Google Cloud リソースを管理する

Google Cloud リソース階層を使用すると、クラウド アセットを整理し、アクセス制御の境界を確立して、管理制御を一元化できます。このクイックスタートでは、Google Cloud コンソールを使用して、リソースの表示と管理、組織レベルでの Identity and Access Management（IAM）ロールの付与、請求先アカウントの管理を行います。

始める前に

  1. 組織リソースがあることを確認します。

    組織リソースは、Google Workspace と Cloud Identity のユーザーが使用できます。

    Google Workspace アカウントまたは Cloud Identity アカウントを作成し、ドメインに関連付けると、組織リソースが自動的に作成されます。リソースは、アカウントのステータスに応じて異なるタイミングでプロビジョニングされます。

    • Google Cloud を初めて使用し、まだプロジェクトを作成していない場合は、 Google Cloud コンソールにログインして利用規約に同意すると、組織リソースが作成されます。

    • 既存の Google Cloud ユーザーの場合、新しいプロジェクトまたは請求先アカウントを作成するときに組織リソースが作成されます（まだ存在しない場合）。以前に作成したプロジェクトは「組織なし」に表示されますが、これは正常な状態です。組織リソースが表示され、作成した新しいプロジェクトが自動的にリンクされます。

      「組織なし」で作成したプロジェクトを新しい組織リソースに移行する必要があります。プロジェクトを移行する方法については、プロジェクトを組織リソースに移行するをご覧ください。

    作成された組織リソースは、作成したプロジェクトまたは請求先アカウントが子リソースとして設定された Google Workspace アカウントまたは Cloud Identity アカウントにリンクされます。Google Workspace または Cloud Identity のドメインで作成されたすべてのプロジェクトと請求先アカウントは、この組織リソースの子になります。

    Google Workspace アカウントや Cloud Identity アカウントには、それぞれ 1 つの組織リソースが関連付けられます。組織リソースは、組織リソースの作成時に設定された 1 つのドメインのみと関連付けられます。

    注: すでに存在するドメインで組織を登録しようとすると、「このドメインはすでに使用されています」というエラーが発生します。この問題を解決するには、「このドメインはすでに使用されています」を解決するの手順に沿って操作します。

  2. 組織リソースに対する組織管理者ロールがあることを確認します。

    Google Workspace ドメイン アカウントの特権管理者の場合は、該当する組織リソースの組織管理者として、自身や他のユーザーを追加できます。組織管理者の追加に関する手順は、組織管理者を追加するを参照してください。

  3. 組織で次のロール（複数の場合あり）が割り当てられていることを確認します。 請求先アカウント作成者、フォルダ作成者、プロジェクト作成者

    ロールを確認する

    1. Google Cloud コンソールで、[IAM] ページに移動します。

      IAM に移動
    2. 組織を選択します。

    3. [プリンシパル] 列で、自分または自分が所属するグループの行をすべて確認します。所属するグループについては、管理者にお問い合わせください。

    4. 自分のメールアドレスを含む行の [ロール] 列で、ロールのリストに必要なロールが含まれているかどうか確認します。

    ロールを付与する

    1. Google Cloud コンソールで、[IAM] ページに移動します。

      IAM に移動
    2. 組織を選択します。
    3. [ アクセスを許可] をクリックします。

    4. [新しいプリンシパル] フィールドに、ユーザー ID を入力します。 これは通常、Workforce Identity プール内のユーザーの ID です。詳細については、IAM ポリシーで Workforce プールユーザーを表すをご覧いただくか、管理者にお問い合わせください。

    5. [ロールを選択] をクリックし、ロールを検索します。
    6. 追加のロールを付与するには、 [別のロールを追加] をクリックして各ロールを追加します。
    7. [保存] をクリックします。

リソースの表示

Google Cloud リソースを表示する手順は次のとおりです。

  1. Google Cloud コンソールの [リソースの管理] ページに移動します。
    [リソースの管理] に移動
  2. 組織リソースに含まれるすべてのプロジェクトとフォルダがページに表示されます。

プロジェクト リソースを作成する

新しいプロジェクトを作成するには、次の操作を行います。

  1. Google Cloud コンソールの [リソースの管理] ページに移動します。

    [リソースの管理] に移動

    残りの手順は、 Google Cloud コンソールに表示されます。

  2. [プロジェクトの作成] をクリックします。
  3. 表示される [新しいプロジェクト] ウィンドウで、プロジェクト名を入力し、該当する請求先アカウントを選択します。プロジェクト名には文字、数字、単一引用符、ハイフン、スペース、感嘆符のみを使用でき、4 ～ 30 文字にする必要があります。
  4. [親リソース] ボックスに親組織またはフォルダ リソースを入力します。このリソースが新しいプロジェクトの階層上の親になります。 [組織なし] を選択した場合は、そのプロジェクトを選択して、独自のリソース階層の最上位として新しいプロジェクトを作成できます。
  5. 新しいプロジェクトの詳細を入力し終えたら、[作成] をクリックします。

