このページでは、Policy Simulator を使用してプリンシパル アクセス境界（PAB） ポリシーまたはバインディングの変更をシミュレートする方法について説明します。また、シミュレーションの結果を解釈する方法と、シミュレートしたプリンシパル アクセス境界ポリシーまたはバインディングを適用する方法（そのように選択した場合）についても説明します。
この機能は、プリンシパル アクセス境界ポリシーに基づくアクセスのみを評価します。
他のポリシータイプの変更をシミュレートする方法については、以下をご覧ください。
- Policy Simulator で拒否ポリシーの変更をテストする
- Policy Simulator で組織のポリシーへの変更をテストする
- Policy Simulator でロールの変更をテストする
始める前に
-
Cloud Asset Inventory、Identity and Access Management、Policy Analyzer、Policy Simulator の各 API を有効にします。
API を有効にするために必要なロール
API を有効にするには、
serviceusage.services.enable権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を介してこの権限がすでに付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を介してこの権限を取得できます。ロールを付与する方法をご確認ください。 - 省略可: プリンシパル アクセス境界ポリシーの Policy Simulator の仕組みをご覧ください。
必要なロール
プリンシパル アクセス境界ポリシーとバインディングの変更をテストするために必要な権限を取得するには、組織に対する次の IAM ロールを付与するよう管理者に依頼します。
- IAM オペレーション閲覧者 （
roles/iam.operationViewer） - IAM Workforce プール管理者 （
roles/iam.workforcePoolAdmin） - IAM Workload Identity プール管理者 （
roles/iam.workloadIdentityPoolAdmin） - 組織管理者 （
roles/resourcemanager.organizationAdmin） - プリンシパル アクセス境界ポリシー管理者 （
roles/iam.principalAccessBoundaryAdmin） - Workspace プール IAM 管理者 （
roles/iam.workspacePoolAdmin）
ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。
必要な権限は、カスタム ロールや他の事前定義 ロールから取得することもできます。
シミュレーションを開始する
以降のセクションでは、プリンシパル アクセス境界ポリシーまたはバインディングの変更のシミュレーションを開始する方法について説明します。
プリンシパル アクセス境界ポリシーの新しいバインディングをシミュレートする
ポリシー バインディングを作成する手順に沿って操作しますが、バインディングの詳細を入力したら [追加] をクリックしないでください。代わりに、[変更をテスト] をクリックします。
既存のプリンシパル アクセス境界ポリシーの編集をシミュレートする
プリンシパル アクセス境界ポリシーを編集する手順に沿って操作しますが、 ポリシーを編集したら [保存] をクリックしないでください。代わりに、[変更をテスト] をクリックします。
プリンシパル アクセス境界ポリシーの既存のバインディングの編集をシミュレートする
ポリシー バインディングを編集する手順に沿って操作しますが、バインディングを編集したら [保存] をクリックしないでください。代わりに、[変更をテスト] をクリックします。
プリンシパル アクセス境界ルールの削除をシミュレートする
コンソールで、[Principal Access Boundary policies] ページに移動します。 Google Cloud
削除するルールを含むプリンシパル アクセス境界ポリシーを所有する組織を選択します。
削除するルールを含むプリンシパル アクセス境界ポリシーのポリシー ID をクリックします。
[境界ルール] テーブルで、削除するルールを選択し、 削除します。次に、 [削除ルールをテスト] をクリックします。
プリンシパル アクセス境界ポリシーの削除をシミュレートする
コンソールで、[Principal Access Boundary policies] ページに移動します。 Google Cloud
バインディングを削除するプリンシパル アクセス境界ポリシーの組織を選択します。
削除するポリシーの ID を見つけます。そのポリシーの行で、 [ アクション] をクリックし、次に [ポリシーの削除をテスト] をクリックします。
プリンシパル アクセス境界ポリシーのバインディングの削除をシミュレートする
コンソールで、[Principal Access Boundary policies] ページに移動します。 Google Cloud
バインディングを削除するプリンシパル アクセス境界ポリシーの組織を選択します。
バインディングを削除するプリンシパル アクセス境界ポリシーのポリシー ID をクリックします。
[バインディング] タブをクリックします。
削除するバインディングの ID を見つけます。そのバインディングの行で、 [**アクション**] をクリックし、 [バインディングの削除をテスト] をクリックします。
シミュレーションの結果を理解する
プリンシパル アクセス境界ポリシーまたはバインディングのシミュレーションの結果ページには、次の情報が表示されます。
[アクセス権が取り消されました] セクションには、次の情報が表示されます。
- シミュレートしたプリンシパル アクセス境界ポリシーまたはバインディングを適用した場合にアクセス権を失うプリンシパルの数
- シミュレートしたプリンシパル アクセス境界ポリシーまたはバインディングを適用した場合にプリンシパルがアクセス権を失う既知のリソースの数
[アクセス権が付与されました] セクションには、次の情報が表示されます。
- シミュレートしたプリンシパル アクセス境界ポリシーまたはバインディングを適用した場合にアクセス権を取得するプリンシパルの数
- シミュレートしたプリンシパル アクセス境界ポリシーまたはバインディングを適用した場合にプリンシパルがアクセス権を取得する既知のリソースの数
アクセス権の変更の表。シミュレートされたポリシーまたはバインディングの影響を示します。これらのアクセス権の変更を解釈する方法については、 Policy Simulator の結果をご覧ください。
シミュレーションに基づいて対応する
シミュレーション レポートを確認したら、次の操作を行います。
シミュレーション結果をエクスポートする: シミュレーションの結果を CSV ファイルとしてエクスポートするには、[未加工の結果をエクスポート] をクリックします。
このボタンをクリックすると、シミュレーション レポートを含む CSV ファイルがパソコンにダウンロードされます。
シミュレートしたポリシーの変更を適用する: シミュレートしたポリシーの変更を適用するためにクリックするボタンは、シミュレートする変更のタイプによって異なります。
- 編集したプリンシパル アクセス境界ポリシーまたはルール、または削除した ルールをシミュレートする: [ポリシーを設定] をクリックします。
- プリンシパル アクセス境界ポリシーの新しいバインディングまたは編集したバインディングをシミュレートする: [バインディングを設定] をクリックします。
- 削除されたプリンシパル アクセス境界ポリシーをシ/ミュレートする: [ポリシー を削除] をクリックします。
- プリンシパル アクセス境界ポリシーの削除されたバインディングをシミュレートする: [バインディングを削除] をクリックします。
このボタンをクリックすると、 Google Cloud コンソールでシミュレートされた ポリシーまたはバインディングが設定されます。
ポリシーまたはバインディングに対するシミュレートされた変更を編集する: シミュレートされたポリシーまたはポリシー バインディングをさらに 変更するには、[**戻る**] または [**編集に戻る**] をクリックします。
このボタンをクリックすると、 Google Cloud コンソールで ポリシーまたはポリシー バインディング エディタにリダイレクトされます。