Access Context Managerでユーザーまたはサービスアカウントを設定する方法

2025.06.30 XIMIX 重山

はじめに

現在のところ、Access Context Manager にて、ユーザーまたはサービスアカウントによるアクセスを許可する設定は、Google Cloudコンソールではサポートされておりません。そのため、gcloudコマンドを利用した設定手順について、ご紹介させていただきます。

Access Context Managerとは

Google Cloudのリソースへのアクセスをきめ細かく制御するためのセキュリティ機能です。
簡単に言うと、「誰が、どこからアクセスしてきたら、特定のGoogle Cloudサービスにアクセスできるようにするか」をルールとして設定できるサービスです。

Access Context Manager の概要 | Google Cloud

前提

組織が作成済みであること
Access Context Managerは、Google Cloud 組織のセキュリティポリシーを操作するため、組織が存在している必要があります。
設定を実施するユーザー必要なロールが付与されていること
Access Context Manager | 必要なロール | Google Cloud

設定手順

ステップ1：YAMLファイル作成

まず、アクセスを許可する対象（プリンシパル）を一覧化します。
この条件を記載する YAMLファイルを作成します。以下がファイルの例です。

- members: - user:test@example.com - serviceAccount:service@project.iam.gserviceaccount.com

上記の例では、ユーザー test@example.comとサービスアカウントservice@project.iam.gserviceaccount.comが指定されています。必要なプリンシパル分、同様に記述します。

作成したファイルは、例えば CONDITIONS.yaml という名前で保存します。
ファイル名は、ステップ２のgcloudコマンドで設定する際に、必要です。

ステップ2：gcloud コマンドで設定を作成

次に、以下のコマンドを使用してアクセスレベルを作成します。

gcloud access-context-manager levels create NAME \ --title TITLE \ --basic-level-spec CONDITIONS.yaml \ --combine-function=OR \ --policy=POLICY

・NAME：作成するアクセスレベルの名前
・TITLE：アクセスレベルの説明文
・CONDITIONS.yaml：ステップ1で作成した条件ファイル
・combine-function：条件を組み合わせる方法を決定（有効な値: AND、OR。省略可）
・POLICY：組織のアクセスポリシーID（デフォルトのポリシーが設定されている場合、このパラメータは省略可）

更新 / 削除

作成済みのアクセスレベルを変更する場合は update コマンド、削除する場合は delete コマンドを使用します。
以下にそれぞれのコマンド例を示します。

[更新コマンド]

gcloud access-context-manager levels update NAME \ --basic-level-spec CONDITIONS.yaml \ --policy=POLICY

※注意点として、更新時に指定する YAML ファイルは差分ではなく全件を記載してください。
（ユーザ追加したい場合、更新しないユーザーやサービスアカウントの情報も含める必要があります）

[削除コマンド]

gcloud access-context-manager levels delete NAME \ --policy=POLICY

以上が、gcloud コマンドを利用したユーザーまたはサービスアカウントによるアクセスを許可する手順です。

参考

ユーザーまたはサービスアカウントによるアクセスを許可する | Google Cloud
Cloud SDK | gcloud access-context-manager levels | Google Cloud

まとめ

Google Cloud Consoleではできない設定も、gcloud コマンドを使用することで柔軟に対応可能です。
特にAccess Context Managerを活用することで、セキュリティポリシーに応じたアクセス制御が実現できます。

今回紹介した手順を参考に、よりセキュリティを高めたシステム運用をご検討ください。

ご参考になれば幸いです！

Google Cloud、Google Workspace に関するご相談はXIMIXへ！

Google Cloud、Google Workspaceに関するお問い合わせはこちら
XIMIX®は日本情報通信株式会社が所有する登録商標です。（商標登録第６７５５２３４号）

執筆者紹介

XIMIX 重山

2011年に日本情報通信株式会社（通称NI+C）に入社し、オンプレミスのエンジニアとして、従事クラウドビジネスの成長性・進歩に興味を抱き、2019年からGoogle Cloudに従事し始める。当初は、クラウドのインフラを中心に担当し、現在は、主にデータアナリティクスを中心に活動をしている Google Cloud Partner Top Engineer 2025受賞

この執筆者の記事一覧