テナントプロジェクトとリソースを設定する

このガイドでは、App Lifecycle Manager テナントを使用してデプロイされたユニットを整理する方法と、リソースを分離して管理するためにリソースを個別のテナントプロジェクトにデプロイする方法について説明します。

テナントとテナントプロジェクトの概要については、テナントとテナントプロジェクトをご覧ください。

始める前に

テナントプロジェクトまたはリソースを作成する前に:

Terraform 構成と Artifact Registry リポジトリを作成し、SaaS アプリケーションを含むアーティファクトをプロデューサープロジェクトに作成します。SaaS サービスの設定方法については、 App Lifecycle Manager でサービスインスタンスをデプロイするをご覧ください。
App Lifecycle Manager で必要な API を有効にします。

API を有効にするために必要なロール
API を有効にするには、serviceusage.services.enable 権限を含む Service Usage 管理者 IAM ロール（roles/serviceusage.serviceUsageAdmin）が必要です。詳しくは、ロールを付与する方法をご覧ください。
API を有効にする
必要なサービスアカウントと Identity and Access Management ロールがプロデューサープロジェクト内で付与されていることを確認します。これには、ユーザーが作成したサービスアカウントと、プロデューサープロジェクトの service-PROJECT-NUMBER@gcp-sa-saasservicemgmt.iam.gserviceaccount.com アカウントに付与された権限が含まれます。

テナントプロジェクトを設定する

テナントのリソースを個別のプロジェクトにプロビジョニングすると、リソース、IAM ポリシー、割り当て、ネットワーク構成がテナントごとに分離されるため、1 つのテナントでの違反や構成ミスが他のテナントに影響する可能性が低くなります。

必要なもの:

1 つのプロデューサープロジェクト
テナントごとに 1 つのテナントプロジェクト。

コンソール

コンソールを使用してテナントプロジェクトとプロデューサープロジェクトを設定するには: Google Cloud

プロデューサープロジェクトと、テナントごとに 1 つのテナントプロジェクトを作成します。
テナントプロジェクトとプロデューサープロジェクトで課金を有効にします。
テナントプロジェクトで App Lifecycle Manager で必要な API を有効にします。

API を有効にするために必要なロール
API を有効にするには、serviceusage.services.enable 権限を含む Service Usage 管理者 IAM ロール（roles/serviceusage.serviceUsageAdmin）が必要です。詳しくは、ロールを付与する方法をご覧ください。
API を有効にする
テナントプロジェクトに、必要な権限を持つ動作用のサービスアカウントがあることを確認します。

詳細については、App Lifecycle Manager サービスアカウントをご覧ください。

テナントプロジェクトとプロデューサープロジェクトの設定が完了しました。プロデューサープロジェクトとテナントプロジェクトを作成して課金を有効にしたら、テナントリソースを作成してユニットをテナントに関連付けることができます。

gcloud

Google Cloud CLI を使用してプロデューサープロジェクトとテナントプロジェクトを設定するには:

プロデューサープロジェクトと、テナントごとに 1 つのテナントプロジェクトを作成します。
```
gcloud projects create PRODUCER_PROJECT_ID --name="SaaS producer project" [--folder=folder-id]
gcloud projects create TENANT_PROJECT_ID --name="SaaS tenant A project" [--folder=folder-id]
```
次のように置き換えます。
- PRODUCER_PROJECT_ID: プロデューサープロジェクト ID を表す文字列識別子。
- TENANT_PROJECT_ID: テナントプロジェクト ID を表す文字列識別子。
テナントプロジェクトとプロデューサープロジェクトの課金を有効にします。
```
 gcloud beta billing projects link PRODUCER_PROJECT_ID --billing-account=BILLING_ACCOUNT_ID
 gcloud beta billing projects link TENANT_PROJECT_ID --billing-account=BILLING_ACCOUNT_ID
```
次のように置き換えます。
- PRODUCER_PROJECT_ID: プロデューサープロジェクト ID を表す文字列識別子。
- TENANT_PROJECT_ID: テナントプロジェクト ID を表す文字列識別子。
- BILLING_ACCOUNT_ID: 指定したプロジェクトに関連付ける請求先アカウントの ID。
注: 各テナントプロジェクトを gcloud beta billing projects link コマンドにリンクする必要があります。
各テナントプロジェクトに必要な Identity and Access Management ロールを動作用のサービスアカウントに付与します。
```
 gcloud projects add-iam-policy-binding TENANT_PROJECT_ID \
 --member='serviceAccount:SERVICE_ACCOUNT@PRODUCER_PROJECT_ID.iam.gserviceaccount.com' \
 --role=ROLE
```
次のように置き換えます。
- TENANT_PROJECT_ID: テナントプロジェクト ID を表す文字列識別子。
- PRODUCER_PROJECT_ID: プロデューサープロジェクト ID を表す文字列識別子。
- SERVICE_ACCOUNT: 指定したプロジェクト内でロールを付与するサービスアカウント。
- ROLE: 付与する Identity and Access Management ロール。
  
