IAMについてこんばんは。いう概念について学んでいきます。いう権限を管理するためのサービスです。理解する上で、いくつかの重要な内容があります。それは、リソース階層、ロール、メンバーです。ここではそれらを、順に解説します。おけるリソースは、上記の図のような階層構造を持っています。上から順に、「組織」「フォルダ」「プロジェクト」「リソース」と並んでいます。この階層におけるルートは組織ノードであり、末端ノードがリソースです。ポリシーはこれらのそれぞれのレベルに対して付与することができます。ポリシーには、その権限を持つことになるユーザが含まれます。することができるようになります。ここで重要なのは、自分の祖先ノードに対して付与された権限は、自分も継承するということです。一つ大事なことは、子ノードは親ノードから継承された権限を制限できないということです。権限を取り消すようなポリシーは設定できません(無視されます)。子ノードでのポリシー付与は、親ノードから継承されたポリシーの拡充としてのみ、許容されます。組織ノードは、全てのフォルダとプロジェクトの祖先ノードです。ポリシー継承の原則により、組織ノードに設定された権限は、全てのリソースに対して適用されます。組織ノードはオプションであり、必ずしも全てのGCPユーザが使用可能なものではありません。組織ノードが存在すると、プロジェクトを統合的に管理できるため、可能であるならば使用するべきです。ユーザーのみ作成することができます。フォルダフォルダノードを使用すると、プロジェクトをグループ化することができます。これを使用すると、例えば、組織内の部署や部門、事業所などのドメインを表現することができます。フォルダには、複数のプロジェクトを紐づけることができます。フォルダの中にフォルダを入れることもできます。ユーザーのみ使用することができる、ということです。プロジェクトプロジェクトは、GCP全体における基本エンティティです。あらゆるGCPのサービス、リソースはプロジェクトに紐づくように作成、管理されます。ロールについてロールとは、どのリソースで何ができるかを表現するオブジェクトです。ユーザに権限を直接付与しません。その代わりに、権限の集合体であるロールをユーザに付与します。ここには大別して、3種類のロール種別が存在します。Role基本的なロール・タイプです。いう4つのロールが定義されています。オーナーはプロジェクトの作成や削除、メンバーの追加などを行うことができ、編集者はリソースの変更や構成を行うことができ、閲覧者はリソースの閲覧を行うことができます。これらの3つのロールは包含的であり、オーナーは編集者の権限を持ち合わせており、また編集者は閲覧者の権限を持ち合わせています。末端の閲覧者は、自らの権限のみを持っています。最後の課金管理者はその名の通り、課金に関する権限を保持します。このロールは他のロールとの関連があまりありません。運用上も、他の3つとは切り離す形でロールを付与することが一般的です。Role基本ロールよりももっと細かい制御を行いたい時は、この事前定義ロールを使用します。取りまとめられています。基本ロールにしても事前定義ロールにしても、それはグルーピングされた権限の集合体です。ように、リソースに対する一部の行為を規定するに過ぎないからです。事前定義ロールでは、想定される用途に適切な権限を集め、ロールとしてグルーピングしたものをユーザに提供しています。通常の用途から外れるような権限統御を行いたい場合は、次のカスタムロールを使用することになります。Roleカスタムロールは、ユーザが作成するロールです。基本ロールでも事前定義ロールでも望ましい権限統御が行えない場合、このカスタムロールを作成・使用します。ユーザは自ら選択した権限で以ってこのカスタムロールを作成します。このカスタムロールはGoogleによって管理されません。したがって、例えば基本的な権限の名称などが変更されたとしても、カスタムロールの中身を自動で更新するなどはしません。考え方の「誰が」に相当するオブジェクトです。メンバーオブジェクトとして選択し得るのは、次の5種です。GoogleアカウントGoogleアカウントは、GCPを利用するための主に個人を表現するアカウントです。いうメールアドレスがそのままIDとなります。企業のメールアドレスをGoogleアカウントとして用いることもできます。GoogleグループGoogleグループは、Googleアカウントあるいはサービスアカウントをグルーピングしたものです。開発者に対してロールを付与したいときなどに、開発者個々のアカウントにロールを付与するのではなく、開発者グループを作成した上でグループにロールを付与する、などの使われ方をします。個々のアカウントへのロール付与は煩雑さと誤操作の危険性を孕むため、Googleはこのグループ単位でロールを付与することを推奨しています。ドメインは、一つの組織に所属する全てのメンバーを含む仮想グループです。組織単位での権限操作を容易にします。ドメインと同じく、一つの組織に所属する全てのメンバーを含む仮想グループです。関するアプリケーションを利用できないということです。不要だけれども組織単位での権限管理を行いたい、というニーズに対応するメンバーオブジェクトです。サービスアカウントサービスアカウントは、利用するアプリケーションに属するメンバーオブジェクトです。上記4つのオブジェクトとは性質が異なります。このアカウントは、個々のユーザにではなく、GCPのアプリケーションに紐づいています。これにより、例えばサーバ間のやりとりなどをユーザの認証情報を使用せずに行うことができるようになります。・権限の制御は、リソース階層に沿った形で行われる。リソースの上位に設定された権限は、その子ノード、孫ノードへと引き継がれる。・リソース階層においてノードは、祖先ノードから継承された権限を制限できない。制御するサービスである。相当するのは、メンバーという概念である。ドメインのようなグルーピングされた主体もある。サービスアカウントはそれらと異質であり、ユーザに対してではなくアプリケーションそのものに設定できるメンバーオブジェクトである。表現するのが権限である。権限は、それ単体ではユーザに付与されない。権限はロールという形式にまとめられ、ロール単位でユーザに付与される。・ロールには、基本ロール・事前定義ロール・カスタムロースがある。全体的な権限制御は基本ロールで行い、個々の権限制御は事前定義ロールで行い、それで管理できない部分についてはカスタムロールを作成して使用する。2019.05.02こんにちは。ついて、その概要をまとめていきます。コメントをキャンセルメールアドレスが公開されることはありません。