サービスアカウントとキーの最近の使用状況を表示する

このページでは、Activity Analyzer を使用して、Google API の呼び出しにサービスアカウントとキーが最後に使用された日時を確認する方法を説明します。このような使用方法は認証アクティビティと呼ばれます。

最近の認証アクティビティを確認することで、不要になったサービスアカウントとサービスアカウントキーを特定できます。このような未使用のサービスアカウントとキーは、セキュリティリスクとなるため、無効にするか削除することをおすすめします。

始める前に

認証アクティビティについて理解する。
Enable the Policy Analyzer API.
Enable the API

必要なロール

サービスアカウントとサービスアカウントキーの最新の認証アクティビティを一覧表示するために必要な権限を取得するには、プロジェクトに対するアクティビティ分析閲覧者（roles/policyanalyzer.activityAnalysisViewer）IAM ロールを付与するよう管理者に依頼してくださいロールの付与については、プロジェクト、フォルダ、組織へのアクセスを管理するをご覧ください。

この事前定義ロールには、サービスアカウントとサービスアカウントキーの最新の認証アクティビティを一覧表示するために必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

必要な権限

サービスアカウントとサービスアカウントキーの最新の認証アクティビティを一覧表示するには、次の権限が必要です。

policyanalyzer.serviceAccountKeyLastAuthenticationActivities.query
policyanalyzer.serviceAccountLastAuthenticationActivities.query

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

すべてのサービスアカウントまたはキーの最近の使用状況を表示する

すべてのサービスアカウントまたはサービスアカウントキーの最新の認証アクティビティの日付を一覧表示するには、Google Cloud CLI または REST API を使用します。

gcloud

サービスアカウントまたはキーの最新の認証アクティビティを一覧表示するには、gcloud policy-intelligence query-activity コマンドを使用します。

gcloud policy-intelligence query-activity --activity-type=ACTIVITY_TYPE \
    --project=PROJECT_ID --limit=LIMIT

次の値を置き換えます。

ACTIVITY_TYPE: 一覧表示するアクティビティのタイプ。サービスアカウントの直近の使用状況を一覧表示するには、serviceAccountLastAuthentication を使用します。サービスアカウントキーの最新の使用時間を一覧表示するには、serviceAccountKeyLastAuthentication を使用します。
PROJECT_ID: Google Cloud プロジェクト ID プロジェクト ID は英数字からなる文字列です（例: my-project）。
LIMIT: 省略可。返される結果の最大件数です。デフォルト値は 1000 です。

レスポンスでは、次のようにプロジェクトのサービスアカウントの最近の使用時間が一覧表示されます。

---
activity:
  lastAuthenticatedTime: '2021-04-27T07:00:00Z'
  serviceAccount:
    fullResourceName: //iam.googleapis.com/projects/my-project/serviceAccounts/service-account-1@my-project.iam.gserviceaccount.com
    projectNumber: '123456789012'
    serviceAccountId: '123456789012345678901'
activityType: serviceAccountLastAuthentication
fullResourceName: //iam.googleapis.com/projects/my-project/serviceAccounts/service-account-1@my-project.iam.gserviceaccount.com
observationPeriod:
  endTime: '2021-07-06T07:00:00Z'
  startTime: '2020-03-12T07:00:00Z'
---
activity:
  lastAuthenticatedTime: '2021-02-09T08:00:00Z'
  serviceAccount:
    fullResourceName: //iam.googleapis.com/projects/my-project/serviceAccounts/service-account-2@my-project.iam.gserviceaccount.com
    projectNumber: '123456789012'
    serviceAccountId: '234567890123456789012'
activityType: serviceAccountLastAuthentication
fullResourceName: //iam.googleapis.com/projects/my-project/serviceAccounts/service-account-2@my-project.iam.gserviceaccount.com
observationPeriod:
  endTime: '2021-07-06T07:00:00Z'
  startTime: '2020-09-01T07:00:00Z'

