クライアント サーバー アプリケーションを保護する

Console

1. プライベート サービス アクセスでは、VPC ネットワークと Google マネージド VPC ネットワークの間に IP アドレスの競合が発生しないように、IP アドレス範囲を予約する必要があります。IP 範囲を割り当てるには、次の手順に従います。

   1. Google Cloud コンソールで [VPC ネットワーク] ページに移動します。
      [VPC ネットワーク] に移動

   2. アプリケーションに接続されている VPC ネットワークを選択します。

   3. [プライベート サービス接続] タブを選択します。

   4. [プライベート サービス接続] タブで、[サービスに割り当てられた IP 範囲] タブを選択します。

   5. [IP 範囲の割り当て] をクリックします。

   6. 割り振る IP 範囲の [名前] と [説明] を入力します。

   7. 割り当ての [IP 範囲] を指定します。

      • IP アドレス範囲を指定するには、[カスタム] を選択してから、CIDR ブロック（192.168.0.0/16 など）を入力します。
      • 接頭辞長を指定して利用可能な範囲を Google に選択させるには、[自動] を選択して接頭辞長（16 など）を入力します。

      /24 以上のネットワークを指定します。

   8. [割り当て] をクリックして、割り振る範囲を作成します。

2. 次の手順で VPC ネットワーク ピアリング接続を作成します。

   1. Google Cloud コンソールで [VPC ネットワーク] ページに移動します。
      [VPC ネットワーク] に移動
   2. アプリケーションに接続されている VPC ネットワークを選択します。
   3. [プライベート サービス接続] タブを選択します。
   4. [プライベート サービス接続] タブで、[サービスへのプライベート接続] タブを選択します。
   5. ネットワークとクライアント コネクタ サービスの間にプライベート接続を作成するには、[接続の作成] をクリックします。
   6. 表示されたウィンドウで、[接続サービス プロデューサー] をデフォルトのままにします。[割り当て] で、前の手順で作成した割り振り範囲を選択します。
   7. [接続] をクリックして接続を作成します。

3. ファイアウォール ルールを作成します。

   1. Google Cloud コンソールで [ファイアウォール] ページに移動します。
      [ファイアウォール] ページに移動
   2. [ファイアウォール ルールを作成] をクリックします。
   3. ファイアウォール ルールの [名前] を入力します。
      この名前はプロジェクトで一意にする必要があります。
   4. （省略可）ファイアウォール ルール ロギングを有効にできます。
      • [ログ] > [オン] をクリックします。
      • メタデータを省略するには、[ログの詳細] を展開して [メタデータを含める] をオフにします。
   5. アプリケーションに接続されているネットワークを指定します。
   6. ルールの [優先度] を指定します。数字が小さいほど優先度が高くなります。
   7. [トラフィックの方向] で [上り] をオンにします。
   8. [一致したときのアクション] に [許可] を選択します。
   9. [ターゲット] で [ネットワーク上のすべてのインスタンス] を選択します。
   10. [ソース フィルタ] に対して [IPv4 範囲] を選択し、ステップ 1 の address および prefixLength 値を入力して、割り当てられた IP 範囲を CIDR 形式で表します。任意の IPv4 送信元の場合は、形式 0.0.0.0/0 を使用します。
   11. [プロトコルとポート] で [すべて許可] を選択して、すべてのプロトコルと宛先ポートにルールを適用するようにします。
   12. [作成] をクリックします。

gcloud

1. プライベート サービス アクセスでは、VPC ネットワークと Google マネージド VPC ネットワークの間に IP アドレスの競合が発生しないように、IP アドレス範囲を予約する必要があります。次のコマンドを実行して、IP 範囲を割り振ります。

   gcloud compute addresses create RESERVED_RANGE \
     --network=CONSUMER_NETWORK \
     --project=CONSUMER_PROJECT \
     --prefix-length=16 \
     --purpose=VPC_PEERING \
     --global
   

   以下を置き換えます。

   • RESERVED_RANGE: VPC ピアリング用に予約される IP アドレス範囲の名前。名前に使用できるのは、小文字、数字、ハイフンのみです。
   • CONSUMER_NETWORK: アプリケーションに接続されている VPC ネットワークの名前。
   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。

2. VPC ピアリング接続を作成します。

   gcloud services vpc-peerings connect \
     --network=CONSUMER_NETWORK \
     --project=CONSUMER_PROJECT \
     --ranges=RESERVED_RANGE \
     --service="servicenetworking.googleapis.com"
   

   以下を置き換えます。

   • CONSUMER_NETWORK: アプリケーションに接続されている VPC ネットワークの名前。
   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
   • RESERVED_RANGE: VPC ピアリング用に予約される範囲の名前。

3. 割り振られた IP 範囲の詳細を取得します。

   gcloud compute addresses describe RESERVED_RANGE \
     --global \
     --project=CONSUMER_PROJECT
   

   以下を置き換えます。

   • RESERVED_RANGE: VPC ピアリング用に予約される範囲の名前。
   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。

