Cloud IAM 権限の使用

このページでは、Cloud Identity and Access Management（Cloud IAM）権限を使用して、バケットとオブジェクトへのアクセスを制御する方法を説明します。Cloud IAM を使用すると、バケットとオブジェクトにアクセスできるユーザーを制御できます。Cloud Storage に適用される Cloud IAM の概要については、Cloud IAM の概要をご覧ください。

バケットとオブジェクトへのアクセスを制御するその他の方法については、アクセス制御の概要をご覧ください。バケット内のオブジェクトのアクセスを個別に制御する方法については、アクセス制御リストをご覧ください。

注: Cloud IAM ポリシーは XML API で管理できません。

バケットで Cloud IAM を使用する

バケットで基本的な Cloud IAM タスクを行う方法について説明します。

バケットレベルのポリシーにメンバーを追加する

Cloud Storage に関連付けられている役割のリストについては、Cloud IAM 役割をご覧ください。Cloud IAM 役割を付与するエンティティの詳細については、メンバーのタイプをご覧ください。

Console

1. Google Cloud Platform Console で Cloud Storage ブラウザを開きます。
   Cloud Storage ブラウザを開く

2. メンバーに役割を付与するバケットのプルダウン メニューをクリックします。

   プルダウン メニューはバケットの行の右側にあり、3 つの縦方向のドットで表示されます。

3. [バケットの権限を編集] を選択します。

4. [メンバーを追加] フィールドに、バケットにアクセスが必要な ID を 1 つ以上入力します。

   

5. [役割を選択] プルダウン メニューから役割を選択します。選択した役割と付与する権限の簡単な説明がパネルに表示されます。

6. [追加] をクリックします。

gsutil

gsutil iam ch コマンドを使用します。

gsutil iam ch [MEMBER_TYPE]:[MEMBER_NAME]:[IAM_ROLE] gs://[BUCKET_NAME]

ここで

• [MEMBER_TYPE] はバケットのアクセス権を付与するメンバーのタイプです。例: user。
• [MEMBER_NAME] はバケットのアクセス権を付与するメンバーの名前です。例: [e-mail]。
• [IAM_ROLE] はメンバーに付与する IAM 役割です。例: roles/storage.objectCreator。
• [BUCKET_NAME] は、メンバーのアクセス権を付与するバケットの名前です。例: my-bucket。

[MEMBER_TYPE]:[MEMBER_NAME]:[IAM_ROLE] のフォーマットに関するその他の例については、gsutil iam ch リファレンス ページをご覧ください。

コードサンプル

C++

詳細については、Cloud Storage C++ API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

namespace gcs = google::cloud::storage;
using ::google::cloud::StatusOr;
[](gcs::Client client, std::string bucket_name, std::string role,
   std::string member) {
  auto policy = client.GetNativeBucketIamPolicy(bucket_name);

  if (!policy) {
    throw std::runtime_error(policy.status().message());
  }

  for (auto& binding : policy->bindings()) {
    if (binding.role() != role) {
      continue;
    }
    auto& members = binding.members();
    if (std::find(members.begin(), members.end(), member) == members.end()) {
      members.emplace_back(member);
    }
  }

  auto updated_policy = client.SetNativeBucketIamPolicy(bucket_name, *policy);

  if (!updated_policy) {
    throw std::runtime_error(updated_policy.status().message());
  }

  std::cout << "Updated IAM policy bucket " << bucket_name
            << ". The new policy is " << *updated_policy << "\n";
}

C#

詳細については、Cloud Storage C# API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

private void AddBucketIamMember(string bucketName,
    string role, string member)
{
    var storage = StorageClient.Create();
    var policy = storage.GetBucketIamPolicy(bucketName);
    Policy.BindingsData bindingToAdd = new Policy.BindingsData();
    bindingToAdd.Role = role;
    string[] members = { member };
    bindingToAdd.Members = members;
    policy.Bindings.Add(bindingToAdd);
    storage.SetBucketIamPolicy(bucketName, policy);
    Console.WriteLine($"Added {member} with role {role} "
        + $"to {bucketName}");
}

Go

詳細については、Cloud Storage Go API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

bucket := c.Bucket(bucketName)
policy, err := bucket.IAM().Policy(ctx)
if err != nil {
	return err
}
// Other valid prefixes are "serviceAccount:", "user:"
// See the documentation for more values.
// https://cloud.google.com/storage/docs/access-control/iam
policy.Add("group:[e-mail]", "roles/storage.objectViewer")
if err := bucket.IAM().SetPolicy(ctx, policy); err != nil {
	return err
}
// NOTE: It may be necessary to retry this operation if IAM policies are
// being modified concurrently. SetPolicy will return an error if the policy
// was modified since it was retrieved.