最初のプロジェクトを作成したら、組織リソースが自動的にプロビジョニングされます。

フォルダ リソースを作成する

組織リソースができたら、フォルダ リソースを作成してリソース階層の作成を開始できます。組織リソース内にフォルダを作成する方法は次のとおりです。

  1. Google Cloud コンソールの [リソースの管理] ページに移動します。
    [リソースの管理] に移動
  2. [フォルダを作成] をクリックし、次のいずれかのオプションを選択します。
    • 標準 Google Cloud フォルダ: 標準のフォルダ リソース。
    • 準拠フォルダ: Google Cloud リソースに対して追加の規制、リージョンまたは主権の制御を提供する Assured Workloads フォルダ。このオプションを選択すると Assured Workloads に遷移し、そこでフォルダを作成します。
    • [フォルダ名] ボックスに、新しいフォルダの名前を入力します。
    • [親リソース] で [参照] をクリックして、新しいフォルダを作成する組織リソースまたはフォルダを選択します。
    • 新しいフォルダの詳細を入力し終えたら、[作成] をクリックします。

組織レベルで IAM の役割を付与する

組織レベルのロールを付与するには、次の操作を行います。

  1. Google Cloud コンソールの [IAM と管理] ページに移動します。
    [IAM と管理] に移動
  2. [IAM] ページが開き、次の詳細が表示されます。
    • [プリンシパル] 列には、組織リソース内で役割を持つアカウントが示されます（自分のアカウントとドメインも含まれます）。
    • [ロール] 列には、各プリンシパルが持つ役割が示されます。
      • 自分のアカウントの横には、[役割] に [組織管理者] と示されているはずです。
      • ドメイン アカウントの横の [ロール] に [プロジェクト作成者] が表示されます。
      • [役割] に [複数] と示されている場合、そのアカウントには複数の役割があります。プルダウンをクリックすると、プリンシパルのロールを確認できます。
  3. 既存のプリンシパルに役割を付与するには、[役割] の下にあるプルダウンをクリックして、プリンシパルに付与する各役割を選択します。
    1. 役割の選択が完了したら、[保存] をクリックします。
  4. 新しいプリンシパルを追加するには、ページの上部にある [追加] をクリックします。[プリンシパルを追加] ダイアログが表示されます。
    1. [プリンシパル] フィールドにメールアドレスを入力します。
    2. [ロール] で、プリンシパルに付与する各役割を選択します。
    3. 役割の選択が完了したら、[追加] をクリックします。

追加したプリンシパルには、選択した組織レベルの権限が割り当てられます。

請求先アカウントの作成

  1. Google Cloud コンソールの [お支払い] ページに移動します。
    [お支払い] ページに移動
  2. [アカウントを作成] をクリックします。
  3. 表示される [新しい請求先アカウントの作成] ダイアログで、請求先アカウント名とお支払い情報を含め、該当する詳細を入力します。
    • 表示されるオプションは請求先住所が所在する国によって異なります。
    • 米国アカウントの場合は、請求先アカウントの作成後に税務ステータスを変更できません。
  4. 詳細の入力が完了したら、[送信して課金を有効にする] をクリックします。

これで、組織リソースの新しい請求先アカウントが作成されました。

既存の請求先アカウントを移行する

既存の Cloud 請求先アカウントを持つ Google Workspace または Cloud Identity のユーザーは、その請求先アカウントを組織リソースに移行できます。Cloud 請求先アカウントを組織リソースに移行しても、プロジェクトのサービスに影響はありません。

請求先アカウントを移行するには、次のロールが必要です。

  • 移行する Cloud 請求先アカウントの請求先アカウント管理者である必要があります。
  • Cloud 請求先アカウントを移行する組織リソースの請求先アカウント作成者である必要があります。
  • 既存の組織から Cloud 請求先アカウントを移行する場合は、Cloud 請求先アカウントを移行する組織リソースの請求先アカウント管理者である必要があります。

これらのロールの付与については、Cloud Billing アクセス制御の概要をご覧ください。

既存の請求先アカウントを組織リソースに移行する手順は次のとおりです。

  1. Google Cloud コンソールの [お支払い] ページに移動します。
    [お支払い] ページに移動
  2. [組織の選択] メニューから組織リソースを選択すると、関連する Cloud 請求先アカウントが表示されます。また、どの組織リソースにも関連付けられていない請求先アカウントを表示するには、[組織なし] を選択します。
  3. [請求先アカウント名] で、移行する Cloud 請求先アカウントの名前をクリックします。請求先アカウントの概要ページが開きます。
  4. [お支払い] ナビゲーション メニューで [アカウント管理] をクリックします。
  5. [アカウント管理] ページの上部で、 [組織を変更] をクリックし、Cloud 請求先アカウントを移行する組織リソースを選択します。

組織リソースの請求先アカウントを表示する

組織リソースの請求先アカウントを表示する方法は次のとおりです。

  1. Google Cloud コンソールの [お支払い] ページに移動します。
    [お支払い] ページに移動

組織リソースのすべての請求先アカウントがページに表示されます。

クリーンアップ

このクイックスタート用に作成したプロジェクトを削除するには:

  1. Google Cloud コンソールの [リソースの管理] ページに移動します。

    [リソースの管理] に移動

  2. リソースのリストで、削除するプロジェクトを選択します。

  3. [削除] をクリックします。

  4. 表示される [プロジェクトのシャットダウン] ダイアログで、プロジェクト ID を入力し、[シャットダウン] をクリックします。

選択したプロジェクト リソースが削除され、すべての課金およびトラフィック サービスが停止します。

組織リソースは Google Workspace または Cloud Identity アカウントにバインドされており、アカウントを削除すると、完全に元に戻すことができない、非常にダメージの大きなアクションが発生する可能性があります。詳細については、組織リソースを削除するをご覧ください。

次のステップ