Google Cloud 上での SAP 向け Identity and Access Management の概要

Google Cloud でのアクセス管理の仕組みを理解することは、SAP の実装を計画する際に以下の決定を行うために重要です。

Google Cloud 上でリソースを整理する方法。
リソースへのアクセスを許可するチームメンバー
各チームメンバーがリソースアクセス用の最小権限の原則を遵守する必要がある権限。
サービスやアプリケーションが使用するサービスアカウントと、その場合に付与する権限のレベル

Google Cloud での認証の概要については、認証の概要をご覧ください。

リソース階層と継承

Cloud Platform のリソース階層は、Google Cloud 上のさまざまなリソースコンテナとその関係性、アクセススコープを定義します。

組織やプロジェクトなどの親リソースに適用されるアクセス制御ポリシーは、そのリソースの子（Compute Engine 仮想マシン、組織やプロジェクトの Cloud Storage バケットなど）に継承されます。

Identity and Access Management

Identity and Access Management（IAM）では、Google Cloud リソースの権限を一元管理できます。誰がどのリソースにアクセスできるのかを定義することで、アクセス制御を管理できます。たとえば、VM、永続ディスク、ネットワークの作成や変更など、SAP インスタンスに対するコントロールプレーンの処理を実行できるユーザーを制御できます。

アプリケーションやサービスに権限を付与するときに IAM のサービスアカウントを使用できます。したがって、Compute Engine 内でサービスアカウントがどのように機能するか理解しておく必要があります。詳細については、サービスアカウントをご覧ください。

IAM のロールはユーザーに権限を付与します。ロールとそれによって付与される権限の詳細については、Identity and Access Management のロールをご覧ください。

IAM の詳細については、IAM の概要をご覧ください。

リソース固有の IAM 情報

Compute Engine リソースなど、SAP システムが使用するリソースごとに、IAM がリソースの認証およびアクセス管理をどのように実装するか理解する必要があります。また、IAM がそのリソースに対してどのような事前定義ロールを付与するのかについても理解しておく必要があります。

SAP システムで一般的に使用されるリソースの IAM の実装方法については、以下をご覧ください。