データポータル Pro のロールと権限

データポータル Pro は、Identity and Access Management（IAM）を使用して、管理者権限、サブスクリプション、ライセンスを管理します。IAM 事前定義ロールを使用すると、個々の権限を手動で構成することなく、プロジェクト レベルと組織全体の管理を委任できます。

まだサブスクリプションを契約していない場合データポータル Pro に登録してください。

Data Studio Pro の管理の概要

データポータル Pro は IAM を使用して、サブスクリプションの管理、ライセンスの割り当て、プロジェクトのリンクを行うユーザーを制御します。 Google Cloud 特定のレポートやデータソースに対する閲覧者ロールや編集者ロールなどのデータポータル コンテンツ レベルのロールとは異なり、IAM 管理ロールは組織全体とプロジェクト レベルの管理タスクを制御します。

標準のセルフサービス サブスクリプションの場合、サブスクリプションに関連付けられた Google Cloud プロジェクトで権限を直接管理します。組織全体の月間アクティブ ユーザー（MAU）サブスクリプションの場合、Google Workspace 管理コンソールで管理権限を管理します。

事前定義された IAM の役割

IAM 事前定義ロールを使用すると、個々の権限を手動で構成することなく、データポータル Pro の管理機能へのアクセス権を付与できます。

次の表に、データポータル Pro サブスクリプションの管理に使用する主なロールを示します。

ロール 権限 説明
オーナー
(roles/owner)		 すべての Google Cloud リソースと権限に対する完全アクセス権。 resourcemanager.projects.updateLiens や lookerstudio.pro.manage など。 既存の Google Cloud プロジェクトのリンク、新しいサブスクリプションの開始、継続的なライセンス割り当ての管理が必要なプロジェクト作成者とプライマリ管理者に推奨されます。
Looker Studio Pro マネージャー
(roles/lookerstudio.proManager)		 lookerstudio.pro.manage、 resourcemanager.projects.get、 resourcemanager.projects.list、および resourcemanager.projects.updateLiens が含まれます。 データポータル Pro 管理者向けの専用の事前定義ロール。プロジェクトの所有権を広範囲に付与することなく、新しいサブスクリプションの開始、ユーザーの管理、 ライセンスの調整、プロジェクト アセットの保護に必要なすべての権限を付与します。
プロジェクト リーエンの変更
(roles/resourcemanager.lienModifier)		 resourcemanager.projects.updateLiens、 resourcemanager.projects.get、 resourcemanager.projects.list が含まれます。 データポータル Pro アセットの誤削除を防ぐプロジェクト セーフティ リーエン の作成と削除に使用されます。データポータル Pro のユーザーまたは ライセンスを管理する権限は付与されません。

Cloud IAM 役割の詳細については、 役割についてをご覧ください。

詳細な権限とカスタムロール

組織で最小権限の原則が適用されている場合は、特定の管理 ワークフローに合わせて カスタムロールを作成できます。必要な詳細な権限は、管理者が新しいサブスクリプションを作成するか、既存のサブスクリプションを管理するかによって異なります。

新しい登録の作成

新しいセルフサービス データポータル Pro サブスクリプションを開始するか、新しいプロジェクトをリンクするには、カスタムロールに次の権限を含める必要があります。

  • lookerstudio.pro.manage - Pro サブスクリプションを作成して構成できます。
  • resourcemanager.projects.get - プロジェクト メタデータと課金ステータスを確認するために必要です。
  • resourcemanager.projects.list - コンソール インターフェースで Google Cloud プロジェクトを選択できます。
  • resourcemanager.projects.updateLiens - サブスクリプション登録時にプロジェクトにセーフティ リーエンを設定できます Google Cloud。これにより、組織のデータポータル Pro アセットが誤って削除されるのを防ぐことができます。

既存のサブスクリプションを管理する

すでに有効になっているサブスクリプションで、日々のユーザー メンバーシップの管理とライセンス数の調整のみを担当する管理者の場合は、プロジェクト セーフティ リーエンを変更する必要はありません。カスタム管理ロールに必要な権限は次のとおりです。

  • lookerstudio.pro.manage
  • resourcemanager.projects.get
  • resourcemanager.projects.list

組織全体の MAU サブスクリプションを管理する

組織全体の月間アクティブ ユーザー（MAU）サブスクリプションを管理するには、データポータル設定の管理 Google Workspace 権限を含むロールを持つ Google Workspace ユーザーとしてログインする必要があります。

この権限は、事前定義された Workspace サービス管理者ロールと Workspace 特権管理者ロールに含まれています。 カスタム管理者ロールを使用してこの権限を付与することもできます。

IAM 拒否ポリシーをオーバーライドする

アカウントにオーナーロールまたは Looker Studio Pro マネージャー ロールが付与されていても、 組織、 フォルダ、プロジェクト レベルの IAM 拒否ポリシーによって、データポータル Pro 機能へのアクセスがブロックされることがあります。拒否ポリシーは許可ポリシーをオーバーライドします。拒否ポリシーによって lookerstudio.pro.manage 権限がブロックされると、Pro サブスクリプションを開始または管理できなくなります。

拒否ポリシーを確認する

組織管理者の権限、拒否レビュー担当者 （roles/iam.denyReviewer）ロール、拒否管理者（roles/iam.denyAdmin）ロールがある場合は、 Policy Troubleshooter を使用してアクセスが拒否されているかどうかを確認できます。

  1. コンソール Google Cloud で、[Policy Troubleshooter] ページに移動します。

    [Policy Troubleshooter] に移動

  2. For [Principal], enter your email address.
  3. [**リソース**] にプロジェクト ID を入力します。
  4. [**権限**] に lookerstudio.pro.manage と入力します。
  5. [アクセスを確認] をクリックします。

Policy Troubleshooter でアクセスが拒否されていることが示された場合は、ブロックの原因となっているポリシーの詳細が表示されます。拒否ポリシーの更新方法については、 リソースへのアクセスを拒否するをご覧ください。