このページは Cloud Translation API によって翻訳されました。

Service Control API のアクセス制御

マネージドサービスに対して Service Control API を呼び出すには、そのサービスに対する次の Identity and Access Management（IAM）権限が必要です。

services.check には権限 servicemanagement.services.check が必要です。
services.report には権限 servicemanagement.services.report が必要です。
services.allocateQuota には権限 servicemanagement.services.quota が必要です。

IAM ロール roles/servicemanagement.serviceController、roles/owner、roles/editor にはこれらの権限が含まれており、各 IAM ロールを使用してこれらの権限を付与できます。マネージドサービスの実行には IAM ロール roles/servicemanagement.serviceController をおすすめします。roles/owner や roles/editor でもこうした権限を付与できますが、セキュリティ上の理由から適用範囲の狭いロールの方が適しています。

リソースモデル

IAM は、リソースに IAM ポリシーを適用し、そのリソース上でどのユーザーがどのアクションを実行できるかを制御します。Service Control API では次のリソースを使用して機能を提供します。

サービスプロデューサープロジェクト: サービスプロデューサープロジェクトは、ゼロ個以上のマネージドサービスを所有できます。サービスプロデューサープロジェクトはこの階層内のサービスの親です。
マネージドサービス: マネージドサービスは、ゼロ人以上のサービスユーザーを持つことができます。
サービスユーザー: サービスユーザーとは、サービスを有効にしたGoogle Cloud プロジェクトを指します。

IAM アクセス制御はリソースモデルに適用されます。サービスプロデューサープロジェクトのレベルで付与された役割は、そのプロデューサープロジェクトが所有するすべてのマネージドサービスに影響します。マネージドサービスレベルで付与された役割は、そのマネージドサービスのすべてのユーザーに影響します。

セキュリティと独立性に関する理由から、マネージドサービスはサービスプロデューサープロジェクトごとに 1 つだけ作成することを強くおすすめします。複数作成した場合、たとえば、サービスプロデューサープロジェクトが Service Control API にリクエストを送信するための割り当てを使い果たした場合などには、その複数のマネージドサービスが影響を受けます。

マルチテナントサービスを使用している場合は、マネージドサービスレベルでロール roles/servicemanagement.serviceController を付与する必要があります。シングルテナントサービス、つまり各サービスユーザーが専用のマネージドサービスインスタンスを持つサービスを使用している場合は、このロールをサービスユーザーレベルで付与する必要があります。すべてのユーザーに影響するバックグラウンドデータ処理の場合は、マネージドサービスレベルで役割を付与します。

ロールの付与

Service Control API を呼び出すには、必要なロールを呼び出し元に付与する必要があります。ロールは次の 3 つのいずれかの方法で付与できます。必要なロールを付与するため、サービスプロデューサープロジェクトの所有者である必要があります。

サービスプロデューサープロジェクトレベルで役割を付与する

マネージドサービスが属しているプロジェクトに対して必要なロールを付与するには、リソースに対するアクセス権の付与、変更、取り消しの手順に従うか、Google Cloud CLI の add-iam-policy-binding コマンドを使用します。

たとえば、foo@developer.gserviceaccount.com などのサービスアカウントにロールを付与できます。

gcloud projects add-iam-policy-binding PRODUCER_PROJECT_ID --member serviceAccount:SERVICE_ACCOUNT --role roles/servicemanagement.serviceController

同様に、ユーザーアカウント（bar@gmail.com など）にもロールを付与できます。

gcloud projects add-iam-policy-binding PRODUCER_PROJECT_ID --member user:USER_ACCOUNT --role roles/servicemanagement.serviceController

サービスレベルで役割を付与する

ロール roles/servicemanagement.serviceController は、curl を使用してサービスレベルで付与できます。次の例では、スタートガイドの curl でテストするセクションで定義されている gcurl エイリアスを使用しています。

gcurl -d "{
  'policy': {
    'bindings': [ {
      role: 'roles/servicemanagement.serviceController',
      members: 'serviceAccount:SERVICE_ACCOUNT'
    } ]
  }
}" https://servicemanagement.googleapis.com/v1/services/YOUR_SERVICE_NAME:setIamPolicy

上記の例では、既存のサービスレベルの IAM ポリシーがすべて置き換えられます。新しいロールを段階的に付与するには、すべての IAM ポリシーをリクエスト本文に含める必要があります。

サービスユーザーレベルで役割を付与する

ロール roles/servicemanagement.serviceController をサービスレベルで付与することができます。サービスユーザーレベルの権限では、Service Control API に対するリクエストに、有効なユーザー ID が 1 つ以上含まれている必要があります。次の例では、スタートガイドの curl でテストするセクションで定義されている gcurl エイリアスを使用しています。

gcurl -d "{
  'policy': {
    'bindings': [ {
      role: 'roles/servicemanagement.serviceController',
      members: 'serviceAccount:SERVICE_ACCOUNT'
    } ]
  }
}" https://servicemanagement.googleapis.com/v1/services/YOUR_SERVICE_NAME/consumers/CONSUMER_PROJECT_NUMBER:setIamPolicy

上記の例では、既存のコンシューマプロジェクトレベルの IAM ポリシーがすべて置き換えられます。新しいロールを段階的に付与するには、すべての IAM ポリシーをリクエスト本文に含める必要があります。

詳細については、Cloud Auth ガイドをご覧ください。

Service Control API のアクセス制御 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。