Java

詳細については、Cloud Storage Java API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

// Initialize a Cloud Storage client
Storage storage = StorageOptions.getDefaultInstance().getService();

// Get IAM Policy for a bucket
Policy policy = storage.getIamPolicy(bucketName);

// Add identity to Bucket-level IAM role
Policy updatedPolicy =
    storage.setIamPolicy(bucketName, policy.toBuilder().addIdentity(role, identity).build());

if (updatedPolicy.getBindings().get(role).contains(identity)) {
  System.out.printf("Added %s with role %s to %s\n", identity, role, bucketName);
}

Node.js

詳細については、Cloud Storage Node.js API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

// Imports the Google Cloud client library
const {Storage} = require('@google-cloud/storage');

/**
 * TODO(developer): Uncomment the following lines before running the sample.
 */
// const bucketName = 'Name of a bucket, e.g. my-bucket';
// const roleName = 'Role to grant, e.g. roles/storage.objectViewer';
// const members = [
//   'user:[e-mail]',    // Example members to grant
//   'group:[e-mail]', // the new role to
// ];

// Creates a client
const storage = new Storage();

// Get a reference to a Google Cloud Storage bucket
const bucket = storage.bucket(bucketName);

// Gets and updates the bucket's IAM policy
const [policy] = await bucket.iam.getPolicy();

// Adds the new roles to the bucket's IAM policy
policy.bindings.push({
  role: roleName,
  members: members,
});

// Updates the bucket's IAM policy
await bucket.iam.setPolicy(policy);

console.log(
  `Added the following member(s) with role ${roleName} to ${bucketName}:`
);

members.forEach(member => {
  console.log(`  ${member}`);
});

PHP

詳細については、Cloud Storage PHP API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

use Google\Cloud\Storage\StorageClient;

/**
 * Adds a new member / role IAM pair to a given Cloud Storage bucket.
 *
 * @param string $bucketName the name of your Cloud Storage bucket.
 * @param string $role the role you want to add a given member to.
 * @param string $member the member you want to give the new role for the Cloud
 * Storage bucket.
 *
 * @return void
 */
function add_bucket_iam_member($bucketName, $role, $member)
{
    $storage = new StorageClient();
    $bucket = $storage->bucket($bucketName);

    $policy = $bucket->iam()->policy();

    $policy['bindings'][] = [
        'role' => $role,
        'members' => [$member]
    ];

    $bucket->iam()->setPolicy($policy);

    printf('User %s added to role %s for bucket %s' . PHP_EOL, $member, $role, $bucketName);
}

Python

詳細については、Cloud Storage Python API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

def add_bucket_iam_member(bucket_name, role, member):
    storage_client = storage.Client()
    bucket = storage_client.bucket(bucket_name)

    policy = bucket.get_iam_policy()

    policy[role].add(member)

    bucket.set_iam_policy(policy)

    print('Added {} with role {} to {}.'.format(
         member, role, bucket_name))

Ruby

詳細については、Cloud Storage Ruby API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

# project_id  = "Your Google Cloud project ID"
# bucket_name = "Your Google Cloud Storage bucket name"
# role        = "Bucket-level IAM role"
# member      = "Bucket-level IAM member"

require "google/cloud/storage"

storage = Google::Cloud::Storage.new project_id: project_id
bucket = storage.bucket bucket_name

bucket.policy do |policy|
  policy.add role, member
end

puts "Added #{member} with role #{role} to #{bucket_name}"

JSON

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. 次の情報が含まれる .json ファイルを作成します。

