IAM を使用してプロジェクトへのアクセスを許可する

1. 始める前に

この Codelab では、OAuth クライアントを設定する方法と、Google Cloud Console を使用してプロジェクトのプリンシパルに Identity and Access Management（IAM）ロールを付与する方法について説明します。

前提条件

• Cloud Console を操作できること。

学習内容

• アプリを OAuth クライアントとして設定する方法。
• Identity and Access Management（IAM）を使用してアプリへのアクセスを制限する方法。

必要なもの

• 最新のウェブブラウザ（Google Chrome など）。
• Google アカウント（Gmail アカウントや Google Workspace アカウントなど）。
• Cloud 請求先アカウント、または無料トライアルに登録するために使用するクレジット カード。

2. Google Cloud プロジェクトを作成し、請求先アカウントを設定する

注: 再利用するプロジェクトと請求先アカウントをすでに設定している場合は、このセクションをスキップできます。

1. Cloud Console にログインします。

警告: プロジェクトを再利用してこの Codelab を完了すると、完了時に無効になっていない場合、一部のユーザーがそのプロジェクトのリソースにアクセスできるようになる可能性があります。

2. プロジェクト セレクタのページに移動します。
3. [プロジェクトの作成] をクリックします。
4. プロジェクトに名前を付け、生成されたプロジェクト ID をメモします。
5. 必要に応じて他のフィールドを編集します。

注: Gmail アカウントを使用している場合は、デフォルトの場所の設定を「組織なし」のままにしてかまいません。Google Workspace アカウントを使用している場合は、ご自身の組織に応じて場所を選択してください。

6. [作成] をクリックします。
7. まだ有効にしていない場合は、Google Cloud リソースを使用するために、Cloud コンソールで課金を有効にします。

この Codelab で費用が生じたとしても、少額です。クリーンアップ セクションの手順に沿ってリソースをシャットダウンし、この Codelab 以外で費用が発生しないようにしてください。Google Cloud の新規ユーザーは、300 米ドル分の無料トライアルをご利用いただけます。

3. IAM でアクセス権を付与する

IAM を使用すると、プロジェクトとリソースに対するロールベースのアクセス権をユーザーに付与できます。このセクションでは、IAM を使用して、プロジェクトのいくつかのロールに対するアクセス権をユーザーに付与します。

IAM API と Resource Manager API を有効にする

1. Cloud コンソールのナビゲーション メニューで、[API とサービス] をクリックします。

2. [API とサービスを有効化] を選択します。

3. IAM API を検索して有効にします。
4. Resource Manager API を検索して有効にします。

IAM でロールを付与する

1. IAM ページに移動します。

プロジェクト名がプロジェクト セレクタに表示されます。プロジェクト セレクタには、現在作業中のプロジェクトが表示されます。

プロジェクトの名前が表示されない場合は、プロジェクト セレクタを使用して選択します。

2. [追加] をクリックします。
3. プリンシパルのメールアドレスを入力します。
4. [ロールを選択] プルダウン メニューから、[ロギング] > [ログ閲覧者] > [保存] を選択します。

5. プリンシパルとロールが [IAM] ページに表示されていることを確認します。

これで、プリンシパルに Identity and Access Management ロールが付与されました。

Identity and Access Management ロールの効果を確認する

このセクションでは、ロールを付与したプリンシパルが目的の Cloud コンソール ページにアクセスできることを確認します。

1. この URL をロールを付与したプリンシパルに送信します。

https://console.cloud.google.com/logs?project=PROJECT_ID

2. プリンシパルが URL にアクセスして表示できることを確認します。

適切なロールが付与されていない Cloud Console ページにはアクセスできません。代わりに、次のようなエラー メッセージが表示されます。

You don't have permissions to view logs.

同じプリンシパルに別のロールを付与する

注意: 基本ロールには、すべての Google Cloud サービスにかかわる何千もの権限が含まれます。本番環境では、他に選択肢がない限り、基本ロールを付与しないでください。代わりに、ニーズに合わせて最も制限された事前定義ロールまたはカスタムロールを付与します。

1. Cloud Console で [IAM] ページに移動します。
2. 別のロールを付与するプリンシパルを見つけて、[編集 ] をクリックします。
3. [権限の編集] ペインで、[別のロールを追加] をクリックします。

4. [ロールを選択] プルダウン メニューで、[プロジェクト] > [閲覧者] > [保存] をクリックします。

プリンシパルに 2 つ目の Identity and Access Management ロールが付与されました。

プリンシパルに付与したロールを取り消す

1. ロールを取り消すプリンシパルを見つけて、[編集] をクリックします。
2. [権限の編集] ペインで、プリンシパルに以前に付与した両方のロールの横にある をクリックします。
3. [保存] をクリックします。

これで、両方のロールからプリンシパルが削除されました。このユーザーが以前にアクセスできたページを表示しようとすると、エラー メッセージが表示されます。

4. クリーンアップ

この Codelab で使用したリソースに対して Google Cloud アカウントで課金されないようにする手順は次のとおりです。

注意: プロジェクトを削除すると、次のようになります。

• プロジェクト内のすべてのものが削除されます。このチュートリアルで既存のプロジェクトを使用した場合、そのプロジェクトで行った他の作業もすべて削除されます。
• カスタム プロジェクト ID が失われます。このプロジェクトを作成したときに、将来使用するカスタム プロジェクト ID を作成した可能性があります。appspot.com URL など、プロジェクト ID を使用する URL を保持するには、プロジェクト全体ではなく、プロジェクト内の選択したリソースを削除します。

複数の Codelab またはクイックスタートを実施する予定がある場合は、プロジェクトを再利用して、プロジェクトの割り当て上限を超えないようにすることができます。

1. Cloud コンソールで、[リソースの管理] ページに移動します。
2. プロジェクト リストで、削除するプロジェクトを選択し、[削除] をクリックします。
3. ダイアログでプロジェクト ID を入力し、[シャットダウン] をクリックしてプロジェクトを削除します。

5. 完了

おめでとうございます！OAuth クライアントを設定し、Cloud コンソールを使用してプロジェクトのプリンシパルに Identity and Access Management ロールを付与する方法を学習しました。