GCP 環境構築 完全チュートリアル｜アカウント・組織・IAM・Billing 初期設定

GCP の初期環境構築を 0 から手順化します。 アカウント作成 → 組織設計 → 課金管理 → IAM → リージョン選定 → API 有効化 → Cloud Shell まで、本番運用に耐えるベストプラクティスを網羅します。

Step 1: アカウント作成と $300 クレジット獲得

1. cloud.google.com/free アクセス
2. 「Get started for free」クリック
3. Google アカウントログイン (新規 Gmail も可)
4. 国 / 業種 / 用途を選択
5. クレジットカード登録 (本人確認、課金は別途承認必要)
6. $300 / 90 日クレジット獲得

Step 2: Organization 設定 (法人推奨)

• Cloud Identity Free Edition を有効化 (無料、独自ドメイン)
• または Google Workspace 利用
• Organization リソースが自動作成される
• Domain Verification 完了で組織オーナー権限

Step 3: リソース階層設計

Organization (example.com)
├── Folder: Production
│   ├── Project: prod-app-1
│   ├── Project: prod-data
│   └── Project: prod-ml
├── Folder: Staging
│   └── Project: staging-app
├── Folder: Development
│   ├── Project: dev-alice
│   └── Project: dev-bob
└── Folder: Shared Services
    ├── Project: shared-network
    └── Project: shared-monitoring

Step 4: Billing Account 設定

1. Cloud Console → Billing → New Billing Account
2. クレジットカード紐づけ
3. Billing Account を Folder / Project にリンク
4. Budget 作成: 月予算 + 50/90/100% 通知
5. BigQuery 請求エクスポート有効化

Step 5: IAM 設計

• Google Groups を作成 (gcp-admins / gcp-developers / gcp-viewers)
• 個人ユーザーではなく Group に Role 付与
• Basic Role (Owner/Editor) は本番禁止
• Predefined Role 中心 (例: roles/compute.admin)
• Service Account は専用作成 + 最小権限
• Workload Identity (キー不要) 優先
• Privileged Access Manager (PAM) で Just-in-time

Step 6: リージョン選定

Step 7: 主要 API 有効化

gcloud services enable \
  compute.googleapis.com \
  container.googleapis.com \
  run.googleapis.com \
  cloudfunctions.googleapis.com \
  storage.googleapis.com \
  bigquery.googleapis.com \
  pubsub.googleapis.com \
  iam.googleapis.com \
  cloudbuild.googleapis.com \
  artifactregistry.googleapis.com \
  monitoring.googleapis.com \
  logging.googleapis.com

Step 8: Cloud Shell 活用

• Console 右上アイコンから起動
• 無料 (1 セッション最大 50 時間/週)
• 5 GB 永続ホームディレクトリ
• gcloud / kubectl / terraform / docker / git プリインストール
• Cloud Shell Editor で IDE として利用可能

Step 9: ローカル gcloud CLI セットアップ

# macOS
brew install --cask google-cloud-sdk

# Linux (Debian/Ubuntu)
curl https://sdk.cloud.google.com | bash

# 初期設定
gcloud init
gcloud auth login
gcloud config set project YOUR_PROJECT_ID
gcloud config set compute/region asia-northeast1
gcloud config set compute/zone asia-northeast1-a

Step 10: Organization Policy 設定 (推奨)

• compute.vmExternalIpAccess: VM 外部 IP 制限
• iam.disableServiceAccountKeyCreation: SA キー作成禁止
• gcp.resourceLocations: 許可リージョン制限
• iam.allowedPolicyMemberDomains: 信頼ドメイン
• storage.uniformBucketLevelAccess: ACL 禁止

本番環境チェックリスト

• ☐ Organization + Folder + Project 階層
• ☐ Billing Budget + Pub/Sub 通知
• ☐ BigQuery 請求エクスポート
• ☐ Cloud Identity / Workspace 統合
• ☐ Group ベース IAM
• ☐ Service Account 専用作成
• ☐ Organization Policy 適用
• ☐ VPC SC + CMEK (機密データ)
• ☐ Cloud Audit Logs 全有効化
• ☐ Cloud Monitoring 通知チャネル
• ☐ Cloud Build CI/CD パイプライン
• ☐ Terraform で IaC 化

※ Google Cloud は Google LLC の商標です。最新は GCP 公式ドキュメント をご確認ください。