Workload Manager サービス エージェント

このページでは、ワークロード マネージャー に関連するサービス エージェントについて説明します。

サービス エージェント

サービス エージェントは、Google が作成して管理するサービス アカウントです。サービス エージェントは、 サービスがユーザーに代わってプロジェクト内のリソースにアクセスするための ID として機能します。 Google Cloud

サービス エージェントは、 API を有効にして使用した後に作成されます。 Google Cloud 作成時に、Google はプロジェクトのサービス エージェントに特定の事前定義 IAM ロールを付与することがよくあります。これらのロールには、サービス エージェントが正しく機能するために必要な最小限の権限が含まれています。ロールが付与されたサービス エージェントの一覧については、IAM ドキュメントのサービス エージェントをご覧ください。

ワークロード マネージャー は、 サービス エージェント を使用して、リソースと関連する プロジェクト間のアクセスと通信を制御します。

ワークロードを評価するには、 Google Cloud console または Workload Manager API を使用します。 を使用すると、ワークロード マネージャー は必要なサービス エージェントをすべて自動的に作成します。 Google Cloud consoleWorkload Manager API を使用する場合は、サービス エージェントを手動で作成する必要があります。

必要なロール

サービス エージェントの作成に必要な権限を取得するには、スコープ内の各ターゲット プロジェクトに対するプロジェクト ID とアクセス管理（IAM）管理者 （roles/resourcemanager.projectIamAdmin）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。

この事前定義ロールには、サービス エージェントの作成に必要な権限が含まれています。resourcemanager.projects.setIamPolicy

カスタムロールや他の事前定義ロールを使用して、この権限を取得することもできます。

ロールを作成してサービス エージェントに付与する

Google Cloud コンソール

を使用してワークロードを評価すると、ワークロード マネージャー はコンシューマ プロジェクトにサービス エージェントを自動的に作成します。 Google Cloud console

このサービス エージェントのメールアドレスは service-PROJECT_NUMBER@gcp-sa-workloadmanager.iam.gserviceaccount.comで、 ワークロード マネージャー サービス アカウントと呼ばれます。

ワークロード マネージャー サービス エージェントが評価を実行するには、次のロールが必要です。プロンプトが表示されたら、これらのロールをサービス エージェントに付与します。

  • Workload Manager サービス エージェント（roles/workloadmanager.serviceAgent）: ターゲット プロジェクトで必要です。
  • ワークロード マネージャー Worker（roles/workloadmanager.worker）: 評価の頻度を設定した場合にのみ、コンシューマ プロジェクトで必要です。

Workload Manager API

Workload Manager API を使用してワークロードを評価する場合は、評価を作成する前に、コンシューマ プロジェクトに Workload Manager サービス エージェントを手動で作成する必要があります。 サービス エージェントを作成するには、gcloud beta services identity createコマンドを使用します。

  gcloud beta services identity create --service=workloadmanager.googleapis.com  \
      --project=PROJECT_NUMBER

PROJECT_NUMBER は、サービス エージェントを作成するコンシューマ プロジェクトの数値 ID に置き換えます。

サービス エージェントを作成したら、次のロールをサービス エージェントに付与する必要があります。

  • ワークロード マネージャー サービス エージェント（roles/workloadmanager.serviceAgent）: ターゲット プロジェクトで必要です。
  • ワークロード マネージャー Worker（roles/workloadmanager.worker）: 評価の頻度を設定した場合にのみ、コンシューマ プロジェクトで必要です。

詳細については、サービス エージェントにロールを付与するをご覧ください。