こうした結果を理解する方法については、このページのアクティビティを理解するをご覧ください。

REST

サービスアカウントまたはキーの最新の認証アクティビティを一覧表示するには、Policy Analyzer API の activities.query メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: Google Cloud プロジェクト IDプロジェクト ID は英数字からなる文字列です（例: my-project）。
ACTIVITY_TYPE: 一覧表示するアクティビティのタイプ。すべてのサービスアカウントの最新の使用状況を一覧表示するには、serviceAccountLastAuthentication を使用します。すべてのサービスアカウントキーの最新の使用状況を一覧表示するには、serviceAccountKeyLastAuthentication を使用します。
PAGE_SIZE: 省略可。このリクエストから返される結果の最大数。指定しなかった場合、サーバーが結果数を決定します。アクティビティの数がページサイズより大きい場合、レスポンスにページ設定トークンが含まれます。このトークンを使用して、結果の次のページを取得できます。
PAGE_TOKEN: 省略可。以前のレスポンスでこのメソッドから返されたページ設定トークン。指定すると、前のリクエストが終了した時点からアクティビティのリストが開始します。

HTTP メソッドと URL:

GET https://policyanalyzer.googleapis.com/v1/projects/PROJECT_ID/locations/global/activityTypes/ACTIVITY_TYPE/activities:query?pageSize=PAGE_SIZE&pageToken=PAGE_TOKEN

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://policyanalyzer.googleapis.com/v1/projects/PROJECT_ID/locations/global/activityTypes/ACTIVITY_TYPE/activities:query?pageSize=PAGE_SIZE&pageToken=PAGE_TOKEN"

PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://policyanalyzer.googleapis.com/v1/projects/PROJECT_ID/locations/global/activityTypes/ACTIVITY_TYPE/activities:query?pageSize=PAGE_SIZE&pageToken=PAGE_TOKEN" | Select-Object -Expand Content

レスポンスでは、次のようにプロジェクトのサービスアカウントの最近の使用時間が一覧表示されます。

{
  "activities": [
    {
      "fullResourceName": "//iam.googleapis.com/projects/my-project/serviceAccounts/service-account-1@my-project.iam.gserviceaccount.com",
      "activityType": "serviceAccountLastAuthentication",
      "observationPeriod": {
        "startTime": "2020-04-20T07:00:00Z",
        "endTime": "2021-05-17T07:00:00Z"
      },
      "activity": {
        "lastAuthenticatedTime": "2021-04-28T07:00:00Z",
        "serviceAccount": {
          "projectNumber": "123456789012",
          "fullResourceName": "//iam.googleapis.com/projects/my-project/serviceAccounts/service-account-1@my-project.iam.gserviceaccount.com",
          "serviceAccountId": "123456789012345678901"
        }
      }
    },
    {
      "fullResourceName": "//iam.googleapis.com/projects/my-project/serviceAccounts/service-account-2@my-project.iam.gserviceaccount.com",
      "activityType": "serviceAccountLastAuthentication",
      "observationPeriod": {
        "startTime": "2020-04-20T07:00:00Z",
        "endTime": "2021-05-17T07:00:00Z"
      },
      "activity": {
        "lastAuthenticatedTime": "2021-04-29T07:00:00Z",
        "serviceAccount": {
          "projectNumber": "123456789012",
          "fullResourceName": "//iam.googleapis.com/projects/my-project/serviceAccounts/service-account-2@my-project.iam.gserviceaccount.com",
          "serviceAccountId": "234567890123456789012"
        }
      }
    }
  ],
  "nextPageToken": "AVgRrQV4b5nISN6cGJvTPFJ2v_"
}

こうした結果を理解する方法については、このページのアクティビティを理解するをご覧ください。

特定のサービスアカウントの最近の使用状況を表示する

特定のサービスアカウントが最後に使用された日付を確認するには、Google Cloud コンソール、gcloud CLI、または REST API を使用します。

Console

Google Cloud コンソールで、[Policy Analyzer] ページに移動します。

Policy Analyzer に移動
[最近のアクティビティの分析] で、[このサービスアカウントが最後に使用された日時] というペインを見つけて、そのペインで [クエリを作成] をクリックします。
[クエリのスコープの選択] ボックスに、サービスアカウントを分析するプロジェクトの名前を入力します。
[サービスアカウントを追加] セクションで、[サービスアカウント] ボックスをクリックします。プロジェクト内のすべてのサービスアカウントの一覧が表示されます。このリストには、各サービスアカウントが関連付けられているプロジェクトと、各サービスアカウントのメールアドレスも含まれています。
最近の使用状況を表示するサービスアカウントを選択します。
省略可: 複数のサービスアカウントの最近の使用状況を表示するには、[アカウントを追加] をクリックして別のサービスアカウントを選択します。一度に最大 10 個のサービスアカウントを分析できます。
[アクセスのアクティビティに関するクエリ] パネルで [クエリを実行] をクリックします。

