このページは Cloud Translation API によって翻訳されました。

IAM ロールの付与および取り消し

このページでは、Secure Source Manager リソースのプリンシパルに Identity and Access Management（IAM）ロールを付与する方法について説明します。他の Google Cloud リソースに対するロールの付与については、プロジェクト、フォルダ、組織へのアクセスを管理するをご覧ください。

Secure Source Manager のインスタンスとリポジトリには、それぞれ独自のロールがあります。プロジェクトでインスタンスロールを初めて付与する場合は、gcloud CLI ツールまたは REST API を使用する必要があります。リポジトリのロールは、gcloud CLI ツール、REST API、または Secure Source Manager ウェブインターフェースを使用して付与できます。

gcloud CLI、ウェブインターフェース、または REST API を使用して Secure Source Manager ロールを付与すると、そのロールが Google Cloud コンソールのプロジェクトに表示されます。

必要なロール

インスタンスまたはリポジトリの IAM ポリシーを更新するために必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼してください。

インスタンスの IAM ロールを付与します。 Secure Source Manager インスタンスに対する Secure Source Manager インスタンスオーナー（roles/securesourcemanager.instanceOwner）
リポジトリ IAM ロールを付与する: リポジトリに対する Secure Source Manager リポジトリ管理者（roles/securesourcemanager.repoAdmin）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

Secure Source Manager のロールの付与については、IAM によるアクセス制御とユーザーにインスタンスへのアクセス権を付与するをご覧ください。

プリンシパルを指定する

プリンシパルは、リソースにアクセスできる ID を表します。各プリンシパルには、固有の識別子があります。プリンシパル ID の形式は次のとおりです。

PRINCIPAL-TYPE:ID

たとえば、「user:my-user@example.com」のようになります。プリンシパルの詳細については、IAM の仕組みをご覧ください。

プリンシパルタイプが user の場合、Workforce Identity 連携を使用している場合を除き、識別子に含まれるドメイン名は Google Workspace ドメインまたは Cloud Identity ドメインである必要があります。Cloud Identity ドメインの設定方法については、Cloud Identity の概要をご覧ください。

Workforce Identity 連携のプリンシパル

Workforce Identity 連携を使用して Secure Source Manager にアクセスする場合、プリンシパルは異なる方法で表されます。ID グループを表すプリンシパルにアクセス権を付与する方法については、IAM ポリシーで Workforce プールユーザーを表すをご覧ください。

たとえば、次のコマンドは、us-central1 リージョンのプロジェクト my-project のインスタンス my-instance のワークフォースプール my-pool で、ユーザー user@example.com にインスタンスアクセサーロール（roles/securesourcemanager.instanceAccessor）を付与します。

  gcloud beta source-manager instances add-iam-policy-binding my-instance \
      --project=my-project \
      --region=us-central1 \
      --member=principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/user@example.com \
      --role=roles/securesourcemanager.instanceAccessor

Workforce Identity プール内のユーザーまたはグループに、ID プロバイダ（IdP）の属性に基づいて権限を付与できます。また、Common Expression Language（CEL）を使用して OIDC 属性をカスタム属性にマッピングし、IAM ポリシーで認可戦略を定義することもできます。属性マッピングの詳細については、属性マッピングをご覧ください。

インスタンスロールを付与または取り消す

インスタンスロールを付与または取り消すには、読み取り、変更、書き込みのパターンを使用して、リソースの許可ポリシーを更新します。

getIamPolicy() を呼び出して、現在の許可ポリシーを読み取ります。
テキストエディタまたはプログラムで許可ポリシーを編集し、プリンシパルまたはロールバインディングの追加や削除を行います。
setIamPolicy() を呼び出して、更新された許可ポリシーを作成します。

