IAM の考え方

IAM は「誰が（プリンシパル）、どの資源に、何をできるか（ロール）」を決める仕組みです。ロールは権限のまとまりで、許可ポリシーという設定で、プリンシパルにロールを結びつけます。プリンシパルには、Google アカウント、Google グループ、サービスアカウントなどがあります。

ロールの3つの種類

• 基本ロール … 広い権限。Admin・Writer・Reader と、IAM より前からある旧来の Owner・Editor・Viewer。本番では、ほかに方法が無いとき以外は付けない
• 事前定義ロール … サービスごとに Google が用意した細かいロール（例 Compute インスタンス管理者）
• カスタムロール … 自分で権限を選んで作るロール。組織かプロジェクトに作れるが、フォルダには作れない

継承は足し算

許可ポリシーは、組織・フォルダ・プロジェクト・リソースのどこにでも付けられ、下へ受け継がれます。ある資源で効く権限は、その資源と上の層すべての許可ポリシーの 和集合 です。下の層の許可ポリシーで、上から来た権限を取り消すことはできません。取り消すなら、付けた層で外します。

付与はグループに

人に直接ロールを付けると、異動や退職のたびに漏れが出ます。Cloud Identity などで Google グループを作り、グループにロールを付けて、人をグループに出し入れします。

• プリンシパル・ロール・許可ポリシーの関係
• 基本ロール・事前定義ロール・カスタムロールの違い
• 許可ポリシーの継承が和集合であること
• グループにロールを付ける運用