GCP IAM 完全ガイド｜Role 体系・Service Account・Workload Identity・Conditions

Google Cloud IAM (Identity and Access Management) は GCP の権限制御基盤。 本記事では Role 体系、リソース階層、Service Account、Workload Identity Federation、IAM Conditions、Organization Policy まで体系的に解説します。

リソース階層

上位のポリシーは下位に継承されます (Union 結合)。

Role 体系

Identity の種類

• Google Account: 個人ユーザー (user:[email protected])
• Service Account: アプリ / VM / Function 用 (serviceAccount:[email protected])
• Google Group: 複数ユーザーを束ねる (group:[email protected])
• Cloud Identity Domain: ドメイン全体 (domain:example.com)
• allUsers / allAuthenticatedUsers: 公開 (Bucket 公開等で使用)
• Workload Identity Pool: 外部 IdP マッピング

Service Account ベストプラクティス

1. デフォルト SA を使わない: 専用 SA を作成
2. キーをダウンロードしない: Workload Identity / Workload Identity Federation 利用
3. 最小権限: Predefined Role を必要分だけ付与
4. SA Impersonation: 一時的に他 SA の権限を借用 (gcloud auth print-access-token --impersonate-service-account)
5. 監査ログ: Cloud Audit Logs で SA 操作を追跡
6. キーローテーション: やむなくキー利用時は 90 日以内に更新

Workload Identity Federation

外部 IdP (AWS / Azure / Okta / GitHub Actions / Kubernetes) を Google Cloud が信頼する仕組み。SA キーなしで GCP API を呼び出せるため、CI/CD のセキュリティを大幅向上できます。

• Workload Identity Pool 作成
• Provider 設定 (AWS / OIDC / SAML)
• Attribute Mapping (subject / claim から GCP プリンシパル変換)
• Service Account に impersonate 権限付与

IAM Conditions

属性ベースの権限付与 (Attribute-Based Access Control)。例:

{
  "role": "roles/storage.objectAdmin",
  "members": ["user:[email protected]"],
  "condition": {
    "title": "Only specific bucket and during business hours",
    "expression": "resource.name.startsWith('projects/_/buckets/prod-data') && request.time.getHours('Asia/Tokyo') >= 9 && request.time.getHours('Asia/Tokyo') < 18"
  }
}

Organization Policy

• constraints/compute.vmExternalIpAccess: 外部 IP の VM を制限
• constraints/iam.disableServiceAccountKeyCreation: SA キー作成を禁止
• constraints/gcp.resourceLocations: 許可リージョンを制限
• constraints/iam.allowedPolicyMemberDomains: 信頼ドメインのみ許可 (Domain Restricted Sharing)
• constraints/storage.uniformBucketLevelAccess: ACL ではなく IAM のみ強制

Privileged Access Manager (PAM)

• 2024 リリース、Just-in-Time アクセス
• 特権ロールに対する申請 → 承認 → 時限付与のワークフロー
• 緊急時の Break-glass アクセスを安全に運用
• 監査ログで誰がいつ何を承認したか追跡

監査・モニタリング

• Cloud Audit Logs: Admin Activity (常時)、Data Access、System Event、Policy Denied
• IAM Recommender: ML ベースの過剰権限提案 (90 日未使用ロール削減)
• Policy Troubleshooter: 「なぜこのユーザーは X できない/できる」を分析
• Policy Analyzer: 組織横断で「誰が何にアクセスできるか」検索

頻出ひっかけ問題

• Basic Role は本番非推奨: roles/editor は ML / 課金以外ほぼ全権限
• SA は Identity + Resource の両方: 他 SA に Token Creator を付与すれば Impersonation 可能
• Conditions は API 対応必要: 全 API でサポートではない、要確認
• Organization Policy は IAM より優先: 拒否ポリシーは IAM Allow より強い

※ Google Cloud は Google LLC の商標です。最新情報は IAM 公式 をご確認ください。