プロジェクトへのジャストインタイム特権アクセスを管理する

ジャストインタイム アクセスをデプロイする

このセクションでは、ジャストインタイム アクセス アプリケーションを App Engine または Cloud Run にデプロイする方法について説明します。

ジャストインタイム アクセス アプリケーションを Cloud Run にデプロイするには、アプリケーションを App Engine にデプロイするよりも複雑な構成が必要です。したがって、App Engine をサポートしていないリージョンにデプロイする場合、または他の理由で App Engine を使用できない場合を除き、App Engine を使用することをおすすめします。

ジャストインタイム アクセスのコードは GitHub リポジトリにあります。

このセクションは、読者が管理者であることを前提としています。

Google Cloud プロジェクトを構成する。

1. Google Cloud コンソールでプロジェクトに切り替えて、必要な API を有効にします。

   App Engine

   Enable the Cloud Asset Inventory, Resource Manager, Identity-Aware Proxy, Container Registry, Cloud Build, Identity and Access Management, and Directory APIs.

   Enable the APIs

   Cloud Run

   Enable the Cloud Asset Inventory, Resource Manager, Identity-Aware Proxy, Container Registry, Cloud Run, Compute Engine, Identity and Access Management, and Directory APIs.

   Enable the APIs

2. Cloud Shell を開きます。

   Cloud Shell を開く

3. プロジェクト ID を格納する環境変数を設定します。

   gcloud config set project PROJECT_ID
   

   PROJECT_ID は、プロジェクトの ID に置き換えます。

4. ジャストインタイム アクセス アプリケーションのサービス アカウントを作成します。

   SERVICE_ACCOUNT=$(gcloud iam service-accounts create jitaccess --display-name "Just-In-Time Access" --format "value(email)")
   

5. サービス アカウント トークン作成者のロール（roles/iam.serviceAccountTokenCreator）を付与して、アプリケーションがそのサービス アカウントを使用してトークンを作成できるようにします。

   gcloud iam service-accounts add-iam-policy-binding $SERVICE_ACCOUNT \
     --member "serviceAccount:$SERVICE_ACCOUNT" \
     --role "roles/iam.serviceAccountTokenCreator"
   

   アプリケーションは、トークンを作成する権限を使用して Directory API にアクセスし、必要に応じて複数の関係者による承認ワークフローを処理します。

ジャストインタイム アクセス アプリケーションに IAM バインディングの管理権限を付与する

ここで、アプリケーションのサービス アカウントにプロジェクト IAM 管理者のロールを付与します。このロールを使用すると、ジャストインタイム アクセスを許可する必要がある場合に、ジャストインタイム アクセス アプリケーションが一時的な IAM バインディングを作成できます。

プロジェクト IAM 管理者のロールは権限が高いため、アプリケーションのサービス アカウントとそれを含むプロジェクトへのアクセスを制限する必要があります。

次のガイドラインに従ってください。

• プロジェクトにアクセスできるユーザーの数を制限し、ユーザーにオーナーまたは編集者のロールを付与しないでください。
• サービス アカウントの権限を借用できるユーザーの数を制限します。この借用が可能なユーザーには、サービス アカウント ユーザーのロールまたはサービス アカウント トークン作成者のロールを持つユーザーが含まれます。

サービス アカウントにプロジェクト IAM 管理者のロールを付与するには、次の手順を行います。

1. ジャストインタイムの特権アクセスを管理するリソース階層の一部に、プロジェクト IAM 管理者ロール（roles/resourcemanager.projectIamAdmin）と Cloud Asset 閲覧者ロール（roles/cloudasset.viewer）を付与します。

   プロジェクト

   SCOPE_ID=RESOURCE_PROJECT_ID
   SCOPE_TYPE=projects
   
   gcloud projects add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/resourcemanager.projectIamAdmin" \
       --condition None
   
   gcloud projects add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/cloudasset.viewer" \
       --condition None
   

   RESOURCE_PROJECT_ID は、アクセスを管理する Google Cloud プロジェクトの ID に置き換えます。このプロジェクトは、ジャストインタイム アクセスをデプロイするプロジェクトとは異なるものです。

   フォルダ

   SCOPE_ID=RESOURCE_FOLDER_ID
   SCOPE_TYPE=folders
   
   gcloud resource-manager folders add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/resourcemanager.projectIamAdmin" \
       --condition None
   gcloud resource-manager folders add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/cloudasset.viewer" \
       --condition None
   

