組織レベルで削除（復元可能）を無効にする

概要 用途

このページでは、組織内のすべての新規バケットと既存バケットで削除（復元可能）機能を無効にする方法について説明します。

データの損失を防ぐため、削除（復元可能）はデフォルトで新しいバケットで有効になっています。必要に応じて、削除（復元可能）ポリシーを変更して既存のバケットの削除（復元可能）を無効にできます。また、組織全体のデフォルト タグを設定して、新しいバケットの削除（復元可能）をデフォルトで無効にすることもできます。削除（復元可能）を無効にすると、誤削除や悪意のある削除など、削除されたデータは復元できなくなります。

必要なロール

ソフト削除を無効にするために必要な権限を取得するには、組織レベルで次の IAM ロールを付与するよう管理者に依頼してください。

これらの事前定義ロールには、削除（復元可能）を無効にするために必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

必要な権限

削除（復元可能）を無効にするには、次の権限が必要です。

  • storage.buckets.get
  • storage.buckets.update
  • storage.buckets.list（この権限は、このページで説明する操作を Google Cloud コンソールで行う場合に必要です）

    タグ管理者（roles/resourcemanager.tagAdmin）ロールに含まれる必要な権限については、タグの管理に必要な権限をご覧ください。

ロールの付与については、バケットで IAM を使用するまたはプロジェクトへのアクセスを管理するをご覧ください。

今後のバケット作成で削除（復元可能）を無効にする

新しいバケットでは削除（復元可能）がデフォルトで有効になっていますが、タグを使用して削除（復元可能）のデフォルト有効化を防ぐことができます。タグは storage.defaultSoftDeletePolicy キーを使用して、組織レベルで 0d（0 日）の削除（復元可能）ポリシーを適用します。これにより、この機能が無効になり、削除されたデータが今後保持されなくなります。

新しいバケットを作成するときにデフォルトで削除（復元可能）を無効にするには、次の手順を使用します。次の手順は、特定の削除（復元可能）ポリシーを義務付ける組織のポリシーを設定することと同等ではありません。つまり、必要に応じてポリシーを指定して、特定のバケットで削除（復元可能）を有効にできます。

  1. 新しいバケットのデフォルトの削除（復元可能）保持期間を変更するために使用される storage.defaultSoftDeletePolicy タグを作成します。storage.defaultSoftDeletePolicy タグ名のみが、デフォルトの削除（復元可能）保持期間を更新します。

    gcloud resource-manager tags keys create コマンドを使用してタグキーを作成します。

     gcloud resource-manager tags keys create storage.defaultSoftDeletePolicy \
  --parent=organizations/ORGANIZATION_ID \
  --description="Configures the default softDeletePolicy for new Storage buckets."

    次のように置き換えます。

    • ORGANIZATION_ID: デフォルトの削除（復元可能）保持期間を設定する組織の数値 ID。例: 12345678901組織 ID を確認する方法については、組織リソース ID の取得をご覧ください。

  2. gcloud resource-manager tags values create コマンドを使用して、0d のタグ値（0 日）を作成し、新しいバケットでデフォルトで削除（復元可能）保持期間を無効にします。

      gcloud resource-manager tags values create 0d \
   --parent=ORGANIZATION_ID/storage.defaultSoftDeletePolicy \
   --description="Disables soft delete for new Storage buckets."
  done

    次のように置き換えます。

    • ORGANIZATION_ID: デフォルトの削除（復元可能）保持期間を設定する組織の数値 ID。例: 12345678901

  3. gcloud resource-manager tags bindings create コマンドを使用して、タグをリソースに適用します。

     gcloud resource-manager tags bindings create \
   --tag-value=ORGANIZATION_ID/storage.defaultSoftDeletePolicy/0d \
   --parent=RESOURCE_ID

    次のように置き換えます。

    • ORGANIZATION_ID: タグが作成された組織の数値 ID。例: 12345678901

    • RESOURCE_ID: タグ バインディングを作成する組織の完全な名前。たとえば、organizations/7890123456 にタグを適用するには、「//cloudresourcemanager.googleapis.com/organizations/7890123456」と入力します。

既存のバケットで削除（復元可能）を無効にする

既存のバケットで削除（復元可能）を無効にするには、--clear-soft-delete フラグを指定して gcloud storage buckets update コマンドを実行します。

   gcloud projects list --format="value(projectId)" | while read project
   do
     gcloud storage buckets update --project=PROJECT_ID --clear-soft-delete gs://*
   done

次のように置き換えます。

  • PROJECT_ID: ソフト削除ポリシーを無効にするプロジェクトの名前。

Cloud Storage では、既存のバケットで削除（復元可能）が無効になります。すでに削除済み（復元可能）のオブジェクトは、削除（復元可能）の保持期間が完了するまでバケットに残り、その後完全に削除されます。

次のステップ