   {
     "bindings":[
       {
         "role": "[IAM_ROLE]",
         "members":[
           "[MEMBER_NAME]"
         ]
       }
     ]
   }

   ここで

   • [IAM_ROLE] はメンバーに付与する IAM 役割です。例: roles/storage.objectCreator。

   • [MEMBER_NAME] はバケットのアクセス権を付与するメンバーの名前です。例: [e-mail]。

     [MEMBER_NAME] のフォーマットに関するその他の例については、こちらからメンバーのセクションをご覧ください。

3. cURL を使用して JSON API を呼び出し、PUT setIamPolicy リクエストを行います。

   curl -X PUT --data-binary @[JSON_FILE_NAME].json \
     -H "Authorization: Bearer [OAUTH2_TOKEN]" \
     -H "Content-Type: application/json" \
     "https://www.googleapis.com/storage/v1/b/[BUCKET_NAME]/iam"

   ここで

   • [JSON_FILE_NAME] は、ステップ 2 で作成したファイルの名前です。
   • [OAUTH2_TOKEN] は、ステップ 1 で生成したアクセス トークンです。
   • [BUCKET_NAME] は、メンバーのアクセス権を付与するバケットの名前です。例: my-bucket。

注: メンバーに必要なアクセス権を付与する、最小限の権限を設定する必要があります。たとえば、チームのメンバーがバケットに保存されているオブジェクトの読み取りだけを行う場合には、ストレージ オブジェクト閲覧者の役割を選択します。同様に、チームのメンバーがバケット内のオブジェクトにすべての操作を実行する必要がある場合（ただし、バケット自体の操作は行わない場合）には、ストレージ オブジェクト管理者を選択します。

バケットに適用される Cloud IAM ポリシーを表示する

Console

1. Google Cloud Platform Console で Cloud Storage ブラウザを開きます。
   Cloud Storage ブラウザを開く

2. 役割のメンバーを表示するバケットのプルダウン メニューをクリックします。

   プルダウン メニューは、バケット名の右側に 3 つの縦方向のドットとして表示されます。

3. [バケットの権限を編集] を選択します。

4. 必要な役割を展開して、役割に割り当てられているメンバーを表示します。

5. （省略可）検索バーを使用して、役割またはメンバーで結果をフィルタリングします。

   メンバーで検索すると、メンバーが割り当てられている役割が表示されます。

gsutil

gsutil iam get コマンドを使用します。

gsutil iam get gs://[BUCKET_NAME]

ここで、[BUCKET_NAME] は Cloud IAM ポリシーを表示するバケットの名前です。例: my-bucket。

コードサンプル

C++

詳細については、Cloud Storage C++ API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

namespace gcs = google::cloud::storage;
using ::google::cloud::StatusOr;
[](gcs::Client client, std::string bucket_name) {
  auto policy = client.GetNativeBucketIamPolicy(bucket_name);

  if (!policy) {
    throw std::runtime_error(policy.status().message());
  }

  std::cout << "The IAM policy for bucket " << bucket_name << " is "
            << *policy << "\n";
}

C#

詳細については、Cloud Storage C# API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

private void ViewBucketIamMembers(string bucketName)
{
    var storage = StorageClient.Create();
    var policy = storage.GetBucketIamPolicy(bucketName);
    foreach (var binding in policy.Bindings)
    {
        Console.WriteLine($"  Role: {binding.Role}");
        Console.WriteLine("  Members:");
        foreach (var member in binding.Members)
        {
            Console.WriteLine($"    {member}");
        }
    }
}

Go

詳細については、Cloud Storage Go API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

policy, err := c.Bucket(bucketName).IAM().Policy(ctx)
if err != nil {
	return nil, err
}
for _, role := range policy.Roles() {
	log.Printf("%q: %q", role, policy.Members(role))
}

Java

詳細については、Cloud Storage Java API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

// Initialize a Cloud Storage client
Storage storage = StorageOptions.getDefaultInstance().getService();

// Get IAM Policy for a bucket
Policy policy = storage.getIamPolicy(bucketName);

// Print Roles and its identities
Map<Role, Set<Identity>> policyBindings = policy.getBindings();
for (Map.Entry<Role, Set<Identity>> entry : policyBindings.entrySet()) {
  System.out.printf("Role: %s Identities: %s\n", entry.getKey(), entry.getValue());
}

