このセクションでは、さまざまな展開例を使用して、ロールと権限を作成する方法について説明します。
ロールとは、メンバーに割り当てることができる権限のグループです。Google Cloud Platform (GCP) コンソールからロールを作成し、ロールに権限を割り当てられます。
このトピックで使用される GCP 固有の用語のリストを次に示します。
フィールド |
値 |
|---|---|
Virtual Private Cloud |
GCP Virtual Private Cloud (VPC) は、GCP リソースにネットワーク機能を提供します。 |
プロジェクト |
プロジェクトは、すべての GCP リソースを編成します。プロジェクトは、一連のユーザー、一連の API、およびこれらの API の課金、認証、およびモニターの設定で構成されます。 |
共有 VPC (XPN) |
共有 VPC を使用すると、組織は複数のプロジェクトのリソースを共通の VPC ネットワークに接続できます。共有 VPC を使用する場合、1 つのプロジェクトがホスト プロジェクトとして指定され、1 つ以上の他のサービス プロジェクトをホスト プロジェクトに接続できます。共有 VPC は、XPN とも呼ばれます。 |
サービス アカウント |
サービス アカウントは、個々のエンド ユーザーではなく、アプリケーションまたは仮想マシン (VM) に属する特別な Google アカウントです。アプリケーションは、ユーザーが直接関与しないように、サービス アカウントを使用してサービスの Google API を呼び出します。 |
GCP のロールと権限
ID が Google Cloud Platform API を呼び出す場合、クラウド ID とアクセス管理 (IAM) は、ID にリソースを使用するための適切な権限があることを確認する必要があります。権限を付与するには、ユーザー、グループ、またはサービス アカウントにロールを付与します。
ロール タイプ
クラウド IAM のロールには、次のタイプがあります。
- プリミティブ ロール：
-
これには、クラウド IAM の導入前に存在していた所有者、編集者、閲覧者のロールが含まれます。
- 事前定義ロール：
-
これにより、特定のサービスにきめ細かいアクセスが提供され、GCP によって管理されます。
- カスタム ロール：
-
これにより、ユーザーが指定した権限のリストに従ってきめ細かいアクセスが提供されます。詳細については、cloud.google.com を参照してください。
この場合、ロールのすべてのインスタンスはカスタム ロールを参照します。
カスタム ロールの作成の詳細については、「カスタム ロールの作成と管理」を参照してください。
以下は、クロス プロジェクト展開のシナリオです。
コントローラ、サービス エンジン、および XPN は同じプロジェクトにあります。
コントローラとサービス エンジンは、XPN 以外のプロジェクトにあります。
オプション 1：同じプロジェクト内のコントローラ、サービス エンジン、および XPN
この展開シナリオでは、共有 VPC (XPN)、コントローラ、およびサービス エンジンがプロジェクト A にあります。
展開シナリオの詳細については、以下の「仮想マシンのロールと権限」セクションを参照してください。
仮想マシンのロールと権限
The Controller
デフォルトのコンピューティング エンジン サービス アカウント（プロジェクトでコンピューティング エンジン サービス アカウントが有効になっている）を使用する場合は、サービス アカウントとして選択し、次の図に示すようにコンピューティング エンジン API の
Read Write権限を提供します。
Service Engine
デフォルトのコンピューティング エンジン サービス アカウント（プロジェクトでコンピューティング エンジン サービス アカウントが有効になっている）を使用する場合は、サービス アカウントとして選択し、次の図に示すようにコンピューティング エンジン API の
Read Only権限を提供します。
IP アドレス管理の構成
IP アドレス管理を構成するには、次の入力を使用します。
フィールド |
値 |
|---|---|
usable_network_uuids |
VIP 割り当てのネットワーク ID |
network_host_project_id |
|
se_project_id |
プロジェクト A（SE のプロジェクト名） |
region_name |
リージョン A（SE のリージョン名） |
vpc_network_name |
オプション 2：コントローラとサービス エンジンが XPN 以外のプロジェクトにある
この展開例では、共有 VPC はプロジェクト A に、コントローラは プロジェクト B に、サービス エンジンは プロジェクト B にあります。
IP アドレス管理の構成
フィールド |
値 |
|---|---|
usable_network_uuids |
VIP 割り当てのための AVI ネットワーク ID |
network_host_project_id |
プロジェクト A（共有 VPC プロジェクト ID） |
se_project_id |
プロジェクト B（SE のプロジェクト ID） |
region_name |
リージョン A（SE のリージョン名） |