結果ページには、サービスアカウントの最新の使用状況が表示されます。こうした結果を理解する方法については、このページのアクティビティを理解するをご覧ください。

gcloud

特定のサービスアカウントの最新の認証アクティビティを取得するには、フィルタを指定して gcloud policy-intelligence query-activity コマンドを使用します。

gcloud policy-intelligence query-activity --activity-type=serviceAccountLastAuthentication \
    --project=PROJECT_ID \
    --query-filter='FILTER'

次の値を置き換えます。

PROJECT_ID: Google Cloud プロジェクト ID プロジェクト ID は英数字からなる文字列です（例: my-project）。
FILTER: 使用状況を表示するサービスアカウントの完全なリソース名を指定するフィルタ。サービスアカウントの完全なリソース名には、プロジェクト ID とサービスアカウントのメールアドレスが含まれます。

1 つのサービスアカウントをフィルタするには、次の形式のフィルタを使用します。
```
activities.full_resource_name="//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_EMAIL"
```
複数のサービスアカウントをフィルタリングするには、OR を使用して、許容される複数の完全なリソース名を指定します。
```
activities.full_resource_name="//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_1_EMAIL" OR activities.full_resource_name="//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_2_EMAIL"
```
最大 10 個のサービスアカウントをフィルタできます。

レスポンスで、サービスアカウントの最新の使用状況が返されます。

---
activity:
  lastAuthenticatedTime: '2021-04-27T07:00:00Z'
  serviceAccount:
    fullResourceName: //iam.googleapis.com/projects/my-project/serviceAccounts/service-account-1@my-project.iam.gserviceaccount.com
    projectNumber: '123456789012'
    serviceAccountId: '123456789012345678901'
activityType: serviceAccountLastAuthentication
fullResourceName: //iam.googleapis.com/projects/my-project/serviceAccounts/service-account-1@my-project.iam.gserviceaccount.com
observationPeriod:
  endTime: '2021-07-06T07:00:00Z'
  startTime: '2020-03-12T07:00:00Z'

こうした結果を理解する方法については、このページのアクティビティを理解するをご覧ください。

REST

特定のサービスアカウントの最新の認証アクティビティを取得するには、Policy Analyzer API の activities.query メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: Google Cloud プロジェクト IDプロジェクト ID は英数字からなる文字列です（例: my-project）。
FILTER: 使用状況を表示するサービスアカウントの完全なリソース名を指定するフィルタ。

1 つのサービスアカウントをフィルタするには、次の形式のフィルタを使用します。
```
activities.full_resource_name%3D%22%2F%2Fiam.googleapis.com%2Fprojects%2FPROJECT_ID%2FserviceAccounts%2FSERVICE_ACCOUNT_EMAIL%22
```
複数のサービスアカウントをフィルタリングするには、%20OR%20 を使用して、許容される複数の完全なリソース名を指定します。
```
activities.full_resource_name%3D%22%2F%2Fiam.googleapis.com%2Fprojects%2FPROJECT_ID%2FserviceAccounts%2FSERVICE_ACCOUNT_1_EMAIL%22%20OR%20activities.full_resource_name%3D%22%2F%2Fiam.googleapis.com%2Fprojects%2FPROJECT_ID%2FserviceAccounts%2FSERVICE_ACCOUNT_2_EMAIL%22
```

HTTP メソッドと URL:

GET https://policyanalyzer.googleapis.com/v1/projects/PROJECT_ID/locations/global/activityTypes/serviceAccountLastAuthentication/activities:query?filter=FILTER

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

次のコマンドを実行します。

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://policyanalyzer.googleapis.com/v1/projects/PROJECT_ID/locations/global/activityTypes/serviceAccountLastAuthentication/activities:query?filter=FILTER"

PowerShell（Windows）

次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://policyanalyzer.googleapis.com/v1/projects/PROJECT_ID/locations/global/activityTypes/serviceAccountLastAuthentication/activities:query?filter=FILTER" | Select-Object -Expand Content

レスポンスで、サービスアカウントの最新の使用状況が返されます。

{
  "activities": [
    {
      "fullResourceName": "//iam.googleapis.com/projects/my-project/serviceAccounts/service-account-1@my-project.iam.gserviceaccount.com",
      "activityType": "serviceAccountLastAuthentication",
      "observationPeriod": {
        "startTime": "2020-04-20T07:00:00Z",
        "endTime": "2021-05-17T07:00:00Z"
      },
      "activity": {
        "lastAuthenticatedTime": "2021-04-28T07:00:00Z",
        "serviceAccount": {
          "projectNumber": "123456789012",
          "fullResourceName": "//iam.googleapis.com/projects/my-project/serviceAccounts/service-account-1@my-project.iam.gserviceaccount.com",
          "serviceAccountId": "123456789012345678901"
        }
      }
    }
  ]
}

