GOOGLE CLOUD 基礎

Google Cloudの
リソース階層

組織・請求先アカウント・プロジェクト・プリンシパルを混ぜずに、課金・隔離・アクセス権を整理する。

TL;DR
  1. プロジェクトが実務上の中心境界。
  2. 請求先とIAMは別の関係。
  3. 環境ごとにプロジェクトを分けると扱いやすい。

01 まず関係を分けて見る

組織は管理のまとまり、請求先アカウントは費用の支え、プロジェクトはリソースとIAMの境界である。Googleアカウントはプロジェクトに所属するのではなく、IAMでアクセス権を持つ。

Google Cloudの階層
階層とアクセス権は別の線で読む。
覚え方: プロジェクトを「環境とリソースを閉じ込める箱」として捉える。

02 環境ごとに境界を作る

dev / stg / prod を別プロジェクトにすると、リソース、権限、コストの観察範囲が明確になる。誤操作や障害が他環境へ波及する範囲も小さくなる。

環境別のGoogle Cloudプロジェクト
環境境界を先に作ると、後のIAM設計が単純になる。

03 AWSから翻訳する

Google CloudAWSで近い概念
プロジェクトAWSアカウント
組織AWS Organizations
GoogleアカウントIdentity Centerユーザー
Google CloudとAWSの対応
近い概念は使いつつ、完全一致とは考えない。

結論

  1. プロジェクトを設計の中心にする。
  2. 課金、リソース、IAMをそれぞれ追う。
  3. 環境を最初から分ける。