Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

IAM ロールの付与および取り消し

このページでは、Secure Source Manager リソースのプリンシパルに Identity and Access Management（IAM）ロールを付与する方法について説明します。他の Google Cloud リソースにロールを付与する方法については、プロジェクト、フォルダ、組織へのアクセスを管理するをご覧ください。

Secure Source Manager のインスタンスとリポジトリには、独自のロールがあります。プロジェクトでインスタンスロールを初めて付与する場合は、gcloud CLI ツールまたは REST API を使用する必要があります。リポジトリロールは、gcloud CLI ツール、REST API、または Secure Source Manager のウェブインターフェースを使用して付与できます。

gcloud CLI ツール、ウェブインターフェース、または REST API を使用して Secure Source Manager ロールを少なくとも 1 回付与すると、プロジェクトレベルのアクセス権を付与するときに、 Google Cloud コンソールでロールを選択できるようになります。ただし、特定のインスタンスレベルとリポジトリレベルのロール割り当て（バインディング）は、プロジェクトレベルの Google Cloud コンソールの IAM ページのプリンシパルリストには表示されません。

必要なロール

インスタンスまたはリポジトリの IAM ポリシーを更新するために必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼してください。

インスタンスの IAM ロールを付与する: Secure Source Manager インスタンスに対する Secure Source Manager インスタンスオーナー（roles/securesourcemanager.instanceOwner）
リポジトリの IAM ロールを付与する: リポジトリに対する Secure Source Manager リポジトリ管理者（roles/securesourcemanager.repoAdmin）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

Secure Source Manager のロールを付与する方法については、IAM によるアクセス制御とユーザーにインスタンスへのアクセス権を付与するをご覧ください。

プリンシパルを指定する

プリンシパルは、リソースにアクセスできる ID を表します。各プリンシパルには、固有の識別子があります。プリンシパル ID の形式は次のとおりです。

PRINCIPAL-TYPE:ID

（例: user:my-user@example.com）。プリンシパルの詳細については、IAM の仕組みをご覧ください。

プリンシパルタイプが user の場合、Workforce Identity 連携を使用していない限り、識別子に含まれるドメイン名は Google Workspace ドメインまたは Cloud Identity ドメインである必要があります。Cloud Identity ドメインの設定方法については、Cloud Identity の概要をご覧ください。

Workforce Identity 連携のプリンシパル

Workforce Identity 連携を使用して Secure Source Manager にアクセスする場合、プリンシパルは異なる方法で表されます。ID のグループを表すプリンシパルにアクセス権を付与する方法については、IAM ポリシーで Workforce プールユーザーを表すをご覧ください。

たとえば、次のコマンドは、us-central1 リージョンのプロジェクト my-project のインスタンス my-instance の Workforce プール my-pool のインスタンスアクセサーロール（roles/securesourcemanager.instanceAccessor）をユーザー user@example.com に付与します。

  gcloud source-manager instances add-iam-policy-binding my-instance \
      --project=my-project \
      --region=us-central1 \
      --member=principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/user@example.com \
      --role=roles/securesourcemanager.instanceAccessor

ID プロバイダ（IdP）属性に基づいて Workforce Identity プール内のユーザーまたはグループに権限を付与できます。また、Common Expression Language（CEL）を使用して OIDC 属性をカスタム属性にマッピングし、IAM ポリシーで認可戦略を定義することもできます。属性マッピングの詳細については、属性マッピングをご覧ください。

インスタンスロールを付与または取り消す

プリンシパルにインスタンスロールを付与または取り消すには、gcloud CLI ツールまたは Secure Source Manager API を使用します。

`gcloud`

インスタンスのプリンシパルにロールを付与するには、次のコマンドを実行します。
```
gcloud source-manager instances add-iam-policy-binding INSTANCE_ID \
    --project=PROJECT_ID \
    --region=REGION \
    --member=PRINCIPAL \
    --role=ROLE_NAME
```
次のように置き換えます。
- INSTANCE_ID はインスタンス ID に置き換えます。
- PROJECT_ID は、インスタンスのプロジェクト ID またはプロジェクト番号に置き換えます。
- REGION は、インスタンスが配置されているリージョンに置き換えます。利用可能な Secure Source Manager リージョンについては、ロケーションのドキュメントをご覧ください。
- PRINCIPAL: ロールを付与するプリンシパル。例: user:my-user@example.com
- ROLE_NAME は、付与するロールの名前に置き換えます。例: roles/securesourcemanager.instanceOwner
インスタンスのプリンシパルからロールを取り消すには、次のコマンドを実行します。
```
gcloud source-manager instances remove-iam-policy-binding INSTANCE_ID \
    --project=PROJECT_ID \
    --region=REGION \
    --member=PRINCIPAL \
    --role=ROLE_NAME
```
次のように置き換えます。
- INSTANCE_ID はインスタンス ID に置き換えます。
- PROJECT_ID は、インスタンスのプロジェクト ID またはプロジェクト番号に置き換えます。
- REGION は、インスタンスが配置されているリージョンに置き換えます。
- PRINCIPAL: ロールを取り消すプリンシパル。例: user:my-user@example.com
- ROLE_NAME は、取り消すロールの名前に置き換えます。例: roles/securesourcemanager.instanceOwner

