Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

サービスアカウントのコンテキストアウェアアクセスを構成する

このガイドでは、定義したアクセスレベルに基づいて、 Google Cloud API へのサービスアカウントアクセスを保護するためにコンテキストアウェアアクセスを設定する方法について説明します。

制限事項

サービスアカウントのコンテキストアウェアアクセスポリシーには、次の制限が適用されます。

サービスアカウントがワークフローの実行と Cloud Scheduler に使用される場合、ネットワークベースまたは IP アドレスベースの属性をサービスアカウントバインディングに使用することはできません。
kubectl を使用した限定公開 GKE クラスタへの接続と、Auth Proxy を使用した Cloud SQL への接続は、コンテキストアウェアアクセスポリシーでブロックできません。
サービスアカウントにバインドされているアクセスレベルに、Device 属性などのサポートされていない属性が含まれている場合、API アクセスは拒否されます。
サービスアカウントでは、スコープ設定されたアクセスレベルはサポートされていません。

Cloud Build と Cloud Run を使用する場合は、次の組み込み VPC 機能を使用することをおすすめします。

Cloud Run の場合は、サーバーレス VPC アクセスを使用します。
Cloud Build の場合は、プライベートプールを使用します。

始める前に

Google Cloud 組織と 1 つ以上の Google Cloud プロジェクトがあることを確認します。

Google Cloud アカウントにログインします。 Google Cloudを初めて使用する場合は、アカウントを作成して、実際のシナリオでの Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

Google Cloud CLI をインストールします。

外部 ID プロバイダ（IdP）を使用している場合は、まず連携 ID を使用して gcloud CLI にログインする必要があります。

gcloud CLI を初期化するには、次のコマンドを実行します。

gcloud init

Google Cloud プロジェクトを作成または選択します。

プロジェクトの選択または作成に必要なロール

プロジェクトを選択する: プロジェクトの選択に特定の IAM ロールは必要ありません。ロールが付与されているプロジェクトであれば、どのプロジェクトでも選択できます。
プロジェクトを作成する: プロジェクトを作成するには、resourcemanager.projects.create 権限を含むプロジェクト作成者ロール（roles/resourcemanager.projectCreator）が必要です。詳しくは、ロールを付与する方法をご覧ください。

Google Cloud プロジェクトを作成します。
```
gcloud projects create PROJECT_ID
```
PROJECT_ID は、作成する Google Cloud プロジェクトの名前に置き換えます。
作成した Google Cloud プロジェクトを選択します。
```
gcloud config set project PROJECT_ID
```
PROJECT_ID は、 Google Cloud プロジェクトの名前に置き換えます。

Google Cloud プロジェクトに対して課金が有効になっていることを確認します。

Google Cloud CLI をインストールします。

外部 ID プロバイダ（IdP）を使用している場合は、まず連携 ID を使用して gcloud CLI にログインする必要があります。

gcloud CLI を初期化するには、次のコマンドを実行します。

gcloud init

Google Cloud プロジェクトを作成または選択します。

プロジェクトの選択または作成に必要なロール

プロジェクトを選択する: プロジェクトの選択に特定の IAM ロールは必要ありません。ロールが付与されているプロジェクトであれば、どのプロジェクトでも選択できます。
プロジェクトを作成する: プロジェクトを作成するには、resourcemanager.projects.create 権限を含むプロジェクト作成者ロール（roles/resourcemanager.projectCreator）が必要です。詳しくは、ロールを付与する方法をご覧ください。

Google Cloud プロジェクトを作成します。
```
gcloud projects create PROJECT_ID
```
PROJECT_ID は、作成する Google Cloud プロジェクトの名前に置き換えます。
作成した Google Cloud プロジェクトを選択します。
```
gcloud config set project PROJECT_ID
```
PROJECT_ID は、 Google Cloud プロジェクトの名前に置き換えます。