Node.js

詳細については、Cloud Storage Node.js API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

// Imports the Google Cloud client library
const {Storage} = require('@google-cloud/storage');

// Creates a client
const storage = new Storage();

/**
 * TODO(developer): Uncomment the following line before running the sample.
 */
// const bucketName = 'Name of a bucket, e.g. my-bucket';

// Gets and displays the bucket's IAM policy
const results = await storage.bucket(bucketName).iam.getPolicy();

const policy = results[0].bindings;

// Displays the roles in the bucket's IAM policy
console.log(`Roles for bucket ${bucketName}:`);
policy.forEach(role => {
  console.log(`  Role: ${role.role}`);
  console.log(`  Members:`);

  const members = role.members;
  members.forEach(member => {
    console.log(`    ${member}`);
  });
});

PHP

詳細については、Cloud Storage PHP API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

use Google\Cloud\Storage\StorageClient;

/**
 * View Bucket IAM members for a given Cloud Storage bucket.
 *
 * @param string $bucketName the name of your Cloud Storage bucket.
 *
 * @return void
 */
function view_bucket_iam_members($bucketName)
{
    $storage = new StorageClient();
    $bucket = $storage->bucket($bucketName);

    $policy = $bucket->iam()->policy();

    printf('Printing Bucket IAM members for Bucket: %s' . PHP_EOL, $bucketName);
    printf(PHP_EOL);

    foreach ($policy['bindings'] as $binding) {
        printf('Role: %s' . PHP_EOL, $binding['role']);
        printf('Members:' . PHP_EOL);
        foreach ($binding['members'] as $member) {
            printf('  %s' . PHP_EOL, $member);
        }
        printf(PHP_EOL);
    }
}

Python

詳細については、Cloud Storage Python API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

def view_bucket_iam_members(bucket_name):
    storage_client = storage.Client()
    bucket = storage_client.bucket(bucket_name)

    policy = bucket.get_iam_policy()

    for role in policy:
        members = policy[role]
        print('Role: {}, Members: {}'.format(role, members))

Ruby

詳細については、Cloud Storage Ruby API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

# project_id  = "Your Google Cloud project ID"
# bucket_name = "Your Google Cloud Storage bucket name"

require "google/cloud/storage"

storage = Google::Cloud::Storage.new project_id: project_id
bucket = storage.bucket bucket_name

policy = bucket.policy

policy.roles.each do |role, members|
  puts "Role: #{role} Members: #{members}"
end

JSON

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. cURL を使用して JSON API を呼び出し、GET getIamPolicy リクエストを行います。

   curl -X GET \
     -H "Authorization: Bearer [OAUTH2_TOKEN]" \
     "https://www.googleapis.com/storage/v1/b/[BUCKET_NAME]/iam"

   ここで

   • [OAUTH2_TOKEN] は、ステップ 1 で生成したアクセス トークンです。
   • [BUCKET_NAME] は、Cloud IAM ポリシーを表示するバケットの名前です。例: my-bucket。

注: 一部の役割はバケット権限ウィンドウに表示されない場合があります。プロジェクト レベルで割り当てた役割は、この役割のユーザーがバケットに対するアクセスを許可されていても、バケット権限ウィンドウに表示されません。これらのプロジェクト レベルの権限を表示するには、[IAM と管理] 画面に移動してください。

バケットレベルのポリシーからメンバーを削除する

Console

1. Google Cloud Platform Console で Cloud Storage ブラウザを開きます。
   Cloud Storage ブラウザを開く

2. メンバーの役割を削除するバケットのプルダウン メニューをクリックします。

   プルダウン メニューは、バケット名の右側に 3 つの縦方向のドットとして表示されます。

3. [バケットの権限を編集] を選択します。

4. 削除するメンバーが含まれている役割を展開します。

5. メンバーにカーソルを合わせて、表示されたゴミ箱のアイコンをクリックします。

   

6. 上に重なったウィンドウで [削除] をクリックします。

gsutil

gsutil iam ch コマンドと -d フラグを組み合わせて使用します。

gsutil iam ch -d [MEMBER_TYPE]:[MEMBER_NAME] gs://[BUCKET_NAME]