  指定したサービスアカウントに付与するロールごとに gcloud projects add-iam-policy-binding を実行する必要があります（--role='roles/compute.admin'、例）。

テナントリソースを作成する

SaaS サービスにテナントリソースを作成して顧客を表します。

コンソールで、[App Lifecycle Manager] > [テナント] に移動します。 Google Cloud

[テナント] に移動
[作成] をクリックします。
[テナント名] ボックスに、テナントリソースの名前を入力します。
省略可: [顧客リソース] ボックスに、統合用に顧客が定義した設定を含むコンシューマーリソースを指定します。
[SaaS サービス] ボックスで、テナントに関連付ける SaaS サービスを選択します。
[リージョン] プルダウンで、テナントメタデータを保存するリージョンを選択します。
省略可: [ラベルを追加] をクリックして、Key-Value ペアのラベルをテナントに追加します。
[作成] をクリックしてテナントリソースを作成します。

テナントリソースの作成が完了しました。

ユニットをテナントに関連付ける

テナントを作成してユニットをデプロイしたら、それらを相互にリンクできます。この関連付けは、主に組織タグとして機能し、どのユニットがどのテナントに属しているかを整理するのに役立ちます。

ユニットのデプロイの詳細については、App Lifecycle Manager を使用して VM をデプロイするをご覧ください。

ユニットをテナントに関連付けるには:

コンソールで、[App Lifecycle Manager] > [テナント] に移動します。 Google Cloud

[テナント] に移動
ユニットに関連付けるテナントの名前をクリックします。
[編集] をクリックします。
[関連付けられたユニット] セクションで、[ユニットを追加] をクリックします。
このテナントに関連付けるユニットを選択します。
[完了] をクリックします。
[保存] をクリックします。

選択したユニットが、指定したテナントに関連付けられます。

テナントプロジェクト変数を使用して新しいユニットをプロビジョニングする

テナントに関連付けられたユニットをプロビジョニングする場合は、tenant_project_id 変数を指定する必要があります。

コンソールで、[App Lifecycle Manager] > [ユニット] に移動します。 Google Cloud

[ユニット] に移動
ユニットの種類に関連付けられた新しいユニットを作成します。
[プロビジョニング] をクリックします。
テナントユニットにプロビジョニングするリリース を選択します。
テナントプロジェクトで権限を付与した動作用のサービスアカウント を選択します。最小権限の原則に従い、管理対象のリソースに必要なロールのみを付与する必要があります。
[入力変数] セクションで、次の操作を行います。
1. Terraform 構成 variables.tf ファイルで定義したとおりに tenant_project_id 変数が一覧表示されていることを確認します。
2. [テナントプロジェクト ID] ボックスに、テナントプロジェクトの名前を入力します。
3. Terraform 構成で定義された入力変数を指定します。Terraform 構成で他の変数を定義していない場合は、この手順をスキップします。
[プロビジョニング] をクリックします。

App Lifecycle Manager は、指定された動作用のサービスアカウントを使用して Infrastructure Manager をトリガーします。Infrastructure Manager は tenant_project_id 変数を読み取り、そのテナントプロジェクト内に VM を作成します。

新しいリリースでユニットを再プロビジョニングする

既存のユニットを新しいリリースで再プロビジョニングする場合は、tenant_project_id 変数を指定する必要があります。

コンソールで、[App Lifecycle Manager] > [ユニット] に移動します。 Google Cloud

[ユニット] に移動
ユニットの種類に関連付けられたユニットを選択します。
[プロビジョニングを編集] をクリックします。
更新された Terraform 構成で作成したリリース を選択します。
テナントプロジェクトで権限を付与した動作用のサービスアカウント を選択します。最小権限の原則に従い、管理対象のリソースに必要なロールのみを付与する必要があります。
[入力変数] セクションで、次の操作を行います。
1. Terraform 構成 variables.tf ファイルで定義したとおりに tenant_project_id 変数が一覧表示されていることを確認します。
2. [テナントプロジェクト ID] ボックスに、テナントプロジェクトの名前を入力します。
3. Terraform 構成で定義された入力変数を指定します。Terraform 構成で他の変数を定義していない場合は、この手順をスキップします。
[更新] をクリックします。

テナント プロジェクトとリソースを設定する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

始める前に

テナント プロジェクトを設定する