API

次の instances.getIamPolicy コマンドを実行して、現在のポリシーを読み取ります。
```
curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    https://securesourcemanager.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/instances/INSTANCE_ID:getIamPolicy > /tmp/instance.json
```
次のように置き換えます。
- PROJECT_ID は、インスタンスのプロジェクト ID またはプロジェクト番号です。
- REGION: インスタンスが配置されているリージョン。利用可能な Secure Source Manager リージョンについては、ロケーションのドキュメントをご覧ください。
- INSTANCE_ID: インスタンス ID。
出力には、既存のバインディングが含まれます。バインディングが存在しない場合は、次のような etag 値が含まれます。
```
{
    "etag": "BwUjHYKJUiQ="
}
```
ロールの付与または取り消しを反映するには、プログラムまたはテキストエディタを使用して、インスタンスの許可ポリシーのローカルコピーを変更します。

他の変更を上書きしないようにするため、許可ポリシーの etag フィールドは編集または削除しないでください。etag フィールドは、許可ポリシーの現在の状態を示します。更新した許可ポリシーを設定すると、IAM ではリクエスト内の etag 値と既存の etag を比較し、値が一致する場合にのみ許可ポリシーを書き込みます。

重要: 更新した許可ポリシーの設定を行うまで、変更は有効になりません。
許可ポリシーで付与するロールを編集するには、許可ポリシーのロールバインディングを編集する必要があります。ロールバインディングの形式は次のとおりです。
```
{
  "role": "ROLE_NAME",
  "members": [
    "PRINCIPAL_1",
    "PRINCIPAL_2",
    ...
    "PRINCIPAL_N"
  ]
}
```
プレースホルダの値は次のとおりです。
- ROLE_NAME: 付与するロールの名前。形式は次のようにします。 roles/securesourcemanager.IDENTIFIER
- PRINCIPAL_1、PRINCIPAL_2、...PRINCIPAL_N: ロールを付与するプリンシパルの ID。
たとえば、次のポリシーでは、instanceOwner ロールを user1@gmail.com に付与し、instanceManager ロールをユーザー user2@gmail.com、user3@gmail.com、サービスアカウント my-other-app@ に付与します。
```
{
"policy": {
    "etag": "BwUjHYKJUiQ=",
    "bindings": [
    {
        "role": "roles/securesourcemanager.instanceOwner",
        "members": [
            "user:user1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.instanceManager",
        "members": [
            "user:user2@gmail.com",
            "user:user3@gmail.com",
            "serviceAccount:my-other-app@"
        ]
    }
    ]
}
}
```
選択したロールを付与または取り消すように許可ポリシーを変更した後、instances.setIamPolicy() を呼び出して更新します。

警告: 新しい許可ポリシーを設定すると、リソースの既存の許可ポリシーが完全に上書きされます。誤ってロールバインディングを削除しないようにするには、許可ポリシーの更新の際に read-modify-write パターンに従います。つまり、既存の許可ポリシーを読み取り、必要に応じて変更し、更新したバージョンを書き込みます。
次の instances.setIamPolicy コマンドを使用して、インスタンスに新しいポリシーを設定します。
```
curl \
    -H "Content-Type: application/json" \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    https://securesourcemanager.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/instances/INSTANCE_ID:setIamPolicy \
    -d @/tmp/instance.json
```
次のように置き換えます。
- PROJECT_ID は、インスタンスのプロジェクト ID またはプロジェクト番号です。
- REGION: インスタンスが配置されているリージョン。利用可能な Secure Source Manager リージョンについては、ロケーションのドキュメントをご覧ください。
- INSTANCE_ID: インスタンス ID。

リポジトリロールを付与または取り消す

ユーザーとサービスアカウントにリポジトリロールを付与または取り消すには、Secure Source Manager ウェブインターフェースから割り当てるか、Secure Source Manager API を使用してリポジトリの許可ポリシーを更新します。グループにリポジトリロールを付与するには、Secure Source Manager API を使用する必要があります。

ユーザーにリポジトリロールを付与するには、インスタンスロールを付与する必要があります。インスタンスロールの付与については、インスタンスロールの付与または取り消しをご覧ください。

