マネージドフォルダの IAM ポリシーを設定して管理する

このページでは、マネージドフォルダに Identity and Access Management（IAM）ポリシーを設定する方法について説明します。これにより、バケット内の特定のオブジェクトグループに対して、きめ細かいアクセス制御を行うことができます。

他のアクセス制御方法については、次のリソースをご覧ください。

バケット全体とバケット内のオブジェクトへのアクセスを制御する方法については、バケットの IAM ポリシーの設定と管理をご覧ください。
バケット内の個々のオブジェクトへのアクセスを制御する方法については、アクセス制御リストをご覧ください。
Cloud Storage リソースへのアクセスの制御について詳しくは、アクセス制御の概要をご覧ください。

必要なロール

マネージドフォルダの IAM ポリシーを設定および管理するために必要な権限を取得するには、マネージドフォルダを含むバケットに対するストレージのストレージフォルダ管理者（roles/storage.folderAdmin）IAM ロールを付与するよう管理者に依頼してください。

このロールには、マネージドフォルダの IAM ポリシーを設定および管理するために必要な次の権限が含まれています。

storage.managedfolders.getIamPolicy
storage.managedfolders.setIamPolicy

カスタムロールを使用して、これらの権限を取得することもできます。

バケットのロールの付与については、バケットでの IAM ポリシーの設定と管理をご覧ください。

マネージドフォルダに IAM ポリシーを設定する

コンソール

Google Cloud コンソールで、Cloud Storage の [バケット] ページに移動します。
[バケット] に移動
バケットのリストで、IAM ポリシーを設定するマネージドフォルダを含むバケットの名前をクリックします。
[バケットの詳細] ページの [フォルダブラウザ] ペインで、IAM ポリシーを設定するマネージドフォルダの横にあるその他のオプション アイコンをクリックします。

アクセスを制御するフォルダがシミュレートされたフォルダの場合は、マネージドフォルダを作成するの手順に沿って、シミュレートされたフォルダをマネージドフォルダに変換します。
[アクセス権を編集] をクリックします。
[MANAGED_FOLDER_NAME の権限] タブで、[プリンシパルを追加] をクリックします。
[新しいプリンシパル] フィールドに、アクセス権を付与するプリンシパルを入力します。追加できるプリンシパルの詳細については、プリンシパル ID をご覧ください。
[ロールの割り当て] セクションで、[ロールを選択] プルダウンを使用して、プリンシパルに付与するアクセスレベルを指定します。
[保存] をクリックします。

コマンドライン

次の情報が含まれる JSON ファイルを作成します。
```
{
  "bindings":[
    {
      "role": "IAM_ROLE",
      "members":[
        "PRINCIPAL_IDENTIFIER"
      ]
    }
  ]
}
```
ここで
- IAM_ROLE は、付与する IAM ロールです。例: roles/storage.objectViewer
- PRINCIPAL_IDENTIFIER は、マネージドフォルダへのアクセスを許可するユーザーを指定します。例: user:jane@gmail.comプリンシパル ID の形式の一覧については、プリンシパル ID をご覧ください。
gcloud storage managed-folders set-iam-policy コマンドを実行します。
```
gcloud storage managed-folders set-iam-policy gs://BUCKET_NAME/MANAGED_FOLDER_NAME POLICY_FILE
```
ここで
- BUCKET_NAME は、IAM ポリシーを適用するマネージドフォルダを含むバケットの名前です。例: my-bucket
- MANAGED_FOLDER_NAME は、IAM ポリシーを適用するマネージドフォルダの名前です。例: my-managed-folder/
- POLICY_FILE は、ステップ 1 で作成した JSON ファイルのパスです。

REST API

JSON

Authorization ヘッダーのアクセストークンを生成するには、gcloud CLI のインストールと初期化を行います。

OAuth 2.0 Playground を使用してアクセストークンを作成し、Authorization ヘッダーに含めることもできます。
次の情報が含まれる JSON ファイルを作成します。
```
{
  "bindings":[
    {
      "role": "IAM_ROLE",
      "members":[
        "PRINCIPAL_IDENTIFIER"
      ]
    }
  ]
}
```
ここで
- IAM_ROLE は、付与する IAM ロールです。例: roles/storage.objectViewer
- PRINCIPAL_IDENTIFIER は、マネージドフォルダへのアクセスを許可するユーザーを指定します。例: user:jane@gmail.comプリンシパル ID の形式の一覧については、プリンシパル ID をご覧ください。
cURL を使用して、PUT setIamPolicy リクエストで JSON API を呼び出します。
```
curl -X PUT --data-binary @POLICY_FILE \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "Content-Type: application/json" \
  "https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/managedFolders/MANAGED_FOLDER_NAME/iam"
```
ここで
- POLICY_FILE は、前の手順で作成した JSON ポリシーファイルのパスです。
- BUCKET_NAME は、IAM ポリシーを適用するマネージドフォルダを含むバケットの名前です。例: my-bucket
- MANAGED_FOLDER_NAME は、プリンシパルにアクセス権を付与するマネージドフォルダの名前です。例: my-managed-folder/

