ワーカープールのサービス ID を構成する

このページでは、Cloud Run ワーカープールから Google Cloud API へのアクセスを制御するサービス ID を構成して表示する方法について説明します。

Cloud Run ワーカープールには、Cloud Run インスタンスコンテナから Google Cloud API にアクセスするための認証済みアカウントとして使用されるサービス ID があります。サービス ID の詳細については、サービス ID の概要をご覧ください。

サービス ID の使用方法

Cloud Run では、サービス ID はリソースとプリンシパルの両方の機能を持つサービスアカウントです。

リソースとしてのサービス ID: サービス ID としてサービスアカウントを関連付けるには、デプロイ担当者アカウントにサービス ID リソースへのアクセス権が必要です。ワーカープールの作成や更新などの一部のオペレーションでは、デプロイ担当者アカウントにサービス ID リソースに対する権限が必要です。
プリンシパルとしてのサービス ID: Cloud Run ワーカープールから Google Cloud API にアクセスするには、サービス ID に対し、ワーカープールで実行するオペレーションに必要なロールまたは権限を付与する必要があります。

次のセクションでは、デプロイ担当者アカウントにサービス ID リソースへのアクセス権を付与するために必要なロールと、サービスアカウントプリンシパルに必要なロールまたは権限について説明します。

必要なロール

ユーザーまたは管理者が、デプロイ担当者アカウントとサービス ID に IAM ロールと権限を付与する必要があります。

ここをクリックしてデプロイ担当者アカウントに必要なロールを表示

ワーカープールにサービス ID としてサービスアカウントを関連付けるために必要な権限を取得するには、ユーザーまたは管理者が、サービス ID として使用されるサービスアカウントに対するサービスアカウントユーザーのロール（roles/iam.serviceAccountUser）をデプロイ担当者アカウントに付与する必要があります。

この事前定義ロールには、ワーカープールにサービスアカウントを関連付けるために必要な iam.serviceAccounts.actAs 権限が含まれています。この権限を取得するには、カスタムロールを構成するか、他の事前定義ロールを使用することもできます。

デプロイ担当者アカウントにサービス ID のこのロールを付与する方法については、デプロイ権限をご覧ください。サービスアカウントが Cloud Run ワーカープールとは異なるプロジェクトにある場合は、ユーザーまたは管理者が Cloud Run サービスエージェントの IAM ロールを構成し、組織のポリシーを設定する必要があります。詳細については、他のプロジェクトでサービスアカウントを使用するをご覧ください。

ここをクリックしてサービス ID に必要なロールを表示

サービス ID が Cloud Run から Google Cloud APIs にアクセスできるようにするには、実行するオペレーションで必要な権限またはロールをサービス ID に付与する必要があります。特定の Cloud クライアントライブラリにアクセスするには、 Google Cloud サービスの Google Cloud ドキュメントをご覧ください。

Cloud Run ワーカープールが他の Google Cloud サービスにアクセスしない場合は、サービス ID に対してロールや権限を付与する必要はありません。プロジェクトに割り当てられたデフォルトのサービスアカウントを使用できます。

専用のサービスアカウントを作成するための推奨事項を受け取る

Google Cloud コンソールから新しいサービスアカウントを作成する際、オプションの「このサービスアカウントにプロジェクトへのアクセス権を付与する」という手順は、追加のアクセスが必要な場合に使用します。たとえば、ある Cloud Run サービスから別のプライベート Cloud Run サービスを呼び出す場合や、Cloud SQL データベースにアクセスする場合は、どちらにも特定の IAM ロールが必要です。詳細については、アクセスの管理に関するドキュメントをご覧ください。

Recommender サービスでも、必要最小限の権限セットで専用のサービスアカウントを作成するための推奨事項を自動的に提供しています。

サービス ID を構成する

サービスアカウントをまだ作成していない場合は、IAM または Cloud Run でユーザー管理のサービスアカウントを作成します。

サービス ID を構成するには、Google Cloud コンソールまたは gcloud CLI を使用します。

コンソール

Google Cloud コンソールで Cloud Run に移動します。

Cloud Run に移動
メニューから [ワーカープール] を選択し、[コンテナをデプロイ] をクリックして新しいワーカープールを構成します。既存のワーカープールを構成する場合は、ワーカープールをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。
新しいワーカープールを構成する場合は、最初のワーカープールページに入力してから、[コンテナ、ボリューム、ネットワーキング、セキュリティ] をクリックしてワーカープール構成ページを開きます。
[セキュリティ] タブをクリックします。
- [サービスアカウントを新規作成] をクリックするか、[サービスアカウント] プルダウンをクリックして既存のサービスアカウント（該当する場合）を選択します。
[作成] または [デプロイ] をクリックします。

gcloud

サービスアカウントをまだ作成していない場合は、IAM でユーザー管理のサービスアカウントを作成します。

次のコマンドを使用して、サービスアカウントを構成するように既存のワーカープールを更新できます。

gcloud beta run worker-pools update WORKER_POOL --service-account SERVICE_ACCOUNT