Google Cloud プロジェクトに対して課金が有効になっていることを確認します。

Google Cloud CLI のコンポーネントを更新します。
```
gcloud components update --quiet
```
まだ作成していない場合は、プロジェクトにサービスアカウントを作成します。このサービスアカウントは、アクセスポリシーのターゲットです。

必要なロール

このセクションでは、コンテキストアウェアアクセスを使用するために必要な Identity and Access Management（IAM）のロールについて説明します。

プロジェクトレベルのロール

プロジェクトレベルで必要な権限を取得するには、ユーザーアカウントまたはサービスアカウントに対するサービスアカウント管理者（roles/iam.serviceAccountAdmin）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。

この事前定義ロールには、プロジェクトレベルで必要な the required permissions 権限が含まれています。

カスタムロールや他の事前定義ロールを使用して、この権限を取得することもできます。

組織レベルのロール

組織レベルで必要な権限を取得するには、ユーザーアカウントまたはサービスアカウントに対する次の IAM ロールを付与するよう管理者に依頼します。

Cloud アクセスバインディング管理者（roles/accesscontextmanager.gcpAccessAdmin）
Access Context Manager 管理者（roles/accesscontextmanager.policyAdmin）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

この事前定義ロールには、組織レベルで必要な the required permissions 権限が含まれています。

カスタムロールや他の事前定義ロールを使用して、この権限を取得することもできます。

アクセスポリシーをさまざまなリソースレベルにバインドする

同じ適用モードのアクセスポリシーは、リソース階層のさまざまなレベルにあるリソースにバインドできます。リソースがアクセスを試みると、コンテキストアウェアアクセスは、上位レベルのリソースにバインドされたポリシーを使用する前に、そのリソースにバインドされたポリシーを使用します。

たとえば、適用モードのアクセスポリシーをサービスアカウントに直接バインドし、別の適用モードのポリシーをそのサービスアカウントを含むプロジェクトにバインドできます。サービスアカウントがリソースにアクセスしようとすると、コンテキストアウェアアクセスはサービスアカウントにバインドされているポリシーを評価します。アクセスポリシーがバインドされていないプロジェクト内の他のサービスアカウントの場合、コンテキストアウェアアクセスはプロジェクトにバインドされている適用モードポリシーを評価します。プロジェクトレベルのポリシーとサービスアカウントレベルのポリシーの両方で適用モードがドライランに設定されている場合も同様です。

複数のアクセスポリシーを使用して、アクセスポリシーを段階的かつ選択的にデプロイできます。たとえば、次の操作を行うことができます。

プロジェクトレベルでドライランモードのアクセスポリシーをバインドし、Cloud Audit Logs でアクセス拒否イベントを確認して、ポリシーが想定どおりに機能していることを確認します。
適用モードのアクセスポリシーは、特定のサービスアカウントにのみバインドします。
プロジェクトレベルで適用モードのアクセスポリシーをバインドし、必要に応じて、制限の緩い適用モードのアクセスポリシーを特定のサービスアカウントにバインドします。

サービスアカウントのアクセスレベルの属性

このセクションでは、サービスアカウントでサポートされているアクセスレベルを一覧表示します。

サービスアカウントでは、次の属性がサポートされています。

パブリック IP アドレスに基づく IP サブネットワーク。
プライベート IP アドレスに基づく VPC ネットワーク。
パブリック IP アドレスに基づく位置情報。

サービスアカウントが Google CloudAPI にリクエストを行うと、リクエストはコンテキストアウェアアクセスによって評価され、リクエストの IP アドレスがコンテキストアウェアアクセスポリシーで指定された IP アドレスと比較されます。IP アドレスが一致すると、API 呼び出しが許可されます。IP アドレスが一致しない場合、API 呼び出しは拒否されます。
Common Expression Language（CEL）式を含むカスタムアクセスレベル。アクセスを許可するには、式が true と評価される必要があります。アクセスを拒否するには、式が false と評価される必要があります。