ウェブインターフェース

ウェブインターフェースを使用してユーザーまたはサービスアカウントにリポジトリレベルのロールを付与するには:

Google の担当者から提供されたインスタンスの URL に移動します。
[My repositories] ページで、リポジトリを選択します。
[権限] タブをクリックします。
[ユーザーと権限] セクションで、[ユーザーを追加] をクリックします。
[プリンシパルを追加] フィールドに、ロールを付与するユーザーまたはサービスアカウントのメールアドレスを入力します。
[ロールを割り当てる] メニューで、割り当てるロールを選択します。
[保存] をクリックします。

ロールを追加するには、編集編集アイコンをクリックし、[ロールを割り当てる] メニューを使用してロールを追加します。

API

Secure Source Manager API の repositories.getIamPolicy メソッドは、リポジトリの許可ポリシーを取得します。

次の repositories.getIamPolicy コマンドを実行して、現在のポリシーを読み取り、/tmp/repository.json に保存します。

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    https://securesourcemanager.googleapis.com/v1/projects/REPOSITORY_PROJECT/locations/REGION/repositories/REPOSITORY_ID:getIamPolicy > /tmp/repository.json

次のように置き換えます。

REPOSITORY_PROJECT: リポジトリのプロジェクト ID またはプロジェクト番号。
REGION は、リポジトリが配置されているリージョンです。
REPOSITORY_ID は、リポジトリ ID です。

出力には、既存のバインディングが含まれます。バインディングが存在しない場合は、次のような etag 値が含まれます。

{
    "etag": "BwUjHYKJUiQ="
}

プログラムまたはテキストエディタを使用して、/tmp/repository.json に保存されているリポジトリの許可ポリシーのローカルコピーを変更し、付与または取り消すロールを反映します。

他の変更を上書きしないようにするため、許可ポリシーの etag フィールドは編集または削除しないでください。etag フィールドは、許可ポリシーの現在の状態を示します。更新した許可ポリシーを設定すると、IAM ではリクエスト内の etag 値と既存の etag を比較し、値が一致する場合にのみ許可ポリシーを書き込みます。

重要: 更新した許可ポリシーの設定を行うまで、変更は有効になりません。
許可ポリシーで付与するロールを編集するには、許可ポリシーのロールバインディングを編集する必要があります。ロールバインディングの形式は次のとおりです。
```
{
  "role": "ROLE_NAME",
  "members": [
    "PRINCIPAL_1",
    "PRINCIPAL_2",
    ...
    "PRINCIPAL_N"
  ]
}
```
プレースホルダの値は次のとおりです。
- ROLE_NAME: 付与するロールの名前。形式は次のようにします。 roles/securesourcemanager.<var>IDENTIFIER</var>
- PRINCIPAL_1、PRINCIPAL_2、...PRINCIPAL_N: ロールを付与するプリンシパルの ID。
重要: 他のユーザーの変更を上書きしないように、getIamPolicy レスポンスの etag 値を保持します。他のすべての変更を上書きする場合は、etag 値を削除します。
次の例では、repoAdmin ロールをユーザー email1@gmail.com に付与し、repoWriter ロールをユーザー email2@gmail.com、group1@gmail.com、サービスアカウント my-other-app@ に付与します。
```
{
"policy": {
    "etag": "BwUjHYKJUiQ=",
    "bindings": [
    {
        "role": "roles/securesourcemanager.repoAdmin",
        "members": [
            "user:email1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.repoWriter",
        "members": [
            "user:email2@gmail.com",
            "group:group1@gmail.com",
            "serviceAccount:my-other-app@"
        ]
    }
    ]
}
}
```
編集した /tmp/repository.json ファイルを保存します。
setIamPolicy コマンドを使用して新しいポリシーを設定します。
```
curl \
    -H "Content-Type: application/json" \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    https://securesourcemanager.googleapis.com/v1/projects/REPOSITORY_PROJECT/locations/REGION/repositories/REPOSITORY_ID:setIamPolicy \
    -d @/tmp/repository.json
```
次のように置き換えます。
- REPOSITORY_PROJECT: リポジトリのプロジェクト ID またはプロジェクト番号。
- REGION は、リポジトリが配置されているリージョンです。利用可能な Secure Source Manager リージョンについては、ロケーションのドキュメントをご覧ください。
- REPOSITORY_ID は、リポジトリ ID です。

次のステップ

Secure Source Manager での IAM によるアクセス制御の詳細を確認する。

IAM ロールの付与および取り消し コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

必要なロール

プリンシパルを指定する

Workforce Identity 連携のプリンシパル

インスタンス ロールを付与または取り消す

gcloud

API

リポジトリ ロールを付与または取り消す

ウェブ インターフェース

API