスが正常に機能するためにはロールを付与する必要があります。自動的にロールが付与されるサービスエージェントを確認するには、サービスエージェントのリファレンスをご覧ください。

サービスを使用する前に Google Cloud にサービスエージェントの作成を指示する場合は、通常であれば自動的に付与されるロールを、自らサービスエージェントに付与する必要があります。これは、ユーザーのリクエストで作成されるサービスエージェントにはロールが自動的に付与されないためです。これらのロールをサービスエージェントに付与しないと、一部のサービスが正常に機能しない可能性があります。これらのロールをサービスエージェントに付与する方法については、ロールを作成してサービスエージェントに付与するをご覧ください。

プライマリサービスエージェント

サービスエージェントリファレンスでは、一部のサービスエージェントがプライマリサービスエージェントとして識別されています。プライマリサービスエージェントは、サービスのサービスエージェント作成をトリガーしたときにメールアドレスが返されるサービスエージェントです。

監査ロギング

プリンシパルがオペレーションを開始すると、サービスエージェントがプリンシパルの代わりにアクションを実行することがあります。ただし、サービスエージェントの監査ログを確認する場合、サービスエージェントが誰の代わりにオペレーションを実行しているのかとその理由を特定するのは困難です。

サービスエージェントのアクションのコンテキストを把握できるように、一部のサービスエージェントは、アクションが関連付けられているジョブや、ジョブを作成したプリンシパルなどの詳細を監査ログに記録します。

次のサービスエージェントは、監査ログに追加の詳細情報を記録します。

これらの詳細情報は、監査ログの serviceDelegationHistory フィールドにあります（このフィールドは authenticationInfo フィールドにネストされています）。このフィールドには、次の情報が含まれます。

ジョブを作成した元のプリンシパル
アクションを実行したサービスエージェント
サービスエージェントが属するサービス
ジョブ ID

たとえば、example-user@example.com が BigQuery Connection API を使用してジョブを作成するとします。このジョブでは、BigQuery Connection API のサービスエージェントのいずれかによってアクションが実行されます。この場合、サービスエージェントのアクションの監査ログには、次のような serviceDelegationHistory フィールドが含まれます。

{
  "protoPayload": {
    "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
    "authenticationInfo": {
      "principalEmail": "bqcx-442188550395-jujw@gcp-sa-bigquery-condel.iam.gserviceaccount.com",
      "serviceDelegationHistory": {
        "originalPrincipal": "user:my-user@example.com",
        "serviceMetadata": [
          {
            "principalSubject": "serviceAccount:bqcx-442188550395-jujw@gcp-sa-bigquery-condel.iam.gserviceaccount.com",
            "serviceDomain": "bigquery.googleapis.com",
          }
        ]
      }
    }
  }
}

次のステップ

使ってみる

Google Cloud を初めて使用する場合は、アカウントを作成して、実際のシナリオでの Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

無料で開始

サービス アカウントのタイプ

ユーザー管理サービス アカウント

デフォルトのサービス アカウント

サービス エージェント

サービス固有のサービス エージェント

Google API サービス エージェント

サービス エージェントのロール マネージャー

サービス エージェントの作成

サービス エージェントのロール

プライマリ サービス エージェント