ここで

• [MEMBER_TYPE] は、ポリシーから削除するメンバーのタイプです。例: user。
• [MEMBER_NAME] は、ポリシーから削除するメンバーの名前です。例: [e-mail]。
• [BUCKET_NAME] はバケットの名前で、このバケットからメンバーのアクセス権を削除します。例: my-bucket。

[MEMBER_TYPE]:[MEMBER_NAME] のフォーマットに関するその他の例については、gsutil iam ch リファレンス ページをご覧ください。

コードサンプル

C++

詳細については、Cloud Storage C++ API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

namespace gcs = google::cloud::storage;
using ::google::cloud::StatusOr;
[](gcs::Client client, std::string bucket_name, std::string role,
   std::string member) {
  auto policy = client.GetNativeBucketIamPolicy(bucket_name);
  if (!policy) {
    throw std::runtime_error(policy.status().message());
  }

  std::vector<google::cloud::storage::NativeIamBinding> updated_bindings;
  for (auto& binding : policy->bindings()) {
    auto& members = binding.members();
    if (binding.role() == role) {
      members.erase(std::remove(members.begin(), members.end(), member),
                    members.end());
    }
    if (!members.empty()) {
      updated_bindings.emplace_back(std::move(binding));
    }
  }
  policy->bindings() = std::move(updated_bindings);

  auto updated_policy = client.SetNativeBucketIamPolicy(bucket_name, *policy);

  if (!updated_policy) {
    throw std::runtime_error(updated_policy.status().message());
  }

  std::cout << "Updated IAM policy bucket " << bucket_name
            << ". The new policy is " << *updated_policy << "\n";
}

C#

詳細については、Cloud Storage C# API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

private void RemoveBucketIamMember(string bucketName,
    string role, string member)
{
    var storage = StorageClient.Create();
    var policy = storage.GetBucketIamPolicy(bucketName);
    policy.Bindings.ToList().ForEach(response =>
    {
        if (response.Role == role)
        {
            // Remove the role/member combo from the IAM policy.
            response.Members = response.Members
                .Where(m => m != member).ToList();
            // Remove role if it contains no members.
            if (response.Members.Count == 0)
            {
                policy.Bindings.Remove(response);
            }
        }
    });
    // Set the modified IAM policy to be the current IAM policy.
    storage.SetBucketIamPolicy(bucketName, policy);
    Console.WriteLine($"Removed {member} with role {role} "
        + $"to {bucketName}");
}

Go

詳細については、Cloud Storage Go API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

bucket := c.Bucket(bucketName)
policy, err := bucket.IAM().Policy(ctx)
if err != nil {
	return err
}
// Other valid prefixes are "serviceAccount:", "user:"
// See the documentation for more values.
// https://cloud.google.com/storage/docs/access-control/iam
policy.Remove("group:[e-mail]", "roles/storage.objectViewer")
if err := bucket.IAM().SetPolicy(ctx, policy); err != nil {
	return err
}
// NOTE: It may be necessary to retry this operation if IAM policies are
// being modified concurrently. SetPolicy will return an error if the policy
// was modified since it was retrieved.

Java

詳細については、Cloud Storage Java API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

// Initialize a Cloud Storage client
Storage storage = StorageOptions.getDefaultInstance().getService();

// Get IAM Policy for a bucket
Policy policy = storage.getIamPolicy(bucketName);

// Remove an identity from a Bucket-level IAM role
Policy updatedPolicy =
    storage.setIamPolicy(bucketName, policy.toBuilder().removeIdentity(role, identity).build());

if (updatedPolicy.getBindings().get(role) == null
    || !updatedPolicy.getBindings().get(role).contains(identity)) {
  System.out.printf("Removed %s with role %s from %s\n", identity, role, bucketName);
}

Node.js

詳細については、Cloud Storage Node.js API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

// Imports the Google Cloud client library
const {Storage} = require('@google-cloud/storage');

