IAM の条件を使用する

MySQL | PostgreSQL | SQL Server

IAM Conditions を使用すると、Cloud SQL インスタンスを含む Google Cloud リソースに属性ベースの条件付きアクセス制御を定義して、適用できます。IAM Conditions の詳細については、IAM Conditions の概要をご覧ください。

はじめに

Cloud SQL では、次の属性に基づいて条件付きアクセスを適用できます。

日時属性: Cloud SQL リソースに対する一時的な（有効期限のある）アクセス権、スケジュール済みアクセス権、または期間限定のアクセス権を設定するために使用します。たとえば、指定した日付までの間、ユーザーはデータベースインスタンスにアクセスできます。日時属性は、リソース階層の任意のレベルで使用できます。詳細については、一時アクセスの構成をご覧ください。
リソース属性: タグ、リソース名、リソースタイプ、リソースサービス属性に基づいて条件付きアクセスを構成するために使用します。Cloud SQL では、データベースインスタンスの属性を使用して条件付きアクセスを構成できます。たとえば、特定のタグを持つインスタンスに対するアクセスのみをユーザーに許可できます。詳細については、リソースベースのアクセスの構成をご覧ください。

次のような用途があります。

ユーザーに特定のインスタンスへの接続を許可する。
ユーザーに特定の接頭辞または接尾辞（test など）を持つインスタンスの作成を許可する。
テストインスタンスのバックアップオペレーションへのアクセスを制限する。
ユーザーに開発インスタンスとテストインスタンスの削除を許可するが、本番環境インスタンスの削除は許可しない。
ユーザーが特定の日付または時刻に管理オペレーションを実行できるようにする。

ユーザーに特定のインスタンスへの接続を許可する

ユーザーまたはサービスアカウントに、特定の Cloud SQL インスタンスにのみ接続を許可するとします。この場合、Cloud SQL ロールの権限を付与する IAM Condition を IAM ポリシーバインディングに含めることができます。

デフォルトでは、Cloud SQL クライアントの事前定義ロール（roles/cloudsql.client）には、cloudsql.instances.connect 権限が含まれおり、そのメンバーにはプロジェクトのすべての Cloud SQL インスタンスへの接続が認可されます。IAM Condition をポリシーバインディングに含めることで、指定したインスタンスのみに対する権限を付与できます。

コンソール

この例では、プロジェクトの既存の IAM バインディングを変更して、サービスアカウントに特定のインスタンスに対する Cloud SQL クライアントのロールを付与する方法を示します。

この例では、次の変数を使用します。

PROJECT_ID: Google Cloud プロジェクト。
INSTANCE_ID: アクセスを許可するインスタンスの名前。

Google Cloud コンソールの [IAM] ページに移動します。

[IAM] に移動
[追加] をクリックします。
[新しいメンバー] 入力ボックスに、サービスアカウントのメールアドレスを入力します。
[ロール] プルダウンリストをクリックし、[Cloud SQL クライアント] ロールを選択します。
[条件を追加] をクリックします。
タイトルと説明を入力します。
[条件エディタ] タブを選択します。
[条件ビルダー] セクションで、次の操作を行います。
- [条件タイプ] > [リソース] > [名前] の順に選択し、「projects/PROJECT_ID/instances/INSTANCE_ID」と入力します。
- [AND] 条件が選択されていることを確認します。
- [条件タイプ] > [リソース] > [サービス] の順に選択し、[sqladmin.googleapis.com] を選択します。
[保存] をクリックして、条件を保存します。
[保存] をクリックして、ポリシーを保存します。

gcloud

この例では、プロジェクトの既存の IAM ポリシーバインディングを変更して、特定のサービスアカウントに Cloud SQL クライアントのロールを付与する方法を示しますが、特定のインスタンスのみを対象としています。

この例では、次の変数を使用します。

PROJECT_ID: Google Cloud プロジェクト。
INSTANCE_ID: アクセスを許可するインスタンスの名前。
SERVICE_ACCOUNT_EMAIL: アクセス権を変更するサービスアカウントの完全なメールアドレス。

