IAM を使用したアクセス制御

このページでは、Cloud Marketplace で商用プロダクトを購入して管理するために必要な Identity and Access Management（IAM）のロールと権限について説明します。

IAM では、誰（ID）がどのリソースに対してどのようなアクセス権（ロール）を持つかを定義することにより、アクセス制御を管理します。Cloud Marketplace 上の商用アプリの場合、Google Cloud 組織のユーザーは、Cloud Marketplace プランへの登録および料金プランの変更を行うために IAM ロールが必要です。

• Cloud Marketplace プロダクトの課金管理について学習する。
• 請求に影響する要素の詳細。
• IAM の基本コンセプトについて学習する。
• Google Cloud リソースの階層について学習する。

始める前に

• gcloud を使用して Cloud Marketplace のロールと権限を付与するには、gcloud CLI をインストールします。それ以外の場合は、Google Cloud コンソールを使用してロールを付与できます。

プロダクトの購入と管理に必要な IAM のロール

Cloud Marketplace からサービスを購入するユーザーには、課金管理者（roles/billing.admin）IAM ロールを割り当てることをおすすめします。

サービスにアクセスするユーザーには、少なくともプロジェクト閲覧者（roles/viewer）のロールが必要です。

ユーザー権限をきめ細かく制御する必要がある場合は、付与する権限を使用してカスタムロールを作成できます。

IAM のロールと権限のリスト

次の IAM ロールの 1 つまたは複数をユーザーに付与できます。ユーザーに付与するロールに応じて、Google Cloud の請求先アカウント、組織、プロジェクトにもロールを割り当てる必要があります。詳細については、ユーザーに IAM ロールを付与するをご覧ください。

ロール	権限
コマース ビジネス支援構成管理者^ベータ版 （roles/commercebusinessenablement.admin）。 さまざまなプロバイダ構成リソースの管理者	commercebusinessenablement.leadgenConfig.* commercebusinessenablement.leadgenConfig.get commercebusinessenablement.leadgenConfig.update resourcemanager.projects.get resourcemanager.projects.list
コマース ビジネス支援 PaymentConfig 管理者 ^ベータ版 （roles/commercebusinessenablement.paymentConfigAdmin）。 支払い構成リソースの管理	commercebusinessenablement.paymentConfig.* commercebusinessenablement.paymentConfig.get commercebusinessenablement.paymentConfig.update resourcemanager.projects.get resourcemanager.projects.list
コマース ビジネス支援 PaymentConfig 閲覧者^ベータ版 （roles/commercebusinessenablement.paymentConfigViewer）。 支払い構成リソースの閲覧者	commercebusinessenablement.paymentConfig.get resourcemanager.projects.get resourcemanager.projects.list
コマース ビジネス支援構成閲覧者^ベータ版 （roles/commercebusinessenablement.viewer）。 さまざまなプロバイダ構成リソースの閲覧者	commercebusinessenablement.leadgenConfig.get resourcemanager.projects.get resourcemanager.projects.list
コマース オファー カタログ オファー閲覧者^ベータ版 （roles/commerceoffercatalog.offersViewer） オファーを表示できます。	commerceoffercatalog.* commerceoffercatalog.documents.get commerceoffercatalog.offers.get
Commerce Price Management Private Offers 管理者^ベータ版 （roles/commercepricemanagement.privateOffersAdmin） Private Offers を管理できます。	commerceprice.* commerceprice.privateoffers.cancel commerceprice.privateoffers.create commerceprice.privateoffers.delete commerceprice.privateoffers.get commerceprice.privateoffers.list commerceprice.privateoffers.publish commerceprice.privateoffers.update resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.get serviceusage.services.list
Commerce Price Management 閲覧者^ベータ版 （roles/commercepricemanagement.viewer） クーポン、無料トライアル、SKU を表示できます。	commerceprice.privateoffers.get commerceprice.privateoffers.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.get serviceusage.services.list
Consumer Procurement Entitlement 管理者^ベータ版 （roles/consumerprocurement.entitlementManager） エンタイトルメントを管理し、ユーザー プロジェクトのサービス状態の有効化、無効化、検査を行うことができます。	consumerprocurement.entitlements.* consumerprocurement.entitlements.get consumerprocurement.entitlements.list consumerprocurement.freeTrials.* consumerprocurement.freeTrials.create consumerprocurement.freeTrials.get consumerprocurement.freeTrials.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.operations.get serviceusage.services.disable serviceusage.services.enable serviceusage.services.get serviceusage.services.list
Consumer Procurement Entitlement 閲覧者^ベータ版 （roles/consumerprocurement.entitlementViewer） ユーザー プロジェクトのエンタイトルメントとサービスの状態を検査できます。	consumerprocurement.entitlements.* consumerprocurement.entitlements.get consumerprocurement.entitlements.list consumerprocurement.freeTrials.get consumerprocurement.freeTrials.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.get serviceusage.services.list
Consumer Procurement Order 管理者^ベータ版 （roles/consumerprocurement.orderAdmin） 購入を管理できます。 6 個のオーナー権限を含む	billing.accounts.get billing.accounts.getIamPolicy billing.accounts.list billing.accounts.redeemPromotion billing.credits.list billing.resourceAssociations.create commerceoffercatalog.* commerceoffercatalog.documents.get commerceoffercatalog.offers.get consumerprocurement.accounts.* consumerprocurement.accounts.create consumerprocurement.accounts.delete consumerprocurement.accounts.get consumerprocurement.accounts.list consumerprocurement.consents.* consumerprocurement.consents.check consumerprocurement.consents.grant consumerprocurement.consents.list consumerprocurement.consents.revoke consumerprocurement.orderAttributions.* consumerprocurement.orderAttributions.get consumerprocurement.orderAttributions.list consumerprocurement.orderAttributions.update consumerprocurement.orders.* consumerprocurement.orders.cancel consumerprocurement.orders.get consumerprocurement.orders.list consumerprocurement.orders.modify consumerprocurement.orders.place
Consumer Procurement Order 閲覧者^ベータ版 （roles/consumerprocurement.orderViewer） 購入を検査できます。 4 つのオーナー権限を含む	billing.accounts.get billing.accounts.getIamPolicy billing.accounts.list billing.credits.list commerceoffercatalog.* commerceoffercatalog.documents.get commerceoffercatalog.offers.get consumerprocurement.accounts.get consumerprocurement.accounts.list consumerprocurement.consents.check consumerprocurement.consents.list consumerprocurement.orderAttributions.get consumerprocurement.orderAttributions.list consumerprocurement.orders.get consumerprocurement.orders.list