次のように置き換えます。

WORKER_POOL: サービスの名前。
SERVICE_ACCOUNT: 新しい ID に関連付けられているサービスアカウントに関連付けるサービスアカウント。この値は、サービスアカウントのメールアドレス（SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com 形式）です。この形式の SERVICE_ACCOUNT_NAME はサービスアカウントの名前、PROJECT_ID はプロジェクト ID です。また、デプロイ中に次のコマンドを使用してサービスアカウントを設定することもできます。

gcloud beta run worker-pools deploy WORKER_POOL --image IMAGE_URL --service-account SERVICE_ACCOUNT

次のように置き換えます。

WORKER_POOL: ワーカープールの名前。
IMAGE_URL: ワーカープールを含むコンテナイメージへの参照（us-docker.pkg.dev/cloudrun/container/worker-pool:latest など）。
SERVICE_ACCOUNT: 新しい ID に関連付けられたサービスアカウント。この値は、サービスアカウントのメールアドレス（SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com 形式）です。

Terraform

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

resource "google_cloud_run_v2_worker_pool" "default" {
  name     = "WORKER_POOL"
  location = "REGION"
  launch_stage = "BETA"

  template {
    containers {
      image = "IMAGE_URL"
    }
  }
  service_account = "SERVICE_ACCOUNT"
}

次のように置き換えます。

WORKER_POOL: ワーカープールの名前。
REGION: Google Cloud リージョン（例: europe-west1）。
IMAGE_URL: ワーカープールを含むコンテナイメージへの参照（us-docker.pkg.dev/cloudrun/container/worker-pool:latest など）。
SERVICE_ACCOUNT: 新しい ID に関連付けられているサービスアカウントに関連付けるサービスアカウント。この値は、サービスアカウントのメールアドレス（SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com 形式）です。この形式の SERVICE_ACCOUNT_NAME はサービスアカウントの名前、PROJECT_ID はプロジェクト ID です。