   RESOURCE_FOLDER_ID は、アクセスを管理するプロジェクトを含むフォルダの ID に置き換えます。

   組織

   SCOPE_ID=ORGANIZATION_ID
   SCOPE_TYPE=organizations
   
   gcloud organizations add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/resourcemanager.projectIamAdmin" \
       --condition None
   gcloud organizations add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/cloudasset.viewer" \
       --condition None
   

   ORGANIZATION_ID は組織の ID に置き換えます。

アプリケーションがグループ メンバーシップを解決するためのアクセス権を付与する

ジャストインタイム アクセス アプリケーションでは、特定のユーザーまたはグループ全体に、適格アクセス権を付与できます。グループ メンバーシップを評価するには、アプリケーションが Cloud Identity または Google Workspace アカウントからグループ メンバーシップ情報を読み取ることができる必要があります。

アプリケーションのサービス アカウントにグループ メンバーシップの読み取り権限を付与するには、次の操作を行います。

1. Google 管理コンソールを開き、特権管理者ユーザーとしてログインします。

2. [アカウント] > [管理者ロール] に移動します。

   管理者ロールにアクセスする

3. [Groups Reader] > [Admins] をクリックします。

4. [Assign service accounts] をクリックします。

5. 次のメールアドレスを入力します。

   jitaccess@PROJECT_ID.iam.gserviceaccount.com
   

   PROJECT_ID は、Google Cloud プロジェクトの ID に置き換えます。

6. [Add] をクリックします。

7. [ロールを割り当て] をクリックします。

Cloud Identity アカウントまたは Google Workspace アカウントのお客様 ID を検索する

Directory API を使用してグループ メンバーを評価するには、ジャストインタイム アクセス アプリケーションに Cloud Identity アカウントまたは Google Workspace アカウントのお客様 ID が必要です。この ID を検索する手順は次のとおりです。

1. Google 管理コンソールで、[アカウント] > [アカウント設定] に移動します。

   アカウント設定に移動する

2. アカウントのお客様 ID をコピーします。お客様 ID は C で始まります。

   お客様 ID は後の手順で必要になります。

3. 管理コンソールを閉じます。

アプリケーションをデプロイする

これで、ジャストインタイム アクセス アプリケーションを App Engine または Cloud Run にデプロイする準備が整いました。

ロードバランサを構成する

ジャストインタイム アクセス アプリケーションのロードバランサを構成します。

Identity-Aware Proxy の構成

ジャストインタイム アクセス アプリケーションの IAP を構成します。

1. Cloud Shell で、OAuth 同意画面を構成します。

   gcloud iap oauth-brands create \
       --application_title "Just-In-Time Access" \
       --support_email=$(gcloud config get core/account)
   

2. Google Cloud コンソールで、[セキュリティ] > [Identity-Aware Proxy] に移動します。

   IAP に移動

3. [IAP] を [有効] に設定します。

ジャストインタイム アクセス アプリケーションへのアクセスを許可するユーザーを定義する必要があります。個々のユーザー、グループ、またはドメイン全体にアクセス権を付与できます。

1. Google Cloud コンソールで、[IAM と管理] > [IAM] に移動します。

   IAM に移動

2. [アクセス権を付与] をクリックして、次の値を設定します。

   1. [プリンシパル] リストで、ユーザー、グループ、またはドメインを選択します。
   2. ロールリストで、[IAP で保護されたウェブアプリ ユーザー] を選択します。

   IAP で保護されたウェブアプリ ユーザーのロールにより、ユーザーはジャストインタイム アクセス アプリケーションを開くことができますが、このロールではまだ追加のリソースへのアクセスは提供されません。

3. [保存] をクリックします。

ロール バインディングが有効になるまで数分かかることがあります。

PROJECT_NUMBER=$(gcloud projects list \
  --filter $(gcloud config get-value project) \
  --format "value(PROJECT_NUMBER)")

gcloud projects add-iam-policy-binding $(gcloud config get-value core/project) \
  --member "serviceAccount:service-$PROJECT_NUMBER@gcp-sa-iap.iam.gserviceaccount.com" \
  --role "roles/run.invoker"

ジャストインタイム アクセスをテストする

これで、対象のアクセス権を付与するプロセスと、ジャストインタイム アクセス アプリケーションを使用して対象のアクセスを有効にするプロセスをテストできるようになりました。

適格アクセス権を付与する

まず、2 番目の Cloud Identity または Google Workspace ユーザーに適格アクセス権を付与します。

1. Google Cloud コンソールで、プロジェクト リストを使用して、ジャストインタイム アクセス アプリケーションで管理されているリソース階層の一部であるプロジェクトを選択します。
2. [IAM] ページで、[アクセスを許可] をクリックします。
3. 2 番目の Cloud Identity または Google Workspace ユーザーのメールアドレスを入力し、[プロジェクト] > [参照者] などのロールを選択します。
4. [条件を追加] をクリックします。
5. 「Eligible for JIT access」などのタイトルを入力します。