特定のサービスアカウントキーの最近の使用状況を表示する

特定のサービスアカウントキーが最後に使用された日付を確認するには、最近の使用状況を表示するサービスアカウントキーを見つけて、該当する ID を使用してクエリを作成します。

JSON キーファイルがある場合は、ファイルの private_key_id フィールドでサービスアカウントキーの一意の ID を確認できます。

JSON キーファイルがない場合は、次の手順でサービスアカウントキーの一意の ID を確認します。

Console

Google Cloud コンソールで、[Policy Analyzer] ページに移動します。

Policy Analyzer に移動
[最近のアクティビティの分析] で、[このサービスアカウントキーが最後に使用された日時] というペインを見つけて、そのペインで [クエリを作成] をクリックします。
[クエリのスコープの選択] ボックスに、サービスアカウントキーを分析するプロジェクトの名前を入力します。
[サービスアカウントキーを追加] セクションで、[サービスアカウントキー] ボックスをクリックします。プロジェクト内のすべてのサービスアカウントキーの一覧が表示されます。このリストには、各キーが関連付けられているプロジェクトとサービスアカウントも含まれます。
最近の使用状況を表示するキーを選択します。
省略可: 複数のキーの最近の使用状況を表示するには、[キーを追加] をクリックして別の鍵を選択します。一度に最大 10 個のキーを分析できます。
[アクセスのアクティビティに関するクエリ] パネルで [クエリを実行] をクリックします。

結果ページには、サービスアカウントキーの最新の使用状況が表示されます。こうした結果を理解する方法については、このページのアクティビティを理解するをご覧ください。

gcloud

まず、最新の使用状況を表示するサービスアカウントキーを特定します。

サービスアカウントキーの一覧を表示します。

後述のコマンドデータを使用する前に、次のように置き換えます。
- SERVICE_ACCOUNT_EMAIL: キーが関連付けられているサービスアカウントのメールアドレス。
gcloud iam service-accounts keys list コマンドを実行します。
Linux、macOS、Cloud Shell

注: 認証とプロジェクトを使用して Google Cloud CLI を初期化するには、gcloud init、gcloud auth login、または gcloud config set project のいずれかを実行します。
```
gcloud iam service-accounts keys list --iam-account=SERVICE_ACCOUNT_EMAIL
```
Windows（PowerShell）

注: 認証とプロジェクトを使用して Google Cloud CLI を初期化するには、gcloud init、gcloud auth login、または gcloud config set project のいずれかを実行します。
```
gcloud iam service-accounts keys list --iam-account=SERVICE_ACCOUNT_EMAIL
```
Windows（cmd.exe）

注: 認証とプロジェクトを使用して Google Cloud CLI を初期化するには、gcloud init、gcloud auth login、または gcloud config set project のいずれかを実行します。
```
gcloud iam service-accounts keys list --iam-account=SERVICE_ACCOUNT_EMAIL
```
出力には、サービスアカウントに関連付けられているユーザー作成のキーのリストと、各キーの一意の ID、作成日時、有効期限が表示されます。
出力に含まれるデータを使用して、追跡するキーを特定し、一意の ID をコピーします。

サービスアカウントキーの一意の ID を確認した後、その ID を使用して Activity Analyzer の結果をフィルタします。

特定のサービスアカウントキーの最新の認証アクティビティを取得するには、フィルタを指定して gcloud policy-intelligence query-activity コマンドを使用します。

後述のコマンドデータを使用する前に、次のように置き換えます。

PROJECT_ID: Google Cloud プロジェクト IDプロジェクト ID は英数字からなる文字列です（例: my-project）。
FILTER: 使用状況を表示するサービスアカウントキーの完全なリソース名を指定するフィルタ。サービスアカウントキーの完全なリソース名には、プロジェクト ID、キーに関連付けられたサービスアカウントのメールアドレス、キー ID が含まれます。