4. 前の手順の出力の address と prefixLength の値を使用して、割り振られた IP 範囲を CIDR 形式で表し、ファイアウォール ルールを作成します。

   gcloud compute firewall-rules create "allow-peered-ingress" \
     --network=CONSUMER_NETWORK \
     --project=CONSUMER_PROJECT \
     --direction ingress \
     --action allow \
     --source-ranges={Allocated IP range in CIDR format i.e. address/prefixLength} \
     --rules=all
   

   以下を置き換えます。

   • CONSUMER_NETWORK: アプリケーションに接続されている VPC ネットワークの名前。
   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。

Console

1. IAP 管理ページに移動します。

   IAP に移動

2. [コネクタ] > [クライアント コネクタを有効化] をクリックします。

3. マネージド クライアントからトラフィックを受信する VPC ネットワークを選択する

4. クライアントが接続できるリージョンを選択します。この手順ではクライアント ゲートウェイが作成されるため、クライアント ゲートウェイの作成、検証、削除の手順でゲートウェイを作成する必要はありません。

5. クライアント コネクタでアクセスするアプリケーションの IP アドレスの範囲を入力します

6. [クライアント コネクタを有効にする] をクリックします。コネクタの作成には数分を要する場合があります。

gcloud

次のコマンドを実行します。

gcloud beta beyondcorp client-connector services create CLIENT_CONNECTOR_SERVICE_NAME \
  --project=CONSUMER_PROJECT \
  --location=SERVICE_LOCATION \
  --config-from-file=/path/to/file/config.json

ここで、config.json は次のようになります。

   {
     "ingress": {
       "config": {
         "transportProtocol": "TCP",
         "destinationRoutes": [{
           "address": "DESTINATION_ADDRESS",
           "netmask": "DESTINATION_MASK"
         }]
       }
     },
     "egress": {
       "peeredVpc": {
         "networkVpc": "projects/CONSUMER_PROJECT/global/networks/CONSUMER_NETWORK"
       }
     }
   }

以下を置き換えます。

• CLIENT_CONNECTOR_SERVICE_NAME: クライアント コネクタ サービスの名前。
• CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
• SERVICE_LOCATION: クライアント コネクタ サービスを作成するリージョン。次のリージョンのいずれかを指定できます。asia-east1、europe-west1、us-east1、us-central1。
• DESTINATION_ADDRESS: アプリケーションをホストする宛先サブネットのホストアドレス。たとえば、アプリケーションで 10.0.0.0/28 を使用する場合、アドレスは 10.0.0.0 です。
• DESTINATION_MASK: アプリケーションをホストする宛先サブネットのネットワーク マスク。たとえば、アプリケーションで 10.0.0.0/28 を使用する場合、マスクは 255.255.255.240 です。
• CONSUMER_NETWORK: アプリケーションに接続されている VPC ネットワークの名前。

API

次のコマンドを実行します。

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d @config.json \
https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices?client_connector_service_id=CLIENT_CONNECTOR_SERVICE_NAME

ここで、config.json は次のようになります。

   {
     "ingress": {
       "config": {
         "transportProtocol": "TCP",
         "destinationRoutes": [{
           "address": "DESTINATION_ADDRESS",
           "netmask": "DESTINATION_MASK"
         }]
       }
     },
     "egress": {
       "peeredVpc": {
         "networkVpc": "projects/CONSUMER_PROJECT/global/networks/CONSUMER_NETWORK"
       }
     }
   }

以下を置き換えます。

• DESTINATION_ADDRESS: アプリケーションをホストする宛先サブネットのホストアドレス。たとえば、アプリケーションで 10.0.0.0/28 を使用する場合、アドレスは 10.0.0.0 です。
• DESTINATION_MASK: アプリケーションをホストする宛先サブネットのネットワーク マスク。たとえば、アプリケーションで 10.0.0.0/28 を使用する場合、マスクは 255.255.255.240 です。
• CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
• CONSUMER_NETWORK: アプリケーションに接続されている VPC ネットワークの名前。
• SERVICE_LOCATION: クライアント コネクタ サービスを作成するリージョン。
• CLIENT_CONNECTOR_SERVICE_NAME: クライアント コネクタ サービスの名前。

Console

1. IAP 管理ページに移動します。

   IAP に移動

2. [コネクタ] をクリックします。コネクタは、[クライアント コネクタ] セクションに一覧表示され、ステータスに緑色のチェックマークが表示されます。

gcloud

次のコマンドを実行します。

gcloud beta beyondcorp client-connector services list \
  --project=CONSUMER_PROJECT \
  --location=SERVICE_LOCATION

以下を置き換えます。

• CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
• SERVICE_LOCATION: クライアント コネクタ サービスを作成するリージョン。

API

次のコマンドを実行します。

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices

以下を置き換えます。

• CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
• SERVICE_LOCATION: クライアント コネクタ サービスが配置されているリージョン。