6. [条件エディタ] を選択して、次の CEL 式を入力します。

   has({}.jitAccessConstraint)
   

7. 変更を保存します。

アクセス権を有効にする

これで、ユーザーを切り替えて、リソースに対する一時的なアクセス権をリクエストできます。

1. ブラウザのシークレット ウィンドウを開き、先ほどメモしたジャストインタイム アクセス アプリケーションの URL に移動します。
2. 適格アクセス権が付与されたユーザーとしてログインします。
3. ジャストインタイム アクセス アプリケーションで、アクセス権を有効にするロールとリソースを選択します。

4. 理由（例: testing）を入力し、[アクセス権をリクエスト] をクリックします。

   次のページで、アクセス権が一時的に有効になっていることを確認します。

ログを分析する

管理者権限を持つユーザーに戻ってログを確認できるようになりました。

1. Google Cloud コンソールで、[ロギング] > [ログ エクスプローラ] に移動します。

   [ログ エクスプローラ] に移動

2. [クエリを表示] を [有効] に設定します。

3. 次のクエリを入力します。

   labels.event="api.activateRole"
   

4. [クエリを実行] をクリックします。

   出力は次のようになります。

   {
   "textPayload": "User EMAIL activated role 'ROLE' on '//cloudresourcemanager.googleapis.com/projects/PROJECT_ID' for themselves",
   "severity": "INFO",
   "labels": {
       "resource": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
       "event": "api.activateRole",
       "role": "ROLE",
       "clone_id": "00c6...",
       "user": "EMAIL",
       "justification": "testing",
       ...
     },
   ...
   }
   

   有効にしたロールごとにログレコードが作成されていることに注目してください。 ログレコードには、カスタム フィルタの作成に使用できる一連のラベルが含まれています。

ジャストインタイム アクセスのアップグレード

このセクションでは、既存のジャストインタイム アクセスのデプロイをアップグレードして、アプリケーションの新しいバージョンまたは別の構成を使用する方法について説明します。

このセクションは、読者が管理者であることを前提としています。

1. Google Cloud コンソールでプロジェクトに切り替え、Cloud Shell を開きます。

   Cloud Shell を開く

2. プロジェクト ID を格納する環境変数を設定します。

   gcloud config set project PROJECT_ID
   

   PROJECT_ID は、プロジェクトの ID に置き換えます。

3. GitHub リポジトリのクローンを作成し、latest ブランチに切り替えます。

   git clone https://github.com/GoogleCloudPlatform/jit-groups.git
   cd jit-access/sources
   git checkout latest
   

4. 先ほどアプリケーションのデプロイに使用した構成ファイルをダウンロードし、ファイル app.yaml に保存します。

   App Engine

   APPENGINE_VERSION=$(gcloud app versions list --service default --hide-no-traffic --format "value(version.id)")
   APPENGINE_APPYAML_URL=$(gcloud app versions describe $APPENGINE_VERSION --service default --format "value(deployment.files.'app.yaml'.sourceUrl)")
   
   curl -H "Authorization: Bearer $(gcloud auth print-access-token)" $APPENGINE_APPYAML_URL -o app.yaml
   cat app.yaml
   

   ファイル app.yaml のダウンロードが失敗した場合は、Google Cloud コンソールで現在の構成をダウンロードできます。

   Cloud Run

   gcloud config set run/region REGION
   gcloud run services describe jitaccess --format yaml > app.yaml
   

   REGION は、既存の Cloud Run デプロイを含むリージョンに置き換えます。

5. 構成を変更する場合は、app.yaml ファイルを編集します。設定のリストについては、関連する GitHub リポジトリの [構成オプション] ページをご覧ください。

6. アプリケーションをデプロイします。

   App Engine

   sed -i 's/java11/java17/g' app.yaml
   gcloud app deploy --appyaml app.yaml
   

   Cloud Run

   PROJECT_ID=$(gcloud config get-value core/project)
   
   docker build -t gcr.io/$PROJECT_ID/jitaccess:latest .
   docker push gcr.io/$PROJECT_ID/jitaccess:latest
   
   IMAGE=$(docker inspect --format='{{index .RepoDigests 0}}'  gcr.io/$PROJECT_ID/jitaccess)
   sed -i "s|image:.*|image: $IMAGE|g" app.yaml
   
   gcloud run services replace app.yaml