Google Cloud 基礎コース / Chapter 03

IAM: プリンシパル・ロール・ポリシー

誰に、どの範囲へ、何を許可するかを分解して最小権限を設計する章。Google アカウント、グループ、サービスアカウントを使い分け、Owner を日常運用から外す。

TL;DR

Google アカウント、Google グループ、サービスアカウントの責務を区別する。

プリンシパルは「権限を受け取る主体」であり、人・グループ・ワークロードを表す。

組織・フォルダ・プロジェクト・リソースのどこに binding を置くかを考える。

ロールは権限の束、IAM ポリシーは「誰へどのロールを付けるか」の対応表である。

Owner は緊急用に限定し、通常は必要なロールだけを与える。

個人への直接付与を増やさず、責務ごとのサービスアカウントとグループで管理する。

似た概念を対応づけつつ、同じ「ロール」という言葉に引っ張られない。

AWS を知っていると対応づけは助けになる。ただし、Google Cloud IAM ではロールが権限の束で、ポリシーがプリンシパルとロールを結びつけるルールになる。

Google Cloud	AWSでの近い概念	覚え方
プリンシパル	IAM エンティティ全般（IAM ユーザー、IAM ロール、フェデレーションユーザーなど）	「誰が」操作するか
Google アカウント	IAM Identity Center ユーザー	人が使うアカウント
サービスアカウント	ワークロード用 IAM ロール	アプリやサービスが使う主体
Google Cloud のロール	IAM 権限ポリシー	「何ができるか」の権限セット
Google Cloud のポリシー	ユーザーやロールへの IAM 権限ポリシーのアタッチ	「誰に何を許可するか」を結ぶ

これは理解を始めるための対応表で、完全な1対1ではない。特に Google Cloud のロールは権限の束、AWS IAM ロールは引き受けて使う主体として覚える。