IAM を使用してプロジェクトへのアクセスを許可する

1. 始める前に

この Codelab では、OAuth クライアントの設定方法と、Google Cloud コンソールを使用してプロジェクトのプリンシパルに Identity and Access Management（IAM）ロールを付与する方法について説明します。

前提条件

• Cloud コンソールの操作能力

学習内容

• アプリを OAuth クライアントとして設定する方法。
• Identity and Access Management（IAM）を使用してアプリへのアクセスを制限する方法。

必要なもの

• 最新のウェブブラウザ（Google Chrome など）
• Google アカウント（Gmail アカウント、Google Workspace アカウントなど）
• 無料トライアルの登録に使用する Cloud Billing アカウントまたはクレジット カードへのアクセス権。

2. Google Cloud プロジェクトを作成して請求先アカウントを設定する

注: 再利用したいプロジェクトと請求先アカウントをすでに設定している場合は、このセクションをスキップできます。

1. Cloud コンソールにログインします。

警告: プロジェクトを再利用してこの Codelab を完了すると、完了時に無効にしないと、一部のユーザーがそのプロジェクトのリソースにアクセスできるようになります。

2. プロジェクト セレクタのページに移動します。
3. [プロジェクトの作成] をクリックします。
4. プロジェクトに名前を付け、生成されたプロジェクト ID をメモします。
5. 必要に応じて他のフィールドを編集します。

注: Gmail アカウントを使用している場合は、デフォルトの場所の設定を「組織なし」のままにしてかまいません。Google Workspace アカウントを使用している場合は、ご自身の組織に応じて場所を選択してください。

6. [作成] をクリックします。
7. Google Cloud リソースを使用するには、Cloud コンソールで課金を有効にします（まだ有効にしていない場合）。

この Codelab のコストはそれほど高くありませんが、クリーンアップ セクションの手順に沿ってリソースをシャットダウンし、この Codelab 以外のコストが発生しないようにしてください。Google Cloud の新規ユーザーは 300 米ドル分の無料トライアルをご利用いただけます。

3. IAM でアクセス権を付与する

IAM を使用すると、プロジェクトやリソースに対するロールベースのアクセス権をユーザーに付与できます。このセクションでは、IAM を使用して、プロジェクトのいくつかのロールへのアクセス権をユーザーに付与します。

IAM API と Resource Manager API を有効にする

1. Cloud コンソールのナビゲーション メニューで、[API とサービス。

2. [API とサービスの有効化] を選択します。

3. IAM API を検索して有効にします。
4. Resource Manager API を検索して有効にします。

IAM を使用してロールを付与する

1. [IAM] ページに移動します。

プロジェクトの名前がプロジェクト セレクタに表示されます。プロジェクト セレクタは、現在どのプロジェクトかを示します。

プロジェクト名が表示されない場合は、プロジェクト セレクタを使用して選択します。

2. [追加] をクリックします。
3. プリンシパルのメールアドレスを入力します。
4. [ロールを選択] プルダウン メニューから [ロギング] >ログ閲覧者 >保存します。

5. プリンシパルとロールが [IAM] ページに表示されていることを確認します。

これで、プリンシパルに Identity and Access Management ロールを付与しました。

Identity and Access Management ロールの影響を確認する

このセクションでは、ロールを付与したプリンシパルが、想定される Cloud コンソールのページにアクセスできることを確認します。

1. ロールを付与したプリンシパルに次の URL を送信します。

https://console.cloud.google.com/logs?project=PROJECT_ID

2. プリンシパルが URL にアクセスして表示できることを確認します。

プリンシパルは、適切なロールが付与されていない Cloud コンソール ページにはアクセスできません。代わりに、次の例のようなエラー メッセージが表示されます。

You don't have permissions to view logs.

同じプリンシパルに別のロールを付与する

注意: 基本ロールには、すべての Google Cloud サービスにかかわる何千もの権限が含まれます。本番環境では、他に選択肢がない限り、基本ロールを付与しないでください。代わりに、ニーズに合わせて最も制限された事前定義ロールまたはカスタムロールを付与します。

1. Cloud コンソールで [IAM] ページに移動します。
2. 別のロールを付与するプリンシパルを見つけて、[編集 ] をクリックします。
3. [権限の編集] ペインで、[別のロールを追加] をクリックします。

4. [ロールを選択] プルダウン メニューで、[プロジェクト] >閲覧者 >保存します。

これで、プリンシパルに 2 つ目の Identity and Access Management ロールが付与されました。

プリンシパルに付与したロールを取り消す

1. ロールを取り消すプリンシパルを見つけて、[編集] をクリックします。
2. [権限の編集] ペインで、以前にプリンシパルに付与した両方のロールの横にある をクリックします。
3. [保存] をクリックします。

両方のロールからプリンシパルを削除しました。このユーザーが、以前アクセスできたページを表示しようとすると、エラー メッセージが表示されます。

4. クリーンアップ

この Codelab で使用したリソースについて、Google Cloud アカウントに課金されないようにする手順は次のとおりです。

注意: プロジェクトを削除すると、次のようになります。

• プロジェクト内のすべてのものが削除されます。このチュートリアルでは、既存のプロジェクトを使用した場合、そのプロジェクトで行った他の作業もすべて削除されます。
• カスタム プロジェクト ID が失われます。このプロジェクトを作成したときに、将来使用するカスタム プロジェクト ID を作成した可能性があります。appspot.com URL など、プロジェクト ID を使用する URL を保持するには、プロジェクト全体ではなくプロジェクト内の選択したリソースを削除します。

複数の Codelab やクイックスタートを実施する予定がある場合は、プロジェクトを再利用してプロジェクトの割り当て上限を超えないようにすることができます。

1. Cloud コンソールで、[リソースの管理] ページに移動します。
2. プロジェクト リストで、削除するプロジェクトを選択し、[削除] をクリックします。
3. ダイアログでプロジェクト ID を入力し、[シャットダウン] をクリックしてプロジェクトを削除します。

5. 完了

これで、ここでは、OAuth クライアントを設定し、Cloud コンソールを使用してプロジェクトのプリンシパルに Identity and Access Management ロールを付与する方法を学びました。