Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

GKE でプロジェクト間のアクセスを構成する

このページでは、現在のプロジェクトとは異なる Google Cloud プロジェクトに存在するポリシーとコンテナイメージに対するアクセス権を Binary Authorization に付与する方法について説明します。たとえば、別のプロジェクトが所有する Artifact Registry または Container Registry（非推奨）リポジトリから Google Kubernetes Engine（GKE）クラスタにイメージをデプロイする場合は、ソースリポジトリのイメージメタデータに対するアクセス権をプロジェクトの Binary Authorization サービスに付与する必要があります。

用語

このドキュメントでは、次の用語を使用しています。

サービスエージェント: Google Cloudが管理するサービスアカウント。Binary Authorization は、サービスエージェントを使用して GKE クラスタなどの Google Cloudリソースを操作します。
ポリシープロジェクト: Binary Authorization ポリシーを含む Google Cloud プロジェクト。
クラスタプロジェクト: GKE クラスタを含む Google Cloud プロジェクト。
アーティファクトプロジェクト: Artifact Registry または Container Registry（非推奨）リポジトリを含む Google Cloud プロジェクト。

プロジェクト間のアクセスが必要なシナリオ

次のような場合は、プロジェクト間の権限を付与する必要があります。

ポリシープロジェクトがクラスタプロジェクトと異なる。
クラスタプロジェクトがアーティファクトプロジェクトと異なる。

始める前に

Google Cloud CLI をインストールします。

注: すでに gcloud CLI をインストールしている場合は、gcloud components update を実行して、最新バージョンがインストールされていることを確認してください。
フェデレーション ID（連携 ID）を使用するように gcloud CLI を構成します。

詳細については、連携 ID を使用して gcloud CLI にログインするをご覧ください。
gcloud CLI を初期化するには、次のコマンドを実行します。
```
gcloud init
```
Google Cloud プロジェクトを作成または選択します。
プロジェクトの選択または作成に必要なロール
- プロジェクトを選択する: プロジェクトの選択に特定の IAM ロールは必要ありません。ロールが付与されているプロジェクトであれば、どのプロジェクトでも選択できます。
- プロジェクトを作成する: プロジェクトを作成するには、resourcemanager.projects.create 権限を含むプロジェクト作成者ロール（roles/resourcemanager.projectCreator）が必要です。詳しくは、ロールを付与する方法をご覧ください。
注: この手順で作成するリソースをそのまま保持する予定でない場合、既存のプロジェクトを選択するのではなく、新しいプロジェクトを作成してください。チュートリアルの終了後にそのプロジェクトを削除すれば、プロジェクトに関連するすべてのリソースを削除できます。
- Google Cloud プロジェクトを作成します。
```
gcloud projects create PROJECT_ID
```
  PROJECT_ID は、作成する Google Cloud プロジェクトの名前に置き換えます。
- 作成した Google Cloud プロジェクトを選択します。
```
gcloud config set project PROJECT_ID
```
  PROJECT_ID は、 Google Cloud プロジェクトの名前に置き換えます。
Google Cloud プロジェクトに対して課金が有効になっていることを確認します。
Binary Authorization API を有効にします。
API を有効にするために必要なロール
API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を介してこの権限がすでに付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を介してこの権限を取得できます。ロールを付与する方法をご覧ください。
```
gcloud services enable binaryauthorization.googleapis.com
```

クラスタプロジェクトがポリシープロジェクトと異なる場合

クラスタプロジェクトの Binary Authorization サービスエージェントに、ポリシープロジェクトに対する Binary Authorization ポリシー評価者（roles/binaryauthorization.policyEvaluator）ロールを付与します。

gcloud projects add-iam-policy-binding POLICY_PROJECT_ID \
  --member="serviceAccount:service-$(gcloud projects describe CLUSTER_PROJECT_ID --format='value(projectNumber)')@gcp-sa-binaryauthorization." \
  --role=roles/binaryauthorization.policyEvaluator

次のように置き換えます。

POLICY_PROJECT_ID: ポリシーを含むプロジェクトの ID。
CLUSTER_PROJECT_ID: クラスタのプロジェクト ID。

アーティファクトプロジェクトがクラスタプロジェクトと異なる場合

クラスタプロジェクトの Binary Authorization サービスエージェントに、アーティファクトプロジェクトに対する Artifact Registry 読み取り（roles/artifactregistry.reader）ロールを付与します。

gcloud projects add-iam-policy-binding ARTIFACT_PROJECT_ID \
    --member="serviceAccount:service-$(gcloud projects describe CLUSTER_PROJECT_ID --format='value(projectNumber)')@gcp-sa-binaryauthorization." \
    --role=roles/artifactregistry.reader