`gcloud`

現在の許可ポリシーを読み取って /tmp/instances.json に保存するには、次のコマンドを実行します。
```
gcloud beta source-manager instances get-iam-policy INSTANCE_ID \
    --project=PROJECT_ID \
    --region=REGION \
    --format=json > /tmp/instance.json
```
次のように置き換えます。
- INSTANCE_ID はインスタンス ID に置き換えます。
- PROJECT_ID: インスタンスのプロジェクト ID またはプロジェクト番号。
- REGION は、インスタンスが配置されているリージョンに置き換えます。使用可能な Secure Source Manager リージョンについては、ロケーションのドキュメントをご覧ください。
出力には既存のバインディングが含まれます。バインディングが存在しない場合は、次のような etag 値が含まれます。
```
{
    "etag": "BwUjHYKJUiQ="
}
```
ロールの付与または取り消しを反映するには、プログラムまたはテキストエディタを使用して、インスタンスの許可ポリシーのローカルコピーを変更します。

他の変更を上書きしないようにするため、許可ポリシーの etag フィールドは編集または削除しないでください。etag フィールドは、許可ポリシーの現在の状態を示します。更新した許可ポリシーを設定すると、IAM はリクエスト内の etag 値と既存の etag を比較し、値が一致する場合にのみ許可ポリシーを書き込みます。

重要: 更新した許可ポリシーを設定するまで、変更は有効になりません。
許可ポリシーで付与するロールを編集するには、許可ポリシーのロールバインディングを編集する必要があります。ロールバインディングの形式は次のとおりです。
```
{
  "role": "ROLE_NAME",
  "members": [
    "PRINCIPAL_1",
    "PRINCIPAL_2",
    ...
    "PRINCIPAL_N"
  ]
}
```
プレースホルダの値は次のとおりです。
- ROLE_NAME: 付与するロールの名前。形式は次のようにします。 roles/securesourcemanager.IDENTIFIER
- PRINCIPAL_1、PRINCIPAL_2、...PRINCIPAL_N: ロールを付与するプリンシパルの ID。
たとえば、次のポリシーでは、instanceOwner ロールが user1@gmail.com に付与され、instanceManager ロールがユーザー user2@gmail.com、user3@gmail.com、サービスアカウント my-other-app@appspot.gserviceaccount.com に付与されます。
```
{
    "etag": "BwUjHYKJUiQ=",
    "bindings": [
    {
        "role": "roles/securesourcemanager.instanceOwner",
        "members": [
            "user:user1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.instanceManager",
        "members": [
            "user:user2@gmail.com",
            "user:user3@gmail.com",
            "serviceAccount:my-other-app@appspot.gserviceaccount.com"
        ]
    }
    ]
}
```
保存した許可ポリシーを変更して、選択したロールを付与または取り消した後、次のコマンドを実行してインスタンスの許可ポリシーを更新します。

警告: 新しい許可ポリシーを設定すると、リソースの既存の許可ポリシーが完全に上書きされます。誤ってロールバインディングを削除しないようにするには、許可ポリシーの更新の際に read-modify-write パターンに従います。つまり、既存の許可ポリシーを読み取り、必要に応じて変更し、更新したバージョンを書き込みます。
```
gcloud beta source-manager instances set-iam-policy INSTANCE_ID  \
    --project=PROJECT_ID \
    --region=REGION \
    /tmp/instance.json
```
次のように置き換えます。
- INSTANCE_ID はインスタンス ID に置き換えます。
- PROJECT_ID: インスタンスのプロジェクト ID またはプロジェクト番号。
- REGION は、インスタンスが配置されているリージョンに置き換えます。使用可能な Secure Source Manager リージョンについては、ロケーションのドキュメントをご覧ください。

API

次の instances.getIamPolicy コマンドを実行して、現在のポリシーを読み取ります。
```
curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    https://securesourcemanager.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/instances/INSTANCE_ID:getIamPolicy > /tmp/instance.json
```
次のように置き換えます。
- PROJECT_ID: インスタンスのプロジェクト ID またはプロジェクト番号。
- REGION インスタンスが配置されているリージョン。使用可能な Secure Source Manager リージョンについては、ロケーションのドキュメントをご覧ください。
- INSTANCE_ID: インスタンス ID。
出力には既存のバインディングが含まれます。バインディングが存在しない場合は、次のような etag 値が含まれます。
```
{
    "etag": "BwUjHYKJUiQ="
}
```
ロールの付与または取り消しを反映するには、プログラムまたはテキストエディタを使用して、インスタンスの許可ポリシーのローカルコピーを変更します。

