ロールと権限

Google Cloud には Identity and Access Management（IAM）機能があり、特定のGoogle Cloud リソースに対するアクセス権を詳細に設定できるため、他のリソースへの不要なアクセスを防ぐことができます。このページでは、Service Directory API のロールについて説明します。IAM の詳細については、IAM のドキュメントをご覧ください。

IAM を使用すると、セキュリティに関する最小権限の原則を導入できるため、リソースに対する必要なアクセス権のみを付与できます。

IAM では、IAM ポリシーを設定して、誰に、どのリソースに対するどのアクセス権を付与するかを制御できます。IAM ポリシーは、特定のロールをユーザーに付与することで、そのユーザーに特定の権限を付与します。

権限とロール

すべての Service Directory API メソッドでは、呼び出し元に必要な IAM 権限が必要です。権限を割り当てるには、ユーザー、グループ、またはサービス アカウントにロールを付与します。基本ロールであるオーナー、編集者、閲覧者に加えて、Service Directory API のロールをプロジェクトのユーザーに付与できます。

権限

各メソッドに必要な権限については、Service Directory の API リファレンス ドキュメントをご覧ください。

ロール

Role	Permissions
Service Directory Admin (roles/servicedirectory.admin) Full control of all Service Directory resources and permissions.	resourcemanager.projects.get resourcemanager.projects.list servicedirectory.endpoints.* servicedirectory.endpoints.create servicedirectory.endpoints.delete servicedirectory.endpoints.get servicedirectory.endpoints.getIamPolicy servicedirectory.endpoints.list servicedirectory.endpoints.setIamPolicy servicedirectory.endpoints.update servicedirectory.locations.* servicedirectory.locations.get servicedirectory.locations.list servicedirectory.namespaces.* servicedirectory.namespaces.associatePrivateZone servicedirectory.namespaces.create servicedirectory.namespaces.delete servicedirectory.namespaces.get servicedirectory.namespaces.getIamPolicy servicedirectory.namespaces.list servicedirectory.namespaces.setIamPolicy servicedirectory.namespaces.update servicedirectory.networks.attach servicedirectory.services.* servicedirectory.services.bind servicedirectory.services.create servicedirectory.services.delete servicedirectory.services.get servicedirectory.services.getIamPolicy servicedirectory.services.list servicedirectory.services.resolve servicedirectory.services.setIamPolicy servicedirectory.services.update
Service Directory Editor (roles/servicedirectory.editor) Edit Service Directory resources.	resourcemanager.projects.get resourcemanager.projects.list servicedirectory.endpoints.create servicedirectory.endpoints.delete servicedirectory.endpoints.get servicedirectory.endpoints.getIamPolicy servicedirectory.endpoints.list servicedirectory.endpoints.update servicedirectory.locations.* servicedirectory.locations.get servicedirectory.locations.list servicedirectory.namespaces.associatePrivateZone servicedirectory.namespaces.create servicedirectory.namespaces.delete servicedirectory.namespaces.get servicedirectory.namespaces.getIamPolicy servicedirectory.namespaces.list servicedirectory.namespaces.update servicedirectory.networks.attach servicedirectory.services.bind servicedirectory.services.create servicedirectory.services.delete servicedirectory.services.get servicedirectory.services.getIamPolicy servicedirectory.services.list servicedirectory.services.resolve servicedirectory.services.update
Service Directory Viewer (roles/servicedirectory.viewer) View Service Directory resources.	resourcemanager.projects.get resourcemanager.projects.list servicedirectory.endpoints.get servicedirectory.endpoints.getIamPolicy servicedirectory.endpoints.list servicedirectory.locations.* servicedirectory.locations.get servicedirectory.locations.list servicedirectory.namespaces.get servicedirectory.namespaces.getIamPolicy servicedirectory.namespaces.list servicedirectory.services.get servicedirectory.services.getIamPolicy servicedirectory.services.list servicedirectory.services.resolve
Service Directory Network Attacher (roles/servicedirectory.networkAttacher) Gives access to attach VPC Networks to Service Directory Endpoints	resourcemanager.projects.get resourcemanager.projects.list servicedirectory.networks.attach
Private Service Connect Authorized Service (roles/servicedirectory.pscAuthorizedService) Gives access to VPC Networks via Service Directory	resourcemanager.projects.get resourcemanager.projects.list servicedirectory.networks.access

Service agent roles

Service agent roles should only be granted to service agents.

Role

Permissions

Service Directory Service Agent (roles/servicedirectory.serviceAgent) Give the Service Directory service agent access to Cloud Platform resources. Warning: Do not grant service agent roles to any principals except service agents.

container.clusters.get gkehub.features.get gkehub.gateway.delete gkehub.gateway.generateCredentials gkehub.gateway.get gkehub.gateway.patch gkehub.gateway.post gkehub.gateway.put gkehub.locations.* gkehub.locations.get gkehub.locations.list gkehub.memberships.get gkehub.memberships.list resourcemanager.projects.get resourcemanager.projects.list servicedirectory.endpoints.create servicedirectory.endpoints.delete servicedirectory.endpoints.get servicedirectory.endpoints.getIamPolicy servicedirectory.endpoints.list servicedirectory.endpoints.update servicedirectory.locations.* servicedirectory.locations.get servicedirectory.locations.list servicedirectory.namespaces.associatePrivateZone servicedirectory.namespaces.create servicedirectory.namespaces.delete servicedirectory.namespaces.get servicedirectory.namespaces.getIamPolicy servicedirectory.namespaces.list servicedirectory.namespaces.update servicedirectory.networks.attach servicedirectory.services.bind servicedirectory.services.create servicedirectory.services.delete servicedirectory.services.get servicedirectory.services.getIamPolicy servicedirectory.services.list servicedirectory.services.resolve servicedirectory.services.update

Google Cloud コンソールを使用したアクセス制御

Google Cloud コンソールを使用して、レジストリのアクセス制御を管理できます。

プロジェクト レベルでアクセス制御を設定するには:

コンソール

1. Google Cloud コンソールで、[IAM] ページに移動します。

   IAM に移動

2. 上部にあるプルダウン メニューからプロジェクトを選択します。

3. [追加] をクリックします。

4. [新しいプリンシパル] に、新しいプリンシパルのメールアドレスを入力します。

5. プルダウン メニューから目的のロール（servicedirectory.admin、servicedirectory.editor、servicedirectory.viewer）を選択します。

6. [保存] をクリックします。

7. 付与したロールにそのプリンシパルがリストされているかを確認します。

Service Directory ゾーンは IAM の制限をオーバーライドする

Namespace を Service Directory ゾーンに割り当てると、プライベート ゾーンのクエリを許可されているネットワーク上のすべてのクライアントにサービス名が表示されます。DNS プロトコルには認証機能がないため、DNS の IAM アクセス制御はありません。

次のステップ

• Identity and Access Management（IAM）の詳細については、IAM のドキュメントをご覧ください。
• Service Directory の概要については、概要をご覧ください。