1 つのサービスアカウントキーをフィルタするには、次の形式のフィルタを使用します。
```
activities.full_resource_name="//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_EMAIL/keys/KEY_ID"
```
複数のサービスアカウントキーをフィルタリングするには、OR を使用して、許容される複数の完全なリソース名を指定します。
```
activities.full_resource_name="//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_1_EMAIL/keys/KEY_ID_1" OR activities.full_resource_name="//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_2_EMAIL/keys/KEY_ID_2"
```
最大 10 個のサービスアカウントキーをフィルタできます。

次のコマンドを実行します。

Linux、macOS、Cloud Shell

gcloud policy-intelligence query-activity --activity-type=serviceAccountKeyLastAuthentication \
    --project=PROJECT_ID \
    --query-filter='FILTER'

Windows（PowerShell）

gcloud policy-intelligence query-activity --activity-type=serviceAccountKeyLastAuthentication `
    --project=PROJECT_ID `
    --query-filter='FILTER'

Windows（cmd.exe）

注: このコマンドでコンテンツの引用に ' を使用する場合は、これらの一重引用符を二重引用符で置き換えてください。引用がネストされている場合は、\" を使用して内側の引用符をエスケープします。

gcloud policy-intelligence query-activity --activity-type=serviceAccountKeyLastAuthentication ^
    --project=PROJECT_ID ^
    --query-filter='FILTER'

次のようなレスポンスが返されます。

activity:
  lastAuthenticatedTime: '2021-06-11T07:00:00Z'
  serviceAccountKey:
    fullResourceName: //iam.googleapis.com/projects/my-project/serviceAccounts/service-account-1@my-project.iam.gserviceaccount.com/keys/1c65fca351d6925e629059743428b7af243a728c
    projectNumber: '232342569935'
    serviceAccountId: '103185812403937829397'
activityType: serviceAccountKeyLastAuthentication
fullResourceName: //iam.googleapis.com/projects/my-project/serviceAccounts/service-account-1@my-project.iam.gserviceaccount.com/keys/1c65fca351d6925e629059743428b7af243a728c
observationPeriod:
  endTime: '2021-07-06T07:00:00Z'
  startTime: '2020-09-10T07:00:00Z'