他の変更を上書きしないようにするため、許可ポリシーの etag フィールドは編集または削除しないでください。etag フィールドは、許可ポリシーの現在の状態を示します。更新した許可ポリシーを設定すると、IAM はリクエスト内の etag 値と既存の etag を比較し、値が一致する場合にのみ許可ポリシーを書き込みます。

重要: 更新した許可ポリシーを設定するまで、変更は有効になりません。
許可ポリシーで付与するロールを編集するには、許可ポリシーのロールバインディングを編集する必要があります。ロールバインディングの形式は次のとおりです。
```
{
  "role": "ROLE_NAME",
  "members": [
    "PRINCIPAL_1",
    "PRINCIPAL_2",
    ...
    "PRINCIPAL_N"
  ]
}
```
プレースホルダの値は次のとおりです。
- ROLE_NAME: 付与するロールの名前。形式は次のようにします。 roles/securesourcemanager.IDENTIFIER
- PRINCIPAL_1、PRINCIPAL_2、...PRINCIPAL_N: ロールを付与するプリンシパルの ID。
たとえば、次のポリシーでは、instanceOwner ロールが user1@gmail.com に付与され、instanceManager ロールがユーザー user2@gmail.com、user3@gmail.com、サービスアカウント my-other-app@appspot.gserviceaccount.com に付与されます。
```
{
"policy": {
    "etag": "BwUjHYKJUiQ=",
    "bindings": [
    {
        "role": "roles/securesourcemanager.instanceOwner",
        "members": [
            "user:user1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.instanceManager",
        "members": [
            "user:user2@gmail.com",
            "user:user3@gmail.com",
            "serviceAccount:my-other-app@appspot.gserviceaccount.com"
        ]
    }
    ]
}
}
```
選択したロールを付与または取り消すように許可ポリシーを変更した後、instances.setIamPolicy() を呼び出して更新します。

警告: 新しい許可ポリシーを設定すると、リソースの既存の許可ポリシーが完全に上書きされます。誤ってロールバインディングを削除しないようにするには、許可ポリシーの更新の際に read-modify-write パターンに従います。つまり、既存の許可ポリシーを読み取り、必要に応じて変更し、更新したバージョンを書き込みます。
次の instances.setIamPolicy コマンドを使用して、インスタンスに新しいポリシーを設定します。
```
curl \
    -H "Content-Type: application/json" \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    https://securesourcemanager.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/instances/INSTANCE_ID:setIamPolicy \
    -d @/tmp/instance.json
```
次のように置き換えます。
- PROJECT_ID: インスタンスのプロジェクト ID またはプロジェクト番号。
- REGION インスタンスが配置されているリージョン。使用可能な Secure Source Manager リージョンについては、ロケーションのドキュメントをご覧ください。
- INSTANCE_ID: インスタンス ID。

リポジトリロールを付与または取り消す

ユーザーとサービスアカウントにリポジトリロールを付与または取り消すには、Secure Source Manager ウェブインターフェースから割り当てるか、Secure Source Manager API を使用してリポジトリ許可ポリシーを更新します。グループにリポジトリロールを付与するには、Secure Source Manager API を使用する必要があります。

ユーザーにリポジトリロールを付与するには、その前にインスタンスロールを付与する必要があります。インスタンスロールの付与については、インスタンスロールを付与または取り消すをご覧ください。

ウェブインターフェース

ウェブインターフェースを使用してユーザーまたはサービスアカウントにリポジトリレベルのロールを付与するには:

Google の担当者から提供されたインスタンス URL に移動します。
[マイリポジトリ] ページで、リポジトリを選択します。
[権限] タブをクリックします。
[ユーザーと権限] セクションで、[ユーザーを追加] をクリックします。
[プリンシパルの追加] フィールドに、ロールを付与するユーザーまたはサービスアカウントのメールアドレスを入力します。
[ロールを割り当てる] メニューで、割り当てるロールを選択します。
[保存] をクリックします。

