GCP入門：アカウントの種類について

今日は、GCPにおけるアカウントの種類について解説しています。

背景

GCPにおけるアカウントの種類について調査する機会がありましたので、その時の内容を備忘として記事に残しました。

GCPにおけるアカウントの種類

Google Cloud Platform (GCP)では、主に以下の種類のアカウントが使用されます：

1. ユーザーアカウント:

• 個人のGoogleアカウントで、通常は@gmail.comや組織のドメインのメールアドレスを使用します。
• GCPコンソールへのアクセスや、gcloudコマンドラインツールの使用に利用します。

1. サービスアカウント:

• アプリケーションやサービスが GCP リソースにアクセスするために使用する特別なアカウントです。
• 例: xxx@project-id.iam.gserviceaccount.com
• 主に自動化されたタスクや、アプリケーションのバックグラウンド処理に使用されます。

1. Google Workspace（旧G Suite）アカウント:

• 組織や企業が管理するアカウントで、通常は組織のドメイン名を使用します。
• GCPと統合して使用できます。

1. Cloud Identity アカウント:

• Google Workspaceを使用していない組織向けのIDおよびアクセス管理サービスです。
• GCPリソースへのアクセス管理に使用されます。

1. グループ:

• 複数のユーザーやサービスアカウントをまとめて管理するために使用します。
• 権限の一括付与などに便利です。

これらのアカウントタイプは、IAM（Identity and Access Management）ポリシーを通じて、GCPリソースへのアクセスを制御するために使用されます。

ユーザアカウントとサービスアカウント

ユーザーアカウントとサービスアカウントの主な違いとユースケースについて、説明します。

ユーザアカウントとサービスアカウントとの違い

a) 認証方法：

• ユーザーアカウント：ユーザーが直接パスワードやMFA（多要素認証）を使用して認証します。
• サービスアカウント：キーファイルやJWTトークンなど、プログラムによる認証方法を使用します。

b) 用途：

• ユーザーアカウント：人間のユーザーが直接操作する際に使用します。
• サービスアカウント：アプリケーションやサービスが自動的に操作する際に使用します。

c) 権限の粒度：

• ユーザーアカウント：通常、より広範な権限を持ちます。
• サービスアカウント：特定のタスクに必要な最小限の権限を持つように設定されます。

ユースケース

ユーザーアカウント：

• GCPコンソールへのログインと管理操作
• gcloudコマンドラインツールの使用
• 開発環境でのテストと開発作業
• プロジェクト管理やリソースの監視

サービスアカウント：

• Compute Engineインスタンスでの認証
• Cloud FunctionsやCloud Runなどのサーバーレスサービスでの認証
• バッチジョブやデータ処理パイプラインでのGCPリソースへのアクセス
• CI/CDパイプラインでのデプロイメント操作
• アプリケーションからCloud Storageやbigqueryなどのサービスへのアクセス

1. セキュリティの考慮事項：

• ユーザーアカウント：個人に紐づくため、アクセス管理や監査が容易です。しかし、人的ミスのリスクがあります。
• サービスアカウント：自動化されたプロセスで使用されるため、人的ミスのリスクは低くなりますが、適切に管理されないと潜在的なセキュリティリスクとなる可能性があります。

1. ベストプラクティス：

• ユーザーアカウント：最小権限の原則に基づいて権限を付与し、定期的にアクセスをレビューします。
• サービスアカウント：特定のタスクに必要な最小限の権限のみを付与し、キーの定期的なローテーションを行います。

1. 使い分け：

• 人間が直接操作する場合はユーザーアカウントを使用します。
• アプリケーションやサービスが自動的に操作する場合はサービスアカウントを使用します。

これらの違いとユースケースを理解することで、GCPリソースへのアクセスをより安全かつ効率的に管理できます。

おわりに

今日は、 GCPにおけるアカウントの種類について解説しました。