このレスポンスで、サービスアカウントキーの最新の使用状況が返されます。こうした結果を理解する方法については、このページのアクティビティを理解するをご覧ください。

REST

まず、最新の使用状況を表示するサービスアカウントキーを特定します。

サービスアカウントキーの一覧を表示します。

サービスアカウントのすべてのサービスアカウントキーを一覧表示するには、IAM API の projects.serviceAccounts.keys.list メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。
- PROJECT_ID: Google Cloud プロジェクト IDプロジェクト ID は英数字からなる文字列です（例: my-project）。
- SA_NAME: キーを一覧表示するサービスアカウントの名前。
- KEY_TYPES: 省略可。レスポンスに含めるキータイプのカンマ区切りのリスト。キータイプは、キーがユーザー管理（USER_MANAGED）かシステム管理（SYSTEM_MANAGED）かを示します。空白のままにすると、すべてのキーが返されます。
HTTP メソッドと URL:
```
GET https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com/keys?keyTypes=KEY_TYPES
```
リクエストを送信するには、次のいずれかのオプションを展開します。
curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
```
curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com/keys?keyTypes=KEY_TYPES"
```
PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com/keys?keyTypes=KEY_TYPES" | Select-Object -Expand Content
```
API Explorer（ブラウザ）

メソッドのリファレンスページを開きます。ページの右側に [API Explorer] パネルが開きます。このツールを操作してリクエストを送信できます。必須フィールドを入力して、[Execute] をクリックします。

レスポンスで、サービスアカウントキーの最新の使用状況が返されます。
```
{
  "keys": [
    {
      "name": "projects/my-project/serviceAccounts/my-service-account@my-project.iam.gserviceaccount.com/keys/90c48f61c65cd56224a12ab18e6ee9ca9c3aee7c",
      "validAfterTime": "2020-03-04T17:39:47Z",
      "validBeforeTime": "9999-12-31T23:59:59Z",
      "keyAlgorithm": "KEY_ALG_RSA_2048",
      "keyOrigin": "GOOGLE_PROVIDED",
      "keyType": "USER_MANAGED"
    },
    {
      "name": "projects/my-project/serviceAccounts/my-service-account@my-project.iam.gserviceaccount.com/keys/e5e3800831ac1adc8a5849da7d827b4724b1fce8",
      "validAfterTime": "2020-03-31T23:50:09Z",
      "validBeforeTime": "9999-12-31T23:59:59Z",
      "keyAlgorithm": "KEY_ALG_RSA_2048",
      "keyOrigin": "GOOGLE_PROVIDED",
      "keyType": "USER_MANAGED"
    },
    {
      "name": "projects/my-project/serviceAccounts/my-service-account@my-project.iam.gserviceaccount.com/keys/b97699f042b8eee6a846f4f96259fbcd13e2682e",
      "validAfterTime": "2020-05-17T18:58:13Z",
      "validBeforeTime": "9999-12-31T23:59:59Z",
      "keyAlgorithm": "KEY_ALG_RSA_2048",
      "keyOrigin": "GOOGLE_PROVIDED",
      "keyType": "USER_MANAGED",
      "disabled": true
    }
  ]
}
```
レスポンスのメタデータを使用して、追跡するキーを特定します。次に、[name] フィールドの末尾にあるキーの一意の ID をコピーします。

name フィールドの形式は次のとおりです。
```
"name": "projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_EMAIL/keys/KEY_ID"
```
keys/ より後のすべての部分がキーの一意の ID になります。

たとえば、次のキー名の一意の ID は 0f561cc41650ff521899de2fd653bd3de08e2da4 です。
```
"name": "projects/my-project/serviceAccounts/my-account@my-project.iam.gserviceaccount.com/keys/0f561cc41650ff521899de2fd653bd3de08e2da4"
```

サービスアカウントキーの一意の ID を確認した後、その ID を使用して Activity Analyzer の結果をフィルタします。

特定のサービスアカウントキーの最新の認証アクティビティを取得するには、Policy Analyzer API の activities.query メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: Google Cloud プロジェクト IDプロジェクト ID は英数字からなる文字列です（例: my-project）。
FILTER: 使用状況を表示するサービスアカウントキーの完全なリソース名を指定するフィルタ。サービスアカウントキーの完全なリソース名には、プロジェクト ID、キーに関連付けられたサービスアカウントのメールアドレス、キー ID が含まれます。

1 つのサービスアカウントキーをフィルタするには、次の形式のフィルタを使用します。
```
activities.full_resource_name%3D%22%2F%2Fiam.googleapis.com%2Fprojects%2FPROJECT_ID%2FserviceAccounts%2FSERVICE_ACCOUNT_EMAIL%2Fkeys%2FKEY_ID%22
```
複数のサービスアカウントキーをフィルタリングするには、%20OR%20 を使用して、許容される複数の完全なリソース名を指定します。
```