ロールを追加するには、編集編集アイコンをクリックし、[ロールを割り当てる] メニューを使用してロールを追加します。

API

Secure Source Manager API の repositories.getIamPolicy メソッドは、リポジトリの許可ポリシーを取得します。

次の repositories.getIamPolicy コマンドを実行して、現在のポリシーを読み取り、/tmp/repository.json に保存します。

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    https://securesourcemanager.googleapis.com/v1/projects/REPOSITORY_PROJECT/locations/REGION/repositories/REPOSITORY_ID:getIamPolicy > /tmp/repository.json

次のように置き換えます。

REPOSITORY_PROJECT: リポジトリのプロジェクト ID またはプロジェクト番号。
REGION: リポジトリが配置されているリージョン。
REPOSITORY_ID: リポジトリ ID。

出力には既存のバインディングが含まれます。バインディングが存在しない場合は、次のような etag 値が含まれます。

{
    "etag": "BwUjHYKJUiQ="
}

付与または取り消しを行うロールを反映するには、プログラムまたはテキストエディタを使用して、/tmp/repository.json に保存されているリポジトリの許可ポリシーのローカルコピーを変更します。

他の変更を上書きしないようにするため、許可ポリシーの etag フィールドは編集または削除しないでください。etag フィールドは、許可ポリシーの現在の状態を示します。更新した許可ポリシーを設定すると、IAM はリクエスト内の etag 値と既存の etag を比較し、値が一致する場合にのみ許可ポリシーを書き込みます。

重要: 更新した許可ポリシーを設定するまで、変更は有効になりません。
許可ポリシーで付与するロールを編集するには、許可ポリシーのロールバインディングを編集する必要があります。ロールバインディングの形式は次のとおりです。
```
{
  "role": "ROLE_NAME",
  "members": [
    "PRINCIPAL_1",
    "PRINCIPAL_2",
    ...
    "PRINCIPAL_N"
  ]
}
```
プレースホルダの値は次のとおりです。
- ROLE_NAME: 付与するロールの名前。形式は次のようにします。 roles/securesourcemanager.<var>IDENTIFIER</var>
- PRINCIPAL_1、PRINCIPAL_2、...PRINCIPAL_N: ロールを付与するプリンシパルの ID。
重要: 他のユーザーの変更を上書きしないように、getIamPolicy レスポンスの etag 値を保持します。他のすべての変更を上書きする場合は、etag 値を削除できます。
次の例では、ユーザー email1@gmail.com に repoAdmin ロールを付与し、ユーザー email2@gmail.com、group1@gmail.com、サービスアカウント my-other-app@appspot.gserviceaccount.com に repoWriter ロールを付与します。
```
{
"policy": {
    "etag": "BwUjHYKJUiQ=",
    "bindings": [
    {
        "role": "roles/securesourcemanager.repoAdmin",
        "members": [
            "user:email1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.repoWriter",
        "members": [
            "user:email2@gmail.com",
            "group:group1@gmail.com",
            "serviceAccount:my-other-app@appspot.gserviceaccount.com"
        ]
    }
    ]
}
}
```
編集した /tmp/repository.json ファイルを保存します。
setIamPolicy コマンドを使用して新しいポリシーを設定します。
```
curl \
    -H "Content-Type: application/json" \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    https://securesourcemanager.googleapis.com/v1/projects/REPOSITORY_PROJECT/locations/REGION/repositories/REPOSITORY_ID:setIamPolicy \
    -d @/tmp/repository.json
```
次のように置き換えます。
- REPOSITORY_PROJECT: リポジトリのプロジェクト ID またはプロジェクト番号。
- REGION: リポジトリが配置されているリージョン。使用可能な Secure Source Manager リージョンについては、ロケーションのドキュメントをご覧ください。
- REPOSITORY_ID: リポジトリ ID。

次のステップ

Secure Source Manager での IAM によるアクセス制御の詳細を確認する。

IAM ロールの付与および取り消し コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

必要なロール

プリンシパルを指定する

Workforce Identity 連携のプリンシパル

インスタンス ロールを付与または取り消す

gcloud

API

リポジトリ ロールを付与または取り消す

ウェブ インターフェース

API