/**
 * TODO(developer): Uncomment the following lines before running the sample.
 */
// const bucketName = 'Name of a bucket, e.g. my-bucket';
// const roleName = 'Role to grant, e.g. roles/storage.objectViewer';
// const members = [
//   'user:[e-mail]',    // Example members to grant
//   'group:[e-mail]', // the new role to
// ];

// Creates a client
const storage = new Storage();

// Get a reference to a Google Cloud Storage bucket
const bucket = storage.bucket(bucketName);

// Gets and updates the bucket's IAM policy
const [policy] = await bucket.iam.getPolicy();

// Finds and updates the appropriate role-member group
const index = policy.bindings.findIndex(role => role.role === roleName);
const role = policy.bindings[index];
if (role) {
  role.members = role.members.filter(
    member => members.indexOf(member) === -1
  );

  // Updates the policy object with the new (or empty) role-member group
  if (role.members.length === 0) {
    policy.bindings.splice(index, 1);
  } else {
    policy.bindings.index = role;
  }

  // Updates the bucket's IAM policy
  await bucket.iam.setPolicy(policy);
} else {
  // No matching role-member group(s) were found
  throw new Error('No matching role-member group(s) found.');
}

console.log(
  `Removed the following member(s) with role ${roleName} from ${bucketName}:`
);
members.forEach(member => {
  console.log(`  ${member}`);
});

PHP

詳細については、Cloud Storage PHP API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

use Google\Cloud\Core\Iam\PolicyBuilder;
use Google\Cloud\Storage\StorageClient;

/**
 * Removes a member / role IAM pair from a given Cloud Storage bucket.
 *
 * @param string $bucketName the name of your Cloud Storage bucket.
 * @param string $role the role you want to remove a given member from.
 * @param string $member the member you want to remove from the given role.
 *
 * @return void
 */
function remove_bucket_iam_member($bucketName, $role, $member)
{
    $storage = new StorageClient();
    $bucket = $storage->bucket($bucketName);
    $policy = $bucket->iam()->policy();
    $policyBuilder = new PolicyBuilder($policy);
    $policyBuilder->removeBinding($role, [$member]);

    $bucket->iam()->setPolicy($policyBuilder->result());
    printf('User %s removed from role %s for bucket %s' . PHP_EOL, $member, $role, $bucketName);
}

Python

詳細については、Cloud Storage Python API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

def remove_bucket_iam_member(bucket_name, role, member):
    storage_client = storage.Client()
    bucket = storage_client.bucket(bucket_name)

    policy = bucket.get_iam_policy()

    policy[role].discard(member)

    bucket.set_iam_policy(policy)

    print('Removed {} with role {} from {}.'.format(
        member, role, bucket_name))

Ruby

詳細については、Cloud Storage Ruby API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

# project_id  = "Your Google Cloud project ID"
# bucket_name = "Your Google Cloud Storage bucket name"
# role        = "Bucket-level IAM role"
# member      = "Bucket-level IAM member"

require "google/cloud/storage"

storage = Google::Cloud::Storage.new project_id: project_id
bucket = storage.bucket bucket_name

bucket.policy do |policy|
  policy.remove role, member
end

puts "Removed #{member} with role #{role} from #{bucket_name}"

JSON

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. プロジェクトに適用されている既存のポリシーを取得します。この操作を行うには、cURL を使用して JSON API を呼び出し、GET getIamPolicy リクエストを行います。

   curl -X GET \
     -H "Authorization: Bearer [OAUTH2_TOKEN]" \
     "https://www.googleapis.com/storage/v1/b/[BUCKET_NAME]/iam"

   ここで

   • [OAUTH2_TOKEN] は、ステップ 1 で生成したアクセス トークンです。
   • [BUCKET_NAME] は、Cloud IAM ポリシーを表示するバケットの名前です。例: my-bucket。

3. 前の手順で取得したポリシーが含まれる .json ファイルを作成します。

4. .json ファイルを編集し、ポリシーからメンバーを削除します。

5. cURL を使用して JSON API を呼び出し、PUT setIamPolicy リクエストを行います。

   curl -X PUT --data-binary @[JSON_FILE_NAME].json \
     -H "Authorization: Bearer [OAUTH2_TOKEN]" \
     -H "Content-Type: application/json" \
     "https://www.googleapis.com/storage/v1/b/[BUCKET_NAME]/iam"