activities.full_resource_name%3D%22%2F%2Fiam.googleapis.com%2Fprojects%2FPROJECT_ID%2FserviceAccounts%2FSERVICE_ACCOUNT_1_EMAIL%2Fkeys%2FKEY_ID_1%22%20OR%20activities.full_resource_name%3D%22%2F%2Fiam.googleapis.com%2Fprojects%2FPROJECT_ID%2FserviceAccounts%2FSERVICE_ACCOUNT_2_EMAIL%2Fkeys%2FKEY_ID_2%22
```
最大 10 個のサービスアカウントキーをフィルタできます。

HTTP メソッドと URL:

GET https://policyanalyzer.googleapis.com/v1/projects/PROJECT_ID/locations/global/activityTypes/serviceAccountKeyLastAuthentication/activities:query?filter=FILTER

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

次のコマンドを実行します。

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://policyanalyzer.googleapis.com/v1/projects/PROJECT_ID/locations/global/activityTypes/serviceAccountKeyLastAuthentication/activities:query?filter=FILTER"

PowerShell（Windows）

次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://policyanalyzer.googleapis.com/v1/projects/PROJECT_ID/locations/global/activityTypes/serviceAccountKeyLastAuthentication/activities:query?filter=FILTER" | Select-Object -Expand Content

レスポンスで、サービスアカウントキーの最新の使用状況が返されます。

{
  "activities": [
    {
      "activity": {
        "lastAuthenticatedTime": "2021-06-11T07:00:00Z",
        "serviceAccountKey": {
          "fullResourceName": "//iam.googleapis.com/projects/my-project/serviceAccounts/service-account-1@my-project.iam.gserviceaccount.com/keys/1c65fca351d6925e629059743428b7af243a728c",
          "projectNumber": "123456789012",
          "serviceAccountId": "123456789012345678901"
        }
      },
      "activityType": "serviceAccountKeyLastAuthentication",
      "fullResourceName": "//iam.googleapis.com/projects/my-project/serviceAccounts/service-account-1t@my-project.iam.gserviceaccount.com/keys/1c65fca351d6925e629059743428b7af243a728c",
      "observationPeriod": {
        "endTime": "2021-07-06T07:00:00Z",
        "startTime": "2020-04-20T07:00:00Z"
      }
    }
  ]
}

こうした結果を理解する方法については、このページのアクティビティを理解するをご覧ください。

アクティビティを理解する

Console

クエリ結果ページには、クエリパラメータとクエリの結果が一覧表示されます。

サービスアカウントクエリの場合、結果テーブルには、クエリの各サービスアカウントと最後に認証された日時が表示されます。

サービスアカウントキークエリの場合、結果テーブルには、クエリの各サービスアカウントキー、関連するサービスアカウント、および最後に認証された日時が表示されます。

結果に、直近の認証イベントが含まれない場合があります。分析に使用された正確な期間は、ツールチップで確認できます。この期間外で発生した認証イベントは、結果には含まれません。

どちらのクエリの結果テーブルにも、サービスアカウントがプロジェクトに対して持っている IAM ロールとセキュリティ分析情報が一覧表示されます。これらの分析情報には、リソースに対するサービスアカウントのアクセスパターンが示されます。たとえば、一部の分析情報では、過剰な権限、すなわちプリンシパルが必要としない権限がハイライト表示されます。他の分析情報では、ラテラルムーブメントの権限があるサービスアカウント、またはサービスアカウントが別のプロジェクトのサービスアカウントに成り代わる権限を強調します。

一部の分析情報には、過剰な権限を削減するための変更を提案するロールの推奨事項も記載されています。推奨事項と分析情報を管理する方法については、推奨事項を確認して適用するをご覧ください。

gcloud

Activity Analyzer は、結果をアクティビティのリストとして報告します。アクティビティには次のフィールドがあります。

fullResourceName: アクティビティが報告されているサービスアカウントまたはサービスアカウントキーの完全なリソース名。この形式については、以降のセクションと完全なリソース名で説明します。
activityType: 報告されているアクティビティのタイプ。最近のサービスアカウントの認証アクティビティの場合、値は serviceAccountLastAuthentication になります。最近のサービスアカウントキーの認証アクティビティの場合、値は serviceAccountKeyLastAuthentication になります。
observationPeriod: サービスアカウントまたはキーのモニタリング対象期間の開始時間と終了時間。これらのタイムスタンプの時間は常に T07:00:00Z です。
activity: アクティビティの詳細。このフィールドの内容はアクティビティのタイプによって異なります。詳しくは、以降のセクションをご覧ください。

サービスアカウントアクティビティの詳細

serviceAccountLastAuthentication アクティビティの activity フィールドには、以下のフィールドがあります。

serviceAccount: 以下を含めて、アクティビティが報告されるサービスアカウントの詳細。
- fullResourceName: サービスアカウントの完全なリソース名。形式は //iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_EMAIL です。
- projectNumber: サービスアカウントを所有するプロジェクトの数値 ID。
- serviceAccountId: サービスアカウントの数値 ID。
lastAuthenticatedTime: 最新の認証イベントが発生した日付を表すタイムスタンプ。認証イベントの正確な時刻に関係なく、このタイムスタンプの時刻は常に T07:00:00Z です。

