プロジェクトは作業箱！Google Cloudのアカウントと権限をやさしく整理｜Google Cloud入門 第07回

Google Cloudを開くと、「アカウント」「プロジェクト」「権限」といった言葉が出てきます。似て見えますが、それぞれ違う役割を持っています。

パークで作業する人、道具を入れる箱、その箱を開ける許可に分けて考えてみましょう。今回は仕組みを理解する回です。実際の権限変更はしません。

この記事でわかること

• アカウントとプロジェクトの違い
• 権限とロールの関係
• 練習場所を取り違えない確認方法

まず結論：「だれ」「どの作業箱」「何ができる」を分ける

アカウントは、ログインしている人などの身元に関わります。プロジェクトは、Google Cloudで使うサービスやリソースを整理する基本単位です。リソースとは、作ったデータセットなど、管理する対象のことです。Resource Manager公式の概要

同じ人が複数の作業箱を使うこともあれば、一つの作業箱を複数の人が使うこともあります。ログインできたことと、すべての操作が許可されたことは同じではありません。

名前が似た箱を、見分けるには？

プロジェクトには、表示名だけでなく、プロジェクトIDやプロジェクト番号があります。表示名が似ている場合もあるので、操作前にはIDまで確認すると取り違えを減らせます。

この記事の図に出てくる箱は、仕組みを説明するイラストです。実際の管理画面の再現ではありません。

会社のGoogle Cloudでは、プロジェクトの上にフォルダーや組織があることもあります。最初は階層名を暗記するより、「上位で決まったルールが影響する場合がある」と覚えておきましょう。

IAMは、使う人と許可を結び付ける仕組み

IAMは、だれが、どの対象で、何をできるかを管理する仕組みです。ロールに含まれる権限を通じて操作を許可します。また、プロジェクトより上位で付与された許可が、下位へ引き継がれる場合もあります。プロジェクトのアクセス制御に関する公式説明

「閲覧だけしたい人に、削除までできる鍵を渡す必要はあるかな？」と考えると、必要な権限の範囲をイメージしやすくなります。

ただし、BigQueryでは、データを読むための権限と、クエリという集計処理を実行するための権限を、別に考える場面があります。「閲覧できるから何でも実行できる」とは限りません。具体的な設定は後のセキュリティ編で扱います。

「権限がありません」と出たら、広い鍵を足す前に確認

エラーを消すために、すぐOwnerやEditorのような広い基本ロールを追加するのは避けたいところです。必要以上の操作までできる状態になるためです。

先に、次の順番で状況を整理しましょう。

1. ログイン中のアカウントを確認する。
2. 選択中のプロジェクトIDを確認する。
3. しようとした操作を「表を見る」「集計を実行する」など具体的に書く。
4. 管理者へ、その操作とエラーの内容を伝える。

エラー画面を共有する場合は、メールアドレスや内部のプロジェクト情報など、不要な情報を隠します。パスワードや秘密鍵を渡す必要はありません。

5分で試す：作業場所の確認メモ

まだGoogle Cloudを使っていない人は、次の表を紙に書くだけで大丈夫です。利用中の人も、閲覧できる範囲で確認し、設定を変更せずに埋めてみましょう。

「未確認」を残すのは失敗ではありません。推測で進めず、次に確かめることがわかった状態です。

注意：仕事用の箱を、練習に使わない

会社や学校のプロジェクトには、実際に使われているデータや設定が入っている可能性があります。練習用か確認できない場所では、作成、権限変更、削除を進めないでください。

また、Google Cloudにログインできることと、課金が有効であることも別です。プロジェクトを選べば費用が発生しない、と決め付けず、後の料金の回も確認しましょう。

かずまの実践メモ

僕なら、操作前のメモの一番上に、目的とプロジェクトIDを置きます。画面を開き直したときも、前と同じ場所とは限らないからです。「今、どの箱を触っている？」を一度確かめるだけで、落ち着いて作業できます。

今日の一歩

アカウントは作業する人、プロジェクトは作業箱、ロールは操作を許すセット。この三つを自分の言葉で言ってみましょう。次回は、BigQueryのサンドボックスで練習する際の入口と制限を確認します。