既存の IAM ポリシーバインディングを取得し、bindings.json ファイルに出力します。

gcloud projects get-iam-policy PROJECT_ID --format=json > bindings.json

次の条件付きロールバインディングを bindings.json ファイルに追加します。

{
  "bindings": [
    {
      "role": "roles/cloudsql.client",
      "members": [
        "serviceAccount:SERVICE_ACCOUNT_EMAIL"
      ],
      "condition": {
        "expression": "resource.name == 'projects/PROJECT_ID/instances/INSTANCE_ID'
          && resource.service == 'sqladmin.googleapis.com'"
      }
    }
  ],
  "etag": "BwWKmjvelug=",
  "version": 3
}

新しい bindings.json ファイルを使用して IAM ポリシーを更新します。
```
gcloud projects set-iam-policy PROJECT_ID bindings.json
```

Terraform

ユーザーが特定のインスタンスに接続できるようにするには、Terraform google_iam_policy データリソースと google_project_iam_policy Terraform リソースを使用します。

data "google_iam_policy" "sql_iam_policy" {
  binding {
    role = "roles/cloudsql.client"
    members = [
      "serviceAccount:${google_project_service_identity.gcp_sa_cloud_sql.email}",
    ]
    condition {
      expression  = "resource.name == 'projects/${data.google_project.project.project_id}/instances/${google_sql_database_instance.default.name}' && resource.type == 'sqladmin.googleapis.com/Instance'"
      title       = "created"
      description = "Cloud SQL instance creation"
    }
  }
}

resource "google_project_iam_policy" "project" {
  project     = data.google_project.project.project_id
  policy_data = data.google_iam_policy.sql_iam_policy.policy_data
}

変更を適用する

Google Cloud プロジェクトで Terraform 構成を適用するには、次のセクションの手順を完了します。

Cloud Shell を準備する

Cloud Shell を起動します。
Terraform 構成を適用するデフォルトの Google Cloud プロジェクトを設定します。

このコマンドは、プロジェクトごとに 1 回だけ実行する必要があります。これは任意のディレクトリで実行できます。
```
export GOOGLE_CLOUD_PROJECT=PROJECT_ID
```
Terraform 構成ファイルに明示的な値を設定すると、環境変数がオーバーライドされます。

ディレクトリを準備する

Terraform 構成ファイルには独自のディレクトリ（ルートモジュールとも呼ばれます）が必要です。

Cloud Shell で、ディレクトリを作成し、そのディレクトリ内に新しいファイルを作成します。ファイルの拡張子は .tf にする必要があります（例: main.tf）。このチュートリアルでは、このファイルを main.tf とします。
```
mkdir DIRECTORY && cd DIRECTORY && touch main.tf
```
チュートリアルを使用している場合は、各セクションまたはステップのサンプルコードをコピーできます。

新しく作成した main.tf にサンプルコードをコピーします。

必要に応じて、GitHub からコードをコピーします。Terraform スニペットがエンドツーエンドのソリューションの一部である場合は、この方法をおすすめします。
環境に適用するサンプルパラメータを確認し、変更します。
変更を保存します。
Terraform を初期化します。これは、ディレクトリごとに 1 回だけ行います。
```
terraform init
```
最新バージョンの Google プロバイダを使用する場合は、-upgrade オプションを使用します。
```
terraform init -upgrade
```

変更を適用する

構成を確認して、Terraform が作成または更新するリソースが想定どおりであることを確認します。
```
terraform plan
```
必要に応じて構成を修正します。
次のコマンドを実行します。プロンプトで「yes」と入力して、Terraform 構成を適用します。
```
terraform apply
```
Terraform に「Apply complete!」というメッセージが表示されるまで待ちます。
Google Cloud プロジェクトを開いて結果を表示します。Google Cloud コンソールの UI でリソースに移動して、Terraform によって作成または更新されたことを確認します。

変更を削除する

変更を削除するには、次の手順を行います。

削除の保護を無効にするには、Terraform 構成ファイルで deletion_protection 引数を false に設定します。
```
deletion_protection =  "false"
```
次のコマンドを実行します。プロンプトで「yes」と入力して、更新された Terraform 構成を適用します。
```
terraform apply
```

次のコマンドを実行しています。プロンプトで「yes」と入力して、以前に Terraform 構成で適用されたリソースを削除します。
```
terraform destroy
```