結果に、直近の認証イベントが含まれない場合があります。observationPeriod を確認して、分析に使用された正確な期間を確認します。この期間外で発生した認証イベントは、結果には含まれません。

以前に使用されたことのないサービスアカウントの場合、このフィールドは含まれません。

サービスアカウントキーのアクティビティの詳細

serviceAccountKeyLastAuthentication アクティビティの activity フィールドには、以下のフィールドがあります。

serviceAccountKey: 以下を含めて、アクティビティが報告されるサービスアカウントキーの詳細。
- fullResourceName: サービスアカウントキーの完全なリソース名。形式は //iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_EMAIL/keys/KEY_ID です。
- projectNumber: キーが関連付けられているサービスアカウントを所有するプロジェクトの数値 ID。
- serviceAccountId: キーが関連付けられているサービスアカウントの数値 ID。
lastAuthenticatedTime: 最新の認証イベントが発生した日付を表すタイムスタンプ。認証イベントの正確な時刻に関係なく、このタイムスタンプの時刻は常に T07:00:00Z です。

結果に、直近の認証イベントが含まれない場合があります。observationPeriod を確認して、分析に使用された正確な期間を確認します。この期間外で発生した認証イベントは、結果には含まれません。

使用されたことのないサービスアカウントキーの場合、このフィールドは含まれません。

REST

Activity Analyzer は、結果をアクティビティのリストとして報告します。アクティビティには次のフィールドがあります。

fullResourceName: アクティビティが報告されているサービスアカウントまたはサービスアカウントキーの完全なリソース名。この形式については、以降のセクションと完全なリソース名で説明します。
activityType: 報告されているアクティビティのタイプ。最近のサービスアカウントの認証アクティビティの場合、値は serviceAccountLastAuthentication になります。最近のサービスアカウントキーの認証アクティビティの場合、値は serviceAccountKeyLastAuthentication になります。
observationPeriod: サービスアカウントまたはキーのモニタリング対象期間の開始時間と終了時間。これらのタイムスタンプの時間は常に T07:00:00Z です。
activity: アクティビティの詳細。このフィールドの内容はアクティビティのタイプによって異なります。詳しくは、以降のセクションをご覧ください。

サービスアカウントアクティビティの詳細

serviceAccountLastAuthentication アクティビティの activity フィールドには、以下のフィールドがあります。

serviceAccount: 以下を含めて、アクティビティが報告されるサービスアカウントの詳細。
- fullResourceName: サービスアカウントの完全なリソース名。形式は //iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_EMAIL です。
- projectNumber: サービスアカウントを所有するプロジェクトの数値 ID。
- serviceAccountId: サービスアカウントの数値 ID。
lastAuthenticatedTime: 最新の認証イベントが発生した日付を表すタイムスタンプ。認証イベントの正確な時刻に関係なく、このタイムスタンプの時刻は常に T07:00:00Z です。

結果に、直近の認証イベントが含まれない場合があります。observationPeriod を確認して、分析に使用された正確な期間を確認します。この期間外で発生した認証イベントは、結果には含まれません。

以前に使用されたことのないサービスアカウントの場合、このフィールドは含まれません。

サービスアカウントキーのアクティビティの詳細

serviceAccountKeyLastAuthentication アクティビティの activity フィールドには、以下のフィールドがあります。

serviceAccountKey: 以下を含めて、アクティビティが報告されるサービスアカウントキーの詳細。
- fullResourceName: サービスアカウントキーの完全なリソース名。形式は //iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_EMAIL/keys/KEY_ID です。
- projectNumber: キーが関連付けられているサービスアカウントを所有するプロジェクトの数値 ID。
- serviceAccountId: キーが関連付けられているサービスアカウントの数値 ID。
lastAuthenticatedTime: 最新の認証イベントが発生した日付を表すタイムスタンプ。認証イベントの正確な時刻に関係なく、このタイムスタンプの時刻は常に T07:00:00Z です。

結果に、直近の認証イベントが含まれない場合があります。observationPeriod を確認して、分析に使用された正確な期間を確認します。この期間外で発生した認証イベントは、結果には含まれません。

使用されたことのないサービスアカウントキーの場合、このフィールドは含まれません。

次のステップ

その他の利用可能なサービスアカウントの使用状況を把握するためのツールを確認する。
サービスアカウントを無効にする方法またはサービスアカウントの削除方法を学習する。
サービスアカウントキーの削除方法を学習する。

サービス アカウントとキーの最近の使用状況を表示する

始める前に

必要なロール

必要な権限

すべてのサービス アカウントまたはキーの最近の使用状況を表示する

gcloud

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

特定のサービス アカウントの最近の使用状況を表示する

Console

gcloud

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

特定のサービス アカウント キーの最近の使用状況を表示する

Console

gcloud

Linux、macOS、Cloud Shell

Windows（PowerShell）

Windows（cmd.exe）

Linux、macOS、Cloud Shell

Windows（PowerShell）

Windows（cmd.exe）

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

アクティビティを理解する

Console

gcloud

サービス アカウント アクティビティの詳細

サービス アカウント キーのアクティビティの詳細

REST

サービス アカウント アクティビティの詳細

サービス アカウント キーのアクティビティの詳細

次のステップ

サービスアカウントとキーの最近の使用状況を表示する

すべてのサービスアカウントまたはキーの最近の使用状況を表示する

特定のサービスアカウントの最近の使用状況を表示する

特定のサービスアカウントキーの最近の使用状況を表示する

サービスアカウントアクティビティの詳細

サービスアカウントキーのアクティビティの詳細

サービスアカウントアクティビティの詳細

サービスアカウントキーのアクティビティの詳細