ユーザーに IAM ロールを付与する

前のテーブルのロールから、consumerprocurement.orderAdmin ロールと consumerprocurement.orderViewer ロールは請求先アカウント レベルまたは組織レベルで割り当てる必要があります。consumerprocurement.entitlementManager ロールと consumerprocurement.entitlementViewer ロールは、プロジェクト レベルまたは組織レベルで割り当てる必要があります。

gcloud を使用してユーザーにロールを付与するには、次のいずれかのコマンドを実行します。

組織

組織レベルでロールを割り当てるには、resourcemanager.organizationAdmin が必要です。

gcloud organizations add-iam-policy-binding organization-id \
--member=member --role=role-id

プレースホルダの値は次のとおりです。

• organization-id: ロールが付与される組織の数値 ID。
• member: アクセス権が付与されるユーザー。
• role-id: 前のテーブルからのロール ID。

請求先アカウント

請求先アカウント レベルでロールを割り当てるには、billing.admin が必要です。

gcloud beta billing accounts set-iam-policy account-id \
policy-file

プレースホルダの値は次のとおりです。

• account-id: 請求先アカウント ID。[請求先アカウントの管理] ページで取得できます。
• policy-file: JSON または YAML 形式の IAM ポリシー ファイル。ポリシー ファイルには、前のテーブルのロール ID と、ロールを割り当てるユーザーが含まれている必要があります。

プロジェクト

プロジェクト レベルでロールを割り当てるには、resourcemanager.folderAdmin が必要です。

gcloud projects add-iam-policy-binding project-id \
--member=member --role=role-id

プレースホルダの値は次のとおりです。

• project-id: ロールが付与されるプロジェクト。
• member: アクセス権が付与されるユーザー。
• role-id: 前のテーブルからのロール ID。

Google Cloud コンソールを使用してユーザーにロールを付与するには、ユーザーのアクセス権の付与、変更、取り消しに関する IAM ドキュメントをご覧ください。

Cloud Marketplace でのカスタムロールの使用

ユーザーに付与する権限を細かく制御するには、付与したい権限のみを持つカスタムロールを作成します。

Cloud Marketplace からサービスを購入するユーザー用のカスタムロールを作成する場合、そのロールには、ユーザーがサービスの購入に使用する請求先アカウントに対する以下の権限が含まれている必要があります。

• billing.subscriptions.create と billing.accounts.get。通常は roles/billing.admin ロールで付与されます。
• consumerprocurement.orders.place（通常、roles/consumerprocurement.orderAdmin ロールに付与されます）。
• consumerprocurement.accounts.create（通常、roles/consumerprocurement.orderAdmin ロールに付与されます）。

シングル サインオン（SSO）を使用してパートナー ウェブサイトにアクセスする

一部の Marketplace プロダクトでは、パートナーの外部ウェブサイトへのシングル サインオン（SSO）がサポートされています。組織内の承認済みユーザーは、プロダクトの詳細ページの [プロバイダで管理] ボタンにアクセスできます。このボタンを使用すると、ユーザーはパートナーのウェブサイトに移動します。ユーザーが「Google でログイン」を求められることがあります。それ以外の場合、ユーザーは共有アカウントのコンテキストでログインします。

SSO 機能にアクセスするには、プロダクトの詳細ページに移動し、適切なプロジェクトを選択します。プロジェクトは、プランを購入した請求先アカウントにリンクされている必要があります。Marketplace プランの管理の詳細については、料金プランの管理をご覧ください。

さらに、選択したプロジェクト内で十分な IAM 権限を持っている必要があります。ほとんどのプロダクトでは、現在 roles/editor 基本ロールが必要です。

特定のプロダクトの最小権限

次のプロダクトは異なる権限セットで動作して、SSO 機能にアクセスできます。

• Confluent Cloud 上の Apache Kafka
• Apache Cassandra 向け DataStax Astra
• Elastic Cloud
• Neo4j Aura Professional
• Redis Enterprise Cloud

これらのプロダクトでは、次の最小権限を使用できます。

• consumerprocurement.entitlements.get
• consumerprocurement.entitlements.list
• serviceusage.services.get
• serviceusage.services.list
• resourcemanager.projects.get

これらの権限には通常、roles/consumerprocurement.entitlementManager または roles/consumerprocurement.entitlementViewer のロールが付与されます。