テストインスタンスのバックアップオペレーションへのアクセスを制限する

すべてのテストインスタンスの接頭辞が test（例: test-instance-1）で、すべての本番環境インスタンスの接頭辞が prod（例: prod-instance-1）になるようにサービスのトポロジが構成されているとします。

バックアップオペレーションへのアクセスは、ユーザーまたはサービスアカウントのテストインスタンスに限定できます。アクセスを制限すると、テストインスタンスのバックアップに対する CREATE、GET、LIST、DELETE オペレーションを制限できます。

コンソール

Google Cloud コンソールの [IAM] ページに移動します。

[IAM] に移動
[プリンシパル] タブをクリックします。
アクセスを制限するユーザーのメールアドレスまたはサービスアカウント（プリンシパル）を見つけます。
プリンシパルの右側にある「プリンシパルを編集します」アイコンをクリックします。このアイコンは鉛筆として表示されます。
[権限の編集] ダイアログボックスで、[別のロールを追加] をクリックします。
次のダイアログボックスの [フィルタ] フィールドに「Cloud SQL Admin」と入力します。表示された [Cloud SQL 管理者] ロールを選択します。

[権限の編集] ダイアログボックスがアクティブになり、ダイアログボックスに [Cloud SQL 管理者] ロールが表示されます。
[Cloud SQL 管理者] ロールの右側にある [条件を追加] をクリックします。
[条件の編集] ダイアログボックスで、次の情報を入力します。
1. [タイトル] フィールドに、テストインスタンスのバックアップオペレーションへのアクセスを制限する条件の名前を入力します。たとえば、「Limit access to backup operations」と入力します。
2. [条件エディタ] タブをクリックして、次の条件を追加します。
```
resource.type == "sqladmin.googleapis.com/BackupRun" &&
resource.name.startsWith("projects/PROJECT_ID/instances/test")
    
```
  この条件は、選択したプリンシパルの Cloud SQL 管理者ロールのスコープを、リソース名が projects/PROJECT_ID/instances/test で始まるリソースに限定します。また、PROJECT_ID プレースホルダ変数を Google Cloud プロジェクトの名前に置き換えます。
[保存] をクリックします。
[権限の編集] ダイアログボックスで、[保存] をクリックします。

gcloud

この例では、次の変数を使用します。

PROJECT_ID: Google Cloud プロジェクト。
USER_EMAIL: ユーザーのメールアドレス。
SERVICE_ACCOUNT_EMAIL: アクセスを制限するサービスアカウントの完全なメールアドレス。

メールアドレスが USER_EMAIL のユーザーの cloudsql.admin ロールのスコープを制限します。

ロールのスコープは、projects/PROJECT_ID/instances/test で始まるリソース名のリソースに限定されます。

gcloud projects add-iam-policy-binding PROJECT_ID \ --member=user:USER_EMAIL \
--role=roles/cloudsql.admin \
--condition=expression="resource.type == \"sqladmin.googleapis.com/BackupRun\" && resource.name.startsWith(\"projects/PROJECT_ID/instances/test-instance-1\")",title="test"

または

サービスアカウント SERVICE_ACCOUNT_EMAIL でログインしているユーザーの cloudsql.admin ロールのスコープを制限します。

gcloud projects add-iam-policy-binding PROJECT_ID \ --member=serviceAccount:SERVICE_ACCOUNT_EMAIL \
--role=roles/cloudsql.admin \
--condition=expression="resource.type == \"sqladmin.googleapis.com/BackupRun\" && resource.name.startsWith(\"projects/PROJECT_ID/instances/test-instance-1\")",title="test"

ユーザーにテストインスタンスの削除を許可する（本番環境インスタンスの削除は許可しない）

サービスアカウントにテストインスタンスの削除を許可し、本番環境インスタンスの削除は許可しない場合について考えてみましょう。これを行うには、タグを使用して、サービスアカウントに次の 2 つのポリシーバインディングを追加します。