マネージドフォルダの IAM ポリシーを表示する

コンソール

Google Cloud コンソールで、Cloud Storage の [バケット] ページに移動します。
[バケット] に移動
バケットのリストで、IAM ポリシーを表示するマネージドフォルダを含むバケットの名前をクリックします。
[バケットの詳細] ページの [フォルダブラウザ] ペインで、IAM ポリシーを表示するマネージドフォルダの横にあるその他のオプション アイコンをクリックします。
[アクセス権を編集] をクリックします。

[FOLDER_NAME の権限] ペインに、プリンシパル、ロール、継承されたロール、IAM 条件など、マネージドフォルダの権限が表示されます。

コマンドライン

gcloud storage managed-folder get-iam-policy コマンドを実行します。

gcloud storage managed-folders get-iam-policy gs://BUCKET_NAME/MANAGED_FOLDER_NAME

ここで

BUCKET_NAME は、IAM ポリシーを表示するマネージドフォルダを含むバケットの名前です。例: my-bucket
MANAGED_FOLDER_NAME は、IAM ポリシーを表示するマネージドフォルダの名前です。例: my-managed-folder/

REST API

JSON

Authorization ヘッダーのアクセストークンを生成するには、gcloud CLI のインストールと初期化を行います。

OAuth 2.0 Playground を使用してアクセストークンを作成し、Authorization ヘッダーに含めることもできます。
cURL を使用して、GET getIamPolicy リクエストで JSON API を呼び出します。
```
curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/managedFolders/MANAGED_FOLDER_NAME/iam"
```
ここで
- BUCKET_NAME は、IAM ポリシーを表示するマネージドフォルダを含むバケットの名前です。例: my-bucket
- MANAGED_FOLDER_NAME は、IAM ポリシーを表示するマネージドフォルダの名前です。例: my-managed-folder/

マネージドフォルダポリシーからプリンシパルを削除する

コンソール

Google Cloud コンソールで、Cloud Storage の [バケット] ページに移動します。
[バケット] に移動
バケットのリストで、IAM ポリシーを表示するマネージドフォルダを含むバケットの名前をクリックします。
[バケットの詳細] ページの [フォルダブラウザ] ペインで、プリンシパルを削除するマネージドフォルダの横にあるその他のオプション アイコンをクリックします。
[アクセス権を編集] をクリックします。
[FOLDER_NAME の権限] ペインで、[フィルタ] フィールドにプリンシパルの名前を入力します。
削除アイコンをクリックしてプリンシパルを削除します。

Cloud Storage がマネージドフォルダからプリンシパルを削除します。

コマンドライン

gcloud storage managed-folder remove-iam-policy-binding コマンドを実行します。

gcloud storage managed-folders remove-iam-policy-binding  gs://BUCKET_NAME/MANAGED_FOLDER_NAME --member=PRINCIPAL_IDENTIFIER --role=IAM_ROLE

ここで

BUCKET_NAME は、アクセス権を取り消すマネージドフォルダを含むバケットの名前です。例: my-bucket
MANAGED_FOLDER_NAME は、IAM ポリシーを削除するマネージドフォルダの名前です。例: my-managed-folder/
PRINCIPAL_IDENTIFIER には、アクセス権を取り消すユーザーを指定します。たとえば、user:jane@gmail.com のようにします。プリンシパル ID の形式の一覧については、プリンシパル ID をご覧ください。
IAM_ROLE は、取り消す IAM ロールです。例: roles/storage.objectViewer

REST API

JSON

Authorization ヘッダーのアクセストークンを生成するには、gcloud CLI のインストールと初期化を行います。

OAuth 2.0 Playground を使用してアクセストークンを作成し、Authorization ヘッダーに含めることもできます。
マネージドフォルダに適用されている既存のポリシーを取得します。これを行うには、cURL を使用して、GET getIamPolicy リクエストで JSON API を呼び出します。
```
curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/managedFolders/MANAGED_FOLDER_NAME/iam"
```
ここで
- BUCKET_NAME は、アクセス権を取り消すマネージドフォルダを含むバケットの名前です。例: my-bucket
- MANAGED_FOLDER_NAME は、IAM ポリシーを削除するマネージドフォルダの名前です。例: my-managed-folder/
前の手順で取得したポリシーが含まれる JSON ファイルを作成します。
JSON ファイルを編集し、ポリシーからプリンシパルを削除します。
cURL を使用して、PUT setIamPolicy リクエストで JSON API を呼び出します。
```
curl -X PUT --data-binary @JSON_FILE_NAME \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/managedFolders/MANAGED_FOLDER_NAME/iam"
```
ここで
- JSON_FILE_NAME は、手順 3 で作成したファイルのパスです。
- BUCKET_NAME は、アクセス権を取り消すマネージドフォルダを含むバケットの名前です。例: my-bucket
- MANAGED_FOLDER_NAME は、IAM ポリシーを削除するマネージドフォルダの名前です。例: my-managed-folder/