次の CEL 式は、サービスアカウントによるアクセスを制限する場合に便利です。

リクエストが 1 つ以上の指定されたプロジェクト番号から発信された場合、式は true と評価されます。
```
    expression: "originatesFromProjects(origin, [PROJECT_NUMBER, ...])"
    
```
originatesFromProjects は、リクエストが指定されたプロジェクトに関連付けられているネットワークから送信されたかどうか、リクエストがプライベート IP アドレスから送信されたかどうかを確認します。
時刻。指定されたタイムゾーンのリクエストの日時に基づきます。

詳細については、時間と曜日のアクセス条件を構成するをご覧ください。

アクセスレベルを作成する

このセクションでは、組織内でアクセスレベルを作成する方法について説明します。アクセスレベルは、アクセスが許可される条件を定義します。

手順に沿って、ベーシックアクセスレベルを作成するか、カスタムアクセスレベルを作成するを行います。
アクセスポリシーの完全な名前（accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME 形式）をメモします。

アクセスバインディングを作成する

選択したサービスアカウントにアクセスレベルをバインドします。これにより、アクセスレベルで定義された条件が適用されます。アクセスレベルは、単一のサービスアカウントまたはプロジェクト内のすべてのサービスアカウントにバインドできます。

アクセスレベルを特定のサービスアカウントにバインドする

このセクションでは、アクセスレベルを特定のサービスアカウントにバインドする方法について説明します。

gcloud

gcloud CLI を使用してアクセスレベルをサービスアカウントにバインドする。

gcloud access-context-manager cloud-bindings create \
    --organization=ORGANIZATION_ID \
    --service-account=SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
    --level=accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME

次のように置き換えます。

ORGANIZATION_ID: Google Cloud組織 ID
SERVICE_ACCOUNT_NAME: ターゲットサービスアカウントの名前（メールアドレスではない）
SERVICE_ACCOUNT_PROJECT_ID: ターゲットサービスアカウントを含むプロジェクトの ID
POLICY_ID: アクセスポリシーの ID
ACCESS_LEVEL_NAME: 作成したアクセスレベルの名前

アクセスレベルを適用せずにアクセスを禁止することなくコンテキストアウェアアクセスを使用するには、ドライランモードでアクセスレベルをバインドします。

REST API

REST API を使用してアクセスレベルを特定のサービスアカウントにバインドするには、次のコマンドを実行します。

次の内容の request.json ファイルを作成します。
```
{
  "principal": {
    "serviceAccount": "SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com"
  },
  "accessLevels": ["accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME"]
}
```
次のように置き換えます。
- SERVICE_ACCOUNT_NAME: ターゲットサービスアカウントの名前（メールアドレスではない）
- SERVICE_ACCOUNT_PROJECT_ID: ターゲットサービスアカウントを含むプロジェクトの ID
- POLICY_ID: アクセスポリシーの ID
- ACCESS_LEVEL_NAME: 作成したアクセスレベルの名前

次のコマンドを実行します。

curl -H "X-Goog-User-Project: PROJECT_ID" -X POST \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "Content-Type: application/json; charset=utf-8" \
  -d @request.json \
  "https://accesscontextmanager.googleapis.com/v1/organizations/ORGANIZATION_ID/gcpUserAccessBindings"

次のように置き換えます。

PROJECT_ID: API 呼び出しに使用しているプロジェクトの ID
ORGANIZATION_ID: 組織の Google CloudID。

アクセスレベルをプロジェクト内のすべてのサービスアカウントにバインドする

このセクションでは、アクセスレベルをプロジェクト内のすべてのサービスアカウントにバインドする方法について説明します。

gcloud

gcloud CLI を使用してアクセスレベルをプロジェクト内のすべてのサービスアカウントにバインドするには、次のコマンドを実行します。

gcloud access-context-manager cloud-bindings create \
  --organization=ORGANIZATION_ID \
  --service-account-project-number=PROJECT_NUMBER \
  --level=accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME

次のように置き換えます。

ORGANIZATION_ID: Google Cloud組織 ID
PROJECT_NUMBER: アクセス権をバインドするすべてのサービスアカウントを含むプロジェクトのプロジェクト番号
POLICY_ID: アクセスポリシーの ID
ACCESS_LEVEL_NAME: 作成したアクセスレベルの名前。

REST API

REST API を使用してアクセスレベルをプロジェクト内のすべてのサービスアカウントにバインドする手順は次のとおりです。

次の内容の request.json ファイルを作成します。
```
{
  "principal": {
    "serviceAccountProjectNumber": "PROJECT_NUMBER"
  },
  "accessLevels": ["accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME"]
}
```
次のように置き換えます。
- PROJECT_NUMBER: アクセス権をバインドするすべてのサービスアカウントを含むプロジェクトのプロジェクト番号
- POLICY_ID: アクセスポリシーの ID
- ACCESS_LEVEL_NAME: 作成したアクセスレベルの名前。

次のコマンドを実行します。

curl -H "X-Goog-User-Project: PROJECT_ID" -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://accesscontextmanager.googleapis.com/v1/organizations/ORGANIZATION_ID/gcpUserAccessBindings"

次のように置き換えます。

PROJECT_ID: API 呼び出しに使用しているプロジェクトの ID
ORGANIZATION_ID: Google Cloud組織 ID

アクセスレベルを適用してアクセスを拒否することなくコンテキストアウェアアクセスを使用するには、ドライランモードでアクセスポリシーをバインドします。

バインディング作成オペレーションの API レスポンスには、一意のバインディング ID を含むバインディングの名前が含まれます。

ドライランモードを使用する

ドライランモードでアクセスポリシーをバインドできます。ドライランモードを使用すると、サービスアカウントは適用なしでリソースにアクセスし続けることができます。ただし、サービスアカウントがアクセスポリシーに違反するアクセスを試みると、違反は Cloud Audit Logs に記録されます。

ドライランモードでアクセスポリシーをバインドする

gcloud

ドライランモードでアクセスポリシーをバインドするには、--level パラメータを --dry-run-level に置き換えます。形式は次のとおりです。

--dry-run-level=accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME

REST API

ドライランモードでアクセスポリシーをバインドするには、次の内容の request.json ファイルを作成します。

{
"principal": {
  "serviceAccountProjectNumber": "TARGET_PROJECT_NUMBER"
},
"dryRunAccessLevels": ["accessPolicies/POLICY_ID/accessLevels/ACCESS_LEVEL_NAME"]
}

次のように置き換えます。

TARGET_PROJECT_NUMBER: ターゲットプロジェクトのプロジェクト番号
POLICY_ID: アクセスポリシーの ID
ACCESS_LEVEL_NAME: アクセスレベルの名前

Cloud Audit Logs を確認する

このセクションでは、サービスアカウントのドライランモードのアクセス拒否について Cloud Audit Logs を確認する方法について説明します。Cloud Audit Logs でドライランモードのエントリを検索する方法については、ドライランモードのログを表示するをご覧ください。

コンソール

Google Cloud コンソールを使用して Cloud Audit Logs のドライランモードのサービスアカウントアクセス拒否を表示する手順は次のとおりです。

Google Cloud コンソールで、 [ログエクスプローラ] ページに移動します。

[ログエクスプローラ] に移動

検索バーを使用してこのページを検索する場合は、小見出しが [Logging] の結果を選択します。

Google Cloud コンソールで、プロジェクトまたは組織を選択します。

[ログクエリ] フィールドに次のクエリを入力します。

protoPayload.serviceName="contextawareaccess.googleapis.com"
protoPayload.metadata.dryRunEvaluationResult:DENIED
SEARCH("`SERVICE_ACCOUNT_NAME`")