   ここで

   • [JSON_FILE_NAME] は、ステップ 3 で作成したファイルの名前です。
   • [OAUTH2_TOKEN] は、ステップ 1 で生成したアクセス トークンです。
   • [BUCKET_NAME] はバケットの名前で、このバケットからメンバーのアクセス権を削除します。例: my-bucket。

重要: 通常、アクセス権の取り消しが有効になるまでに 1 分ほどかかります。処理に時間がかかる場合もあります。ユーザーのアクセス権を取り消すと、この変更はバケットのメタデータにすぐに反映されますが、少しの間、そのユーザーがオブジェクトにアクセスできる場合があります。

プロジェクトで Cloud IAM を使用する

プロジェクトで基本的な Cloud IAM タスクを行う方法について説明します。これらのタスクでは、大半の Cloud Storage タスクとは別のコマンドライン コマンド gcloud と別のエンドポイント cloudresourcemanager.googleapis.com を使用します。

プロジェクト レベルのポリシーにメンバーを追加する

Cloud Storage に関連付けられている役割のリストについては、Cloud IAM 役割をご覧ください。Cloud IAM 役割を付与するエンティティの詳細については、メンバーのタイプをご覧ください。

Console

1. Google Cloud Platform Console で [IAM と管理] ブラウザを開きます。
   [IAM と管理] ブラウザを開く

2. メンバーの追加先のプロジェクトを選択します。

   

3. [メンバーを追加] ダイアログで、アクセス権を付与するエンティティの名前を指定します。

   

4. [役割を選択] プルダウン メニューで、チームメンバーに必要な権限を設定します。

   Cloud Storage のバケットとオブジェクトに影響を及ぼす役割は、[プロジェクト] と [ストレージ] サブメニューに表示されます。

5. [追加] をクリックします。

gsutil

プロジェクト レベルの Cloud IAM ポリシーは、gcloud コマンドで管理します。このコマンドは Google Cloud SDK に含まれています。プロジェクト レベルのポリシーを追加するには、gcloud beta projects add-iam-policy-binding を使用します。

JSON

注: このタスクでは、ほとんどの Cloud Storage タスクとは別のエンドポイントを使用します。

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. 次の情報が含まれる .json ファイルを作成します。

   {
     "policy": {
       "version": "0",
       "bindings": {
         "role": "[IAM_ROLE]",
         "members": "[MEMBER_NAME]"
       },
     }
   }

   ここで

   • [IAM_ROLE] はメンバーに付与する IAM 役割です。例: roles/storage.objectCreator。
   • [MEMBER_NAME] はプロジェクトのアクセス権を付与するメンバーのタイプと名前です。例: user:[e-mail]。

3. cURL を使用して Resource Manager API を呼び出し、POST setIamPolicy リクエストを行います。

   curl -X POST --data-binary @[JSON_FILE_NAME].json \
     -H "Authorization: Bearer [OAUTH2_TOKEN]" \
     -H "Content-Type: application/json" \
     "https://cloudresourcemanager.googleapis.com/v1/projects/[PROJECT_NAME]:setIamPolicy"

   ここで

   • [JSON_FILE_NAME] は、ステップ 2 で作成したファイルの名前です。
   • [OAUTH2_TOKEN] は、ステップ 1 で生成したアクセス トークンです。
   • [PROJECT_NAME] はメンバーのアクセス権を付与するプロジェクトの名前です。例: my-project。

注: メンバーに必要なアクセス権を付与する、最小限の権限を設定する必要があります。たとえば、チームのメンバーがプロジェクトに保存されているオブジェクトの読み取りだけを行う場合には、ストレージ オブジェクト閲覧者の権限を選択します。同様に、チームのメンバーがバケット内のオブジェクトにすべての操作を実行する必要がある場合（ただし、バケット自体の操作は行わない場合）には、ストレージ オブジェクト管理者を選択します。