マネージドフォルダで IAM Conditions を使用する

以降のセクションでは、マネージドフォルダで IAM Conditions を追加および削除する方法について説明します。マネージドフォルダの IAM Conditions を表示するには、マネージドフォルダの IAM ポリシーの表示をご覧ください。Cloud Storage での IAM Conditions の使用について詳しくは、Conditions をご覧ください。

マネージドフォルダに条件を追加する前に、バケットに対して均一なバケットレベルのアクセスを有効にする必要があります。

マネージドフォルダに新しい条件を設定する

コマンドライン

条件の title、条件の属性ベースの論理 expression、条件の description（任意）など、条件の定義を含む JSON または YAML ファイルを作成します。

Cloud Storage がサポートするのは、expression 内の日時、リソースタイプ、およびリソース名という属性のみです。
--condition-from-file フラグを指定して gcloud storage managed-folders add-iam-policy-binding コマンドを使用します。

gcloud storage managed-folders add-iam-policy-binding  gs://BUCKET_NAME/MANAGED_FOLDER_NAME --member=PRINCIPAL_IDENTIFIER --role=IAM_ROLE --condition-from-file=CONDITION_FILE

ここで

BUCKET_NAME は、プリンシパルにアクセス権を付与するマネージドフォルダを含むバケットの名前です。例: my-bucket
MANAGED_FOLDER_NAME は、プリンシパルにアクセス権を付与するマネージドフォルダの名前です。例: my-managed-folder/
PRINCIPAL_IDENTIFIER には、条件が適用されるユーザーを指定します。たとえば、user:jane@gmail.com のようにします。プリンシパル ID の形式の一覧については、プリンシパル ID をご覧ください。
IAM_ROLE は、プリンシパルに付与する IAM ロールです。例: roles/storage.objectViewer
CONDITION_FILE は前の手順で作成したファイルです。

あるいは、--condition-from-file フラグではなく、--condition フラグを使用して条件をコマンドに直接追加することもできます。

REST API

JSON

Authorization ヘッダーのアクセストークンを生成するには、gcloud CLI のインストールと初期化を行います。

OAuth 2.0 Playground を使用してアクセストークンを作成し、Authorization ヘッダーに含めることもできます。
GET getIamPolicy リクエストを使用して、マネージドフォルダの IAM ポリシーを一時 JSON ファイルに保存します。
```
curl \
'https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/managedFolders/MANAGED_FOLDER_NAMEiam' \
--header 'Authorization: Bearer $(gcloud auth print-access-token)' > tmp-policy.json
```
ここで
- BUCKET_NAME は、IAM 条件を設定するマネージドフォルダを含むバケットの名前です。
- MANAGED_FOLDER_NAME は、IAM Conditions を設定するマネージドフォルダの名前です。
テキストエディタで tmp-policy.json ファイルを編集して、IAM ポリシー内のバインディングに新しい条件を追加します。
```
{
    "version": VERSION,
    "bindings": [
      {
        "role": "IAM_ROLE",
        "members": [
          "PRINCIPAL_IDENTIFIER"
        ],
        "condition": {
          "title": "TITLE",
          "description": "DESCRIPTION",
          "expression": "EXPRESSION"
        }
      }
    ],
    "etag": "ETAG"
}
```
ここで
- VERSION は IAM ポリシーバージョンです。IAM Conditions を使用するマネージドフォルダでは 3 にする必要があります。
- IAM_ROLE は、条件が適用されるロールです。例: roles/storage.objectViewer
- PRINCIPAL_IDENTIFIER には、条件が適用されるユーザーを指定します。たとえば、user:jane@gmail.com のようにします。プリンシパル ID の形式の一覧については、プリンシパル ID をご覧ください。
- TITLE は、条件のタイトルです。例: expires in 2019。
- DESCRIPTION は、条件の省略可能な説明です。例: Permission revoked on New Year's
- EXPRESSION は、属性ベースの論理式です。例: request.time < timestamp(\"2019-01-01T00:00:00Z\")他の式の例については、条件属性のリファレンスをご覧ください。Cloud Storage がサポートするのは、日時、リソースタイプ、およびリソース名という属性のみです。
ETAG は変更しないでください。
PUT setIamPolicy リクエストを使用して、変更した IAM ポリシーをバケットに設定します。
```
curl -X PUT --data-binary @tmp-policy.json \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/managedFoldersMANAGED_FOLDER_NAME/iam"
```
ここで
- BUCKET_NAME は、IAM 条件を設定するマネージドフォルダを含むバケットの名前です。
- MANAGED_FOLDER_NAME は、IAM Conditions を設定するマネージドフォルダの名前です。

