IAM: プリンシパル・ロール・ポリシー
誰に、どの範囲へ、何を許可するかを分解して最小権限を設計する章。Google アカウント、グループ、サービス アカウントを使い分け、Owner を日常運用から外す。
TL;DR
- プリンシパルは「権限を受け取る主体」であり、人・グループ・ワークロードを表す。
- ロールは権限の束、IAM ポリシーは「誰へどのロールを付けるか」の対応表である。
- 個人への直接付与を増やさず、責務ごとのサービス アカウントとグループで管理する。
01主体を先に決める
Google アカウント、Google グループ、サービス アカウントの責務を区別する。
プリンシパルは「権限を受け取る主体」であり、人・グループ・ワークロードを表す。
02ポリシーで範囲を固定する
組織・フォルダ・プロジェクト・リソースのどこに binding を置くかを考える。
ロールは権限の束、IAM ポリシーは「誰へどのロールを付けるか」の対応表である。
03最小権限で運用する
Owner は緊急用に限定し、通常は必要なロールだけを与える。
個人への直接付与を増やさず、責務ごとのサービス アカウントとグループで管理する。
結論
- プリンシパルは「権限を受け取る主体」であり、人・グループ・ワークロードを表す。
- ロールは権限の束、IAM ポリシーは「誰へどのロールを付けるか」の対応表である。
- 個人への直接付与を増やさず、責務ごとのサービス アカウントとグループで管理する。