期間セレクタで、[過去 30 分]、[過去 1 時間]、[過去 24 時間] などの事前定義された相対時間を選択するか、カスタム範囲を指定します。

gcloud

gcloud CLI を使用して Cloud Audit Logs のドライランモードのサービスアカウントアクセス拒否を表示するには、次の操作を行います。

gcloud logging read \
'protoPayload.serviceName="contextawareaccess.googleapis.com" AND
 protoPayload.metadata.dryRunEvaluationResult:DENIED AND
 SEARCH("`SERVICE_ACCOUNT_NAME`")' \
  --organization=ORGANIZATION_ID

次のように置き換えます。

ORGANIZATION_ID: 組織の ID
SERVICE_ACCOUNT_NAME: サービスアカウントの名前

gcloud logging read コマンドは、相対的な期間のロギング情報を表示する --freshness フラグをサポートしています。たとえば、コマンドに --freshness=3h を追加すると、過去 3 時間のドライランモードのログエントリを表示できます。

トラブルシューティング

このセクションでは、サービスアカウントのコンテキストアウェアアクセスのトラブルシューティング方法について説明します。

一般的なトラブルシューティング

Cloud Audit Logs を確認します。

次のログクエリを使用して、ログエントリを確認してください。
```
protoPayload.serviceName="contextawareaccess.googleapis.com"
```
コンテキストアウェアアクセスが適用イベントをログに記録するときに報告するアクセスレベルのリソース名を確認します。
アクセスレベルが組織レベルのリソースであることを確認します。
アクセスポリシーのアクセスレベルが、サービスアカウントでサポートされている属性に基づいていることを確認します。
アクセスポリシーが目的のサービスアカウントにバインドされていることを確認します。
アクセスポリシーによってユーザー ID のアクセスが制限されていないことを確認します。これは、ユーザー ID がバインドされたアクセスポリシーを持つ Google グループのメンバーである場合に発生する可能性があります。このポリシーによりユーザーのアクセスが制限され、サービスアカウントへの呼び出しフローが妨げられる可能性があります。
セキュリティ管理者にお問い合わせください。

アクセスが拒否されました

次の理由によりアクセスが拒否されます。

アクセスポリシーは、ドライランモードではなく適用モードでバインドされています。

強制適用ではなく、ドライランモードを使用すると、サービスアカウントがリソースにアクセスし、リソースへのアクセスを実際に拒否することなく強制適用イベントをログに記録できます。また、一般的なトラブルシューティングの手順に沿って対応することもできます。
アクセスレベルを更新して、より多くのソースを含める必要があります。たとえば、アクセスレベルの作成時に含まれていなかった IP アドレスが使用されている場合などです。

次のステップ

アクセスバインディングを管理する方法を学習する。

サービス アカウントのコンテキストアウェア アクセスを構成する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

制限事項

始める前に

必要なロール

プロジェクト レベルのロール

組織レベルのロール

アクセス ポリシーをさまざまなリソースレベルにバインドする

サービス アカウントのアクセスレベルの属性

アクセスレベルを作成する

アクセス バインディングを作成する

アクセスレベルを特定のサービス アカウントにバインドする

gcloud

REST API

アクセスレベルをプロジェクト内のすべてのサービス アカウントにバインドする

gcloud

REST API

ドライラン モードを使用する

ドライラン モードでアクセス ポリシーをバインドする

gcloud

REST API

Cloud Audit Logs を確認する

コンソール

gcloud

トラブルシューティング

一般的なトラブルシューティング

アクセスが拒否されました

次のステップ

サービスアカウントのコンテキストアウェアアクセスを構成する

プロジェクトレベルのロール

アクセスポリシーをさまざまなリソースレベルにバインドする

サービスアカウントのアクセスレベルの属性

アクセスバインディングを作成する

アクセスレベルを特定のサービスアカウントにバインドする

アクセスレベルをプロジェクト内のすべてのサービスアカウントにバインドする

ドライランモードを使用する

ドライランモードでアクセスポリシーをバインドする