マネージドフォルダから条件を削除する

コマンドライン

gcloud storage managed-folders get-iam-policy コマンドを使用して、マネージドフォルダの IAM ポリシーを一時 JSON ファイルに保存します。
```
gcloud storage managed-folders get-iam-policy gs://BUCKET_NAME/MANAGED_FOLDER_NAME > tmp-policy.json
```
テキストエディタで tmp-policy.json ファイルを編集し、IAM ポリシーから条件を削除します。
gcloud storage managed-folders set-iam-policy コマンドを使用して、変更した IAM ポリシーを管理フォルダに設定します。
```
gcloud storage managed-folders set-iam-policy gs://BUCKET_NAME/MANAGED_FOLDER_NAME tmp-policy.json
```

REST API

JSON

Authorization ヘッダーのアクセストークンを生成するには、gcloud CLI のインストールと初期化を行います。

OAuth 2.0 Playground を使用してアクセストークンを作成し、Authorization ヘッダーに含めることもできます。
GET getIamPolicy リクエストを使用して、マネージドフォルダの IAM ポリシーを一時 JSON ファイルに保存します。
```
curl \
'https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/managedFolders/MANAGED_FOLDER_NAMEiam' \
--header 'Authorization: Bearer $(gcloud auth print-access-token)' > tmp-policy.json
```
ここで
- BUCKET_NAME は、アクセス権を変更するマネージドフォルダを含むバケットの名前です。例: my-bucket
- MANAGED_FOLDER_NAME は、アクセス権を変更するマネージドフォルダの名前です。例: my-managed-folder/
テキストエディタで tmp-policy.json ファイルを編集し、IAM ポリシーから条件を削除します。
PUT setIamPolicy リクエストを使用して、変更した IAM ポリシーをマネージドフォルダに設定します。
```
curl -X PUT --data-binary @tmp-policy.json \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/managedFolders/MANAGED_FOLDER_NAMEiam"
```
ここで
- BUCKET_NAME は、アクセス権を変更するマネージドフォルダを含むバケットの名前です。例: my-bucket
- MANAGED_FOLDER_NAME は、アクセス権を変更するマネージドフォルダの名前です。例: my-managed-folder/

プロジェクトで IAM を使用する

プロジェクトレベル以上での IAM ロールの付与と取り消しに関するガイドについては、プロジェクト、マネージドフォルダ、組織へのアクセスの管理をご覧ください。

ベストプラクティス

プリンシパルに必要なアクセス権を付与する、最小権限のロールを設定する必要があります。たとえば、チームのメンバーがバケット内のマネージドフォルダの表示のみを行う必要がある場合は、ストレージフォルダ管理者（roles/storage.folderAdmin）ロールではなく、Storage オブジェクト管理者（roles/storage.objectAdmin）ロールを付与します。同様に、チームのメンバーがバケット内のマネージドフォルダに対してすべての操作を行う必要がある場合は、ストレージ管理者（roles/storage.admin）ロールではなく、ストレージフォルダ管理者（roles/storage.folderAdmin）ロールを付与します。

次のステップ

データを公開して共有する方法を学習する。
共有と共同作業の例を確認する。
IAM 使用時のベストプラクティスについて学習する。
IAM のロールと権限に関連する失敗したオペレーションのトラブルシューティングを行う。トラブルシューティングをご覧ください。

マネージド フォルダの IAM ポリシーを設定して管理する

必要なロール

マネージド フォルダに IAM ポリシーを設定する

コンソール

コマンドライン

REST API

JSON

マネージド フォルダの IAM ポリシーを表示する

コンソール

コマンドライン

REST API

JSON

マネージド フォルダ ポリシーからプリンシパルを削除する

コンソール

コマンドライン

REST API

JSON

マネージド フォルダで IAM Conditions を使用する

マネージド フォルダに新しい条件を設定する

コマンドライン

REST API

JSON

マネージド フォルダから条件を削除する

コマンドライン

REST API

JSON

プロジェクトで IAM を使用する

ベスト プラクティス

次のステップ

マネージドフォルダの IAM ポリシーを設定して管理する

マネージドフォルダに IAM ポリシーを設定する

マネージドフォルダの IAM ポリシーを表示する

マネージドフォルダポリシーからプリンシパルを削除する

マネージドフォルダで IAM Conditions を使用する

マネージドフォルダに新しい条件を設定する

マネージドフォルダから条件を削除する

ベストプラクティス