アクセスに関する問題を解決する

Google Cloud コンソール、Google Cloud CLI、REST API はすべて、ユーザーがアクセス権のないリソースにアクセスしようとすると、エラー メッセージを表示します。ユーザーが権限エラーに遭遇した場合は、リソースへのアクセスをリクエストできます。これにより、組織の技術担当の重要な連絡先に送信されるメールが生成されます。

管理者が生成されたメールのリンクをクリックすると、ポリシーの修復の概要が表示されます。管理者は、権限エラー メッセージの [トラブルシューティングの詳細を表示] をクリックし、[Policy Troubleshooter] をクリックして、ポリシー修復の概要にアクセスすることもできます。このページでは、リクエストしたプリンシパル、リソース、プリンシパルがリクエストしている権限など、リクエストの詳細について説明します。

リクエストの詳細を示すポリシー修復の概要ページ。

[現在のアクセス状態] セクションには、ポリシー タイプ（具体的には、許可ポリシー、拒否ポリシー、プリンシパル アクセス境界ポリシー）ごとの結果がまとめられ、全体的な結果が示されます。結果は、関連するポリシーに従って、プリンシパルがリソースにアクセスできるかどうかを示します。

[高度なトラブルシューティング] をクリックすると、ユーザーのアクセスをブロックしているポリシーの詳細を確認できます。

[修復] をクリックして、そのユーザーのアクセス問題を修復するためのオプションを表示します。 Google Cloud コンソールを使用して、さまざまなポリシー タイプによって発生した権限エラーを解決する方法については、以下をご覧ください。

許可ポリシーを修復する

[許可ポリシーを修復] ページには、ユーザーに付与されていない権限が表示されます。許可ポリシーによってブロックされたアクセスを解決するには、そのユーザーにアクセス権を付与するか、そのユーザーの Privileged Access Manager 利用資格を作成します。利用資格を作成すると、ユーザーはリソースにアクセスするために利用資格をリクエストできます。

許可ポリシーの詳細を示すポリシー修復の概要ページ。

ユーザーにアクセス権を付与する手順は次のとおりです。

  1. [ロールを付与] を選択します。
  2. [続行] をクリックします。
  3. 該当するロールを選択して、そのロールの詳細を表示します。
  4. [アクセス権を付与] をクリックします。

新しい Privileged Access Manager 利用資格を作成する手順は次のとおりです。

  1. [一時的なアクセス権を付与] を選択します。
  2. 該当するロールをクリックして付与すると、そのロールの詳細が表示されます。

  3. [利用資格を作成] をクリックします。

    [Create a new entitlement] ペインで、利用資格の詳細を入力します。

    1. 新しい利用資格の名前を入力します。
    2. 権限付与の最大期間を選択します。
    3. [次へ] をクリックします。
    4. 必要に応じて、この利用資格の承認者をさらに追加します。
    5. [次へ] をクリックします。
    6. 利用資格リクエストを承認するプリンシパルを 1 つ以上追加するか、[承認なしでアクセスを有効化] を選択します。
    7. [次へ] をクリックします。
    8. 必要に応じて、通知する管理者のメールアドレスを入力します。
    9. [完了]、[利用資格を作成] の順にクリックします。

Privileged Access Manager の詳細については、Privileged Access Manager で利用資格を作成するをご覧ください。

ユーザーに必要なすべての権限を含むロールがない場合、ロールや利用資格は提案されません。

ユーザーのアクセス権を修復する別の方法については、許可ポリシーの権限エラーを解決するをご覧ください。

拒否ポリシーを修復する

拒否ポリシーは、 Google Cloud 組織、フォルダ、プロジェクトに関連付けられます。拒否ポリシーには拒否ルールが含まれています。このルールには、プリンシパルと、そのプリンシパルが使用できない権限のリストが記述されています。

[拒否ポリシーを修復] ページには、ユーザーが権限を使用できないようにする拒否ポリシーが表示され、ユーザーのアクセスを修復するためのいくつかの方法が提案されます。

拒否ポリシーの詳細を示すポリシー修復の概要ページ。

拒否ポリシーに関連するアクセス リクエストを修正する方法は次のとおりです。

プリンシパル アクセス境界を修復する

デフォルトでは、プリンシパルはすべての Google Cloud リソースにアクセスできます。ただし、プリンシパル アクセス境界ポリシーの対象となる場合、それらのプリンシパルは、対象となるプリンシパル アクセス境界ポリシーにリストされているリソースにのみアクセスできます。このような場合、プリンシパル アクセス境界ポリシーによって、プリンシパルがリソースにアクセスできなくなる可能性があります。

[プリンシパル アクセス境界を修復] ページには、ユーザーがリソースにアクセスできない原因となっているプリンシパル アクセス境界ポリシーが表示され、ユーザーのアクセスを修復するためのいくつかの方法が提案されます。

プリンシパル アクセス境界の詳細を示すポリシー修復の概要ページ。

プリンシパル アクセス境界ポリシーに関連するアクセス リクエストを修復する推奨の方法は次のとおりです。

次のステップ