ロールを付与したリソースとその子孫に対する Cloud SQL 編集者のロール。プロジェクトにロールを付与すると、プロジェクト内のすべてのインスタンスにロールが適用されます。Cloud SQL 編集者のロールに cloudsql.instances.delete 権限は含まれていません。
test タグを持つインスタンスに対する Cloud SQL 管理者のロール。

コンソール

Google Cloud コンソールの [IAM] ページに移動します。

[IAM] に移動
[追加] をクリックします。
[新しいメンバー] フィールドに、サービスアカウントのメールアドレスを入力します。
[ロール] プルダウンリストをクリックし、[Cloud SQL 編集者] 選択します。このロールにはこれ以上何も追加しません。
[保存] をクリックして、条件を保存します。
同じアカウントの [ロール] メニューをクリックし、[Cloud SQL 管理者] を選択します。
[条件を追加] をクリックします。
タイトルと説明を入力します。
[条件エディタ] タブを選択します。
[条件ビルダー] セクションで、次の操作を行います。
- [条件タイプ] > [リソース] > [名前] の順に選択し、条件の名前を入力します。
- [条件タイプ] > [リソース] > [サービス] の順に選択し、[sqladmin.googleapis.com] を選択します。
- [条件タイプ] > [リソース] > [サービス] の順に移動し、タグキーの名前空間名を入力します。この例では、[Operator] は matches で、値は 815471563813/env/test です。
[保存] をクリックして、条件を保存します。
[保存] をクリックして、ポリシーを保存します。

gcloud

この例では、次の変数を使用します。

PROJECT_ID: Google Cloud プロジェクト。
INSTANCE_ID: Cloud SQL インスタンス。
REGION: Cloud SQL インスタンスが配置されているリージョン。
ORGANIZATION_ID: このタグキーの親リソースの組織 ID（例: 12345678901）。組織 ID を取得する方法については、組織の作成と管理をご覧ください。
SERVICE_ACCOUNT_EMAIL: アクセス権を変更するサービスアカウントの完全なメールアドレス。

タグ値が「prod」と「test」で、名前が「env」のタグキーを作成します。詳しくは、新しいタグの作成と定義をご覧ください。

gcloud alpha resource-manager tags keys create env \
--parent=organizations/ORGANIZATION_ID
gcloud alpha resource-manager tags values create prod \
--parent=env
gcloud alpha resource-manager tags values create test \
--parent=env

テスト環境の Cloud SQL インスタンスに、値「test」が指定された「env」タグを適用します。詳細については、Cloud SQL タグのページをご覧ください。

gcloud alpha resource-manager tags bindings create \
--tag-value=test \
--parent=//sqladmin.googleapis.com/projects/PROJECT_ID/instances/INSTANCE_ID \
--location=REGION

既存の IAM ポリシーバインディングを取得し、bindings.json ファイルに出力します。
```
gcloud projects get-iam-policy PROJECT_ID --format=json >> bindings.json
```

次の条件付きバインディングを bindings.json ファイルに追加します。

{
  "bindings": [
    {
      "role": "roles/cloudsql.editor",
      "members": [
          "serviceAccount:SERVICE_ACCOUNT_EMAIL"
        ]
    },
    {
      "role": "roles/cloudsql.admin",
      "members": [
          "serviceAccount:SERVICE_ACCOUNT_EMAIL"
        ],
      "condition": {
        "expression": "resource.matchTag('ORGANIZATION_ID/env', 'test')"
      }
    }
  ],
  "etag": "BwWKmjvelug="
  "version": 3
}

新しい bindings.json ファイルを使用して IAM ポリシーバインディングを更新します。
```
gcloud projects set-iam-policy PROJECT_ID bindings.json
```

IAM の条件を使用する

はじめに

ユーザーに特定のインスタンスへの接続を許可する

コンソール

gcloud

Terraform

変更を適用する

Cloud Shell を準備する

ディレクトリを準備する

変更を適用する

変更を削除する

テスト インスタンスのバックアップ オペレーションへのアクセスを制限する

コンソール

gcloud

ユーザーにテスト インスタンスの削除を許可する（本番環境インスタンスの削除は許可しない）

コンソール

gcloud

テストインスタンスのバックアップオペレーションへのアクセスを制限する

ユーザーにテストインスタンスの削除を許可する（本番環境インスタンスの削除は許可しない）