プロジェクトに適用される Cloud IAM ポリシーを表示する

Console

1. Google Cloud Platform Console で [IAM と管理] ブラウザを開きます。
   [IAM と管理] ブラウザを開く

2. ポリシーを表示するプロジェクトを選択します。

3. 個々の役割に関連するプルダウンを使用して、役割を持つメンバーを確認します。あるいは、[メンバー検索] ダイアログを使用して、結果をフィルタリングします。

gsutil

プロジェクト レベルの Cloud IAM ポリシーは、gcloud コマンドで管理します。このコマンドは Google Cloud SDK に含まれています。プロジェクトの Cloud IAM ポリシーを表示するには、gcloud beta projects get-iam-policy コマンドを使用します。

JSON

注: このタスクでは、ほとんどの Cloud Storage タスクとは別のエンドポイントを使用します。

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. cURL を使用して Resource Manager API を呼び出し、POST getIamPolicy リクエストを行います。

   curl -X POST \
     -H "Authorization: Bearer [OAUTH2_TOKEN]" \
     -H "Content-Length: 0" \
     "https://cloudresourcemanager.googleapis.com/v1/projects/[PROJECT_NAME]:getIamPolicy"

   ここで

   • [OAUTH2_TOKEN] は、ステップ 1 で生成したアクセス トークンです。
   • [PROJECT_NAME] はメンバーのアクセス権を付与するプロジェクトの名前です。例: my-project。

プロジェクト レベルのポリシーからメンバーを削除する

Console

1. Google Cloud Platform Console で [IAM と管理] ブラウザを開きます。
   [IAM と管理] ブラウザを開く

2. メンバーを削除するプロジェクトを選択します。

   

3. [メンバー検索] ダイアログで、アクセス権を削除するメンバーの名前を指定します。

4. 検索結果の下で、削除するメンバーにカーソルを合わせます。表示されたゴミ箱のアイコンをクリックします。

   

5. 上に重なったウィンドウで [削除] をクリックします。

gsutil

プロジェクト レベルの Cloud IAM ポリシーは、gcloud コマンドで管理します。このコマンドは Google Cloud SDK に含まれています。プロジェクト レベルのポリシーを削除するには、gcloud beta projects remove-iam-policy-binding を使用します。

JSON

注: このタスクでは、ほとんどの Cloud Storage タスクとは別のエンドポイントを使用します。

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. プロジェクトに適用されている既存のポリシーを取得します。この操作を行うには、cURL を使用して Resource Manager API を呼び出し、POST getIamPolicy リクエストを行います。

   curl -X POST \
     -H "Authorization: Bearer [OAUTH2_TOKEN]" \
     -H "Content-Length: 0" \
     "https://cloudresourcemanager.googleapis.com/v1/projects/[PROJECT_NAME]:getIamPolicy"

   ここで

   • [OAUTH2_TOKEN] は、ステップ 1 で生成したアクセス トークンです。
   • [PROJECT_NAME] はメンバーのアクセス権を付与するプロジェクトの名前です。例: my-project。

3. 前の手順で取得したポリシーが含まれる .json ファイルを作成します。

4. .json ファイルを編集し、ポリシーからメンバーを削除します。

5. cURL を使用して Resource Manager API を呼び出し、POST setIamPolicy リクエストを行います。

   curl -X POST --data-binary @[JSON_FILE_NAME].json \
     -H "Authorization: Bearer [OAUTH2_TOKEN]" \
     -H "Content-Type: application/json" \
     "https://cloudresourcemanager.googleapis.com/v1/projects/[PROJECT_NAME]:setIamPolicy"

   ここで

   • [JSON_FILE_NAME] は、ステップ 2 で作成したファイルの名前です。
   • [OAUTH2_TOKEN] は、ステップ 1 で生成したアクセス トークンです。
   • [PROJECT_NAME] はメンバーのアクセス権を付与するプロジェクトの名前です。例: my-project。

重要: 通常、アクセス権の取り消しが有効になるまでに 1 分ほどかかります。処理に時間がかかる場合もあります。ユーザーのアクセス権を取り消すと、この変更はバケットのメタデータにすぐに反映されますが、少しの間、そのユーザーがオブジェクトにアクセスできる場合があります。

次のステップ

• データを公開して共有する方法を学習する。
• Cloud Storage の Cloud IAM について学習する。
• データへのアクセスを制御するオプションについて学習する。