このページは、セルフサービス サブスクリプションで組織間のユーザー アクセスを有効にする必要がある Google Cloud 組織の管理者とデータポータル Pro の管理者を対象としています。
外部 Google Cloud 組織のユーザーをデータポータル Pro サブスクリプションに追加するには、Cloud カスタマーケアに連絡して、信頼できる組織機能を有効にしてください。有効にすると、許可されたドメインの個々のユーザーのメールアドレスに、サブスクリプション内から直接ライセンスを割り当てることができます。
始める前に
サブスクリプションで外部ユーザーを許可する前に、次の要件を満たしていることを確認してください。
- セルフサービス サブスクリプション: サブスクリプションはセルフサービスである必要があります。組織全体の月間アクティブ ユーザー（MAU）サブスクリプションでは、信頼できる組織は使用できません。
- サポート契約: Cloud カスタマーケアとの有効なサポート契約が必要です。
- ドメインで制限された共有ポリシー（
constraints/iam.allowedPolicyMemberDomains）: 組織でこのポリシーが適用されている場合は、組織の管理者が Google Cloud コンソールで [IAM と管理] > [組織のポリシー] に移動し、constraints/iam.allowedPolicyMemberDomainsを編集して、各外部組織の数値 Google Workspace ユーザー ID を [許可される値] に追加する必要があります。そうしないと、IAM は外部ユーザーまたは管理者にプロジェクト権限またはデータ権限を付与することをブロックします。 - プロジェクト権限とデータ権限: 個々のデータポータル Pro ユーザーは、Pro 機能を使用したり、ライセンスを使用したりするだけで、プロジェクトに対する特定の IAM（IAM）権限を必要としません。IAM ロール（Looker Studio Pro 管理者など）の割り当ては、サブスクリプション自体を管理する管理者またはサービス アカウントにのみ必要です。ただし、外部ユーザーが独自の認証情報を使用して制限付き Google Cloud データソースにクエリを実行する場合は、管理者が適切なデータレベルの IAM 権限（BigQuery データ閲覧者など）を付与する必要があります。
ロールの要件の詳細については、データポータル Pro のロールと権限をご覧ください。
信頼できる組織の有効化をリクエストする
サブスクリプション全体で信頼できる組織を有効にするには、次の操作を行います。
- 信頼する各組織のプライマリ ドメイン名（
example.comなど）と数値 Google Cloud 組織 ID を取得します。- ヒント: 外部組織の管理者は、 Google Cloud コンソールの [IAM と管理] > [設定] でこの数値 ID を確認できます。英数字の Google Workspace ID ではなく、数値 Google Cloud 組織 ID を指定してください。
- Cloud カスタマーケアにサポートケースを送信し、データポータル Pro サブスクリプションで信頼できる組織 機能を有効にするようリクエストします。リクエストには、信頼できるドメインごとにドメイン名と数値組織 ID を含めてください。
重要な考慮事項
- 個々のユーザーの割り当て: Cloud カスタマーケアがこの機能を有効にすると、信頼できるドメインの個々のユーザーのメールアドレスにライセンスを割り当てることができます。外部組織の Google グループをサブスクリプションに追加することはできません。
- 永続性: サブスクリプションで信頼できる組織機能を有効にすると、無効にすることはできません。