他のプロジェクトでサービスアカウントを使用する

Cloud Run リソースとは異なる Google Cloud プロジェクトからサービスアカウントを構成する場合は、次の操作を行います。

ユーザーまたは管理者が、サービス ID として使用するサービスアカウントに、サービスアカウントユーザーのロール（roles/iam.serviceAccountUser）を付与します。
コンソール
1. Google Cloud コンソールの [サービスアカウント] ページに移動します。
  [サービスアカウント] に移動
2. サービス ID として使用しているサービスアカウントのメールアドレスを選択します。
3. [権限] タブをクリックします。
4. アクセス権を付与 ボタンをクリックします。
5. 管理者またはデベロッパーのロールを付与するプリンシパルに対応するデプロイ担当者のアカウントのメールアドレスを入力します。
6. [ロールを選択] プルダウンで、[サービスアカウント] > [サービスアカウントユーザー] ロールを選択します。
7. [保存] をクリックします。
gcloud
gcloud iam service-accounts add-iam-policy-binding コマンドを使用し、ハイライト表示された変数を適切な値に置き換えます。
```
gcloud iam service-accounts add-iam-policy-binding \
    SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
    --member="PRINCIPAL" \
    --role="roles/iam.serviceAccountUser"
```
次のように置き換えます。
- SERVICE_ACCOUNT_NAME: Cloud Run リソースを接続するサービスアカウントの名前
- SERVICE_ACCOUNT_PROJECT_ID: サービスアカウントが配置されているプロジェクト ID
- PRINCIPAL: バインドを追加するデプロイ担当者のアカウント。形式は user|group|serviceAccount:email または domain:domain です。たとえば、以下のように指定します。
  - user:test-user@gmail.com
  - group:admins@example.com
  - serviceAccount:test123@example.domain.com
  - domain:example.domain.com
ユーザーまたは管理者が、サービス ID として使用するサービスアカウントに対するサービスアカウントトークン作成者ロール（roles/iam.serviceAccountTokenCreator）を Cloud Run リソースのサービスエージェントに付与します。サービスエージェントは service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com の形式です。
コンソール
1. Google Cloud コンソールの [サービスアカウント] ページに移動します。
  [サービスアカウント] に移動
2. サービス ID として使用しているサービスアカウントのメールアドレスを選択します。
3. [権限] タブをクリックします。
4. アクセス権を付与 ボタンをクリックします。
5. サービスエージェントのメールアドレスを入力します。例: service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com。
6. [ロールを選択] プルダウンで、[サービスアカウント] > [サービスアカウントトークン作成者] ロールを選択します。
7. [保存] をクリックします。
gcloud
gcloud iam service-accounts add-iam-policy-binding コマンドを使用します。
```
gcloud iam service-accounts add-iam-policy-binding \
    SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
    --member="serviceAccount:service-CLOUD_RUN_RESOURCE_PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com" \
    --role="roles/iam.serviceAccountTokenCreator"
```
次のように置き換えます。
- SERVICE_ACCOUNT_NAME: Cloud Run リソースを接続するサービスアカウントの名前
- SERVICE_ACCOUNT_PROJECT_ID: サービスアカウントが配置されているプロジェクト ID
- CLOUD_RUN_RESOURCE_PROJECT_NUMBER: Cloud Run が配置されているプロジェクト番号
このコマンドでは、ユーザー管理のサービスアカウントの更新済みの許可ポリシーが出力されます。
このサービスアカウントを含むプロジェクトで、組織ポリシー iam.disableCrossProjectServiceAccountUsage をフォルダレベルで false または unenforced に設定するか、プロジェクトレベルの設定から継承します。デフォルトは true です。
コンソール
1. Google Cloud コンソールの [組織のポリシー] ページに移動します。
  [組織のポリシー] に移動
2. プロジェクト選択ツールで、プロジェクト間のサービスアカウントの使用を無効にする組織とプロジェクトを選択します。
3. プロジェクト間サービスアカウントの使用の無効化ポリシーを選択します。
4. [ポリシーを管理] をクリックします。
5. [ポリシーのソース] で、[親のポリシーをオーバーライドする] を選択します。
6. [ルールを追加] をクリックします。
7. [適用] で [オフ] を選択します。
8. ポリシーを適用するには、[ポリシーを設定] をクリックします。
gcloud
サービスアカウントがあるプロジェクトで、iam.disableCrossProjectServiceAccountUsage 組織のポリシー制約が適用されていないことを確認します。この制約はデフォルトで適用されます。

この組織のポリシーの制約を無効にするには、次のコマンドを実行します。
```
gcloud resource-manager org-policies disable-enforce iam.disableCrossProjectServiceAccountUsage
    --project=SERVICE_ACCOUNT_PROJECT_ID
```
SERVICE_ACCOUNT_PROJECT_ID は、サービスアカウントを含むプロジェクト ID に置き換えます。

ロールのメンバーシップは、サービスアカウントリソースに直接適用することも、上位のリソース階層から継承することもできます。

ワーカープールのサービスアカウント構成を確認する

Google Cloud コンソールで Cloud Run に移動します。

[Cloud Run] に移動
[ワーカープール] をクリックして、デプロイされたワーカープールのリストを確認します。
調べるワーカープールをクリックして、詳細ウィンドウを表示します。
[セキュリティ] タブをクリックして、サービスアカウントなどのワーカープールのセキュリティ情報を表示します。

次のステップ

サービスアカウントの詳細については、IAM サービスアカウントとユーザー管理のサービスアカウントのガイドをご覧ください。
Cloud Run サービス、ジョブ、またはワーカープールが Google API またはGoogle Cloud サービスにアクセスする場合は、サービスアカウントをサービス ID として構成する必要があります。詳細

ワーカープールのサービス ID を構成する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

サービス ID の使用方法

必要なロール

ここをクリックしてデプロイ担当者アカウントに必要なロールを表示

ここをクリックしてサービス ID に必要なロールを表示

専用のサービス アカウントを作成するための推奨事項を受け取る

サービス ID を構成する

コンソール

gcloud

Terraform

他のプロジェクトでサービス アカウントを使用する

コンソール

gcloud

コンソール

gcloud

コンソール

gcloud

ワーカープールのサービス アカウント構成を確認する

次のステップ

ワーカープールのサービス ID を構成する

専用のサービスアカウントを作成するための推奨事項を受け取る

他のプロジェクトでサービスアカウントを使用する

ワーカープールのサービスアカウント構成を確認する