Console

次の手順に沿って宛先ルートを更新します。

1. IAP 管理ページに移動します。

   IAP に移動

2. [コネクタ] をクリックします。

3. [クライアント コネクタ] セクションで、更新するクライアント コネクタの横にある鉛筆アイコンをクリックします。

4. アプリケーションをホストする宛先サブネットの新しいホストアドレスとネットワーク マスクを入力し、[クライアント コネクタの更新] をクリックします。

gcloud

次のコマンドを実行して、宛先ルートを更新します。

gcloud beta beyondcorp client-connector services update CLIENT_CONNECTOR_SERVICE_NAME \
  --project=CONSUMER_PROJECT \
  --location=SERVICE_LOCATION \
  --config-from-file=/path/to/file/config.json

ここで、config.json は次のようになります。

{
  "ingress":{
    "config":{
      "destinationRoutes":[
        {
          "address":"NEW_DESTINATION_ADDRESS1",
          "netmask":"NEW_DESTINATION_MASK1"
        },
        {
          "address":"NEW_DESTINATION_ADDRESS2",
          "netmask":"NEW_DESTINATION_MASK2"
        }
      ]
    }
  }
}

以下を置き換えます。

• CLIENT_CONNECTOR_SERVICE_NAME: クライアント コネクタ サービスの名前。
• CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
• SERVICE_LOCATION: クライアント コネクタ サービスが配置されているリージョン。
• NEW_DESTINATION_ADDRESS1、NEW_DESTINATION_ADDRESS2: アプリケーションをホストする宛先サブネットの新しいホストアドレス。
• NEW_DESTINATION_MASK1、NEW_DESTINATION_MASK2: 宛先サブネットの新しいネットワーク マスク。

API

宛先ルートを更新するには、次のコマンドを実行します。

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d @update.json \
https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices/CLIENT_CONNECTOR_SERVICE_NAME?update_mask=ingress.config.destinationRoutes

ここで、update.json は次のようになります。

{
  "ingress":{
    "config":{
      "destinationRoutes":[
        {
          "address":"NEW_DESTINATION_ADDRESS1",
          "netmask":"NEW_DESTINATION_MASK1"
        },
        {
          "address":"NEW_DESTINATION_ADDRESS2",
          "netmask":"NEW_DESTINATION_MASK2"
        }
      ]
    }
  }
}

以下を置き換えます。

• CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
• SERVICE_LOCATION: クライアント コネクタ サービスが配置されているリージョン。
• CLIENT_CONNECTOR_SERVICE_NAME: クライアント コネクタ サービスの名前。
• NEW_DESTINATION_ADDRESS1、NEW_DESTINATION_ADDRESS2: アプリケーションをホストする宛先サブネットの新しいホストアドレス。
• NEW_DESTINATION_MASK1、NEW_DESTINATION_MASK2: 宛先サブネットの新しいネットワーク マスク。

Console

1. IAP 管理ページに移動します。

   IAP に移動

2. [コネクタ] をクリックします。

3. [クライアント コネクタ] セクションで、ごみ箱アイコンをクリックして、クライアント コネクタ サービスとゲートウェイを削除します。これには数分かかることがあります。

gcloud

次のコマンドを実行します。

gcloud beta beyondcorp client-connector services delete CLIENT_CONNECTOR_SERVICE_NAME \
  --project CONSUMER_PROJECT \
  --location SERVICE_LOCATION

以下を置き換えます。

• CLIENT_CONNECTOR_SERVICE_NAME: クライアント コネクタ サービスの名前。
• CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
• SERVICE_LOCATION: クライアント コネクタ サービスが配置されているリージョン。

API

次のコマンドを実行します。

curl -X DELETE \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices/CLIENT_CONNECTOR_SERVICE_NAME

以下を置き換えます。

• CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
• SERVICE_LOCATION: クライアント コネクタ サービスが配置されているリージョン。
• CLIENT_CONNECTOR_SERVICE_NAME: クライアント コネクタ サービスの名前。

Console

1. コンソールを使用してクライアント コネクタを設定する場合は、前の手順でクライアント コネクタ サービスを作成したときに、クライアント ゲートウェイが作成されます。

2. クライアント ゲートウェイが稼働していることを確認するには:

   1. IAP 管理ページに移動します。

      IAP に移動

   2. [コネクタ] をクリックします。コネクタと関連するゲートウェイは、[クライアント コネクタ] セクションに一覧表示され、ステータスに緑色のチェックマークが表示されます。

3. 省略可: クライアント ゲートウェイを削除するには、次の手順を行います。

   1. IAP 管理ページに移動します。

      IAP に移動

   2. [コネクタ] をクリックします。

   3. [クライアント コネクタ] セクションで、ゲートウェイを削除するクライアント コネクタの横にある鉛筆アイコンをクリックします。

   4. [ゲートウェイ リージョン] プルダウン リストからリージョン チェックボックスをオフにしてコネクタ サービスからリージョンを削除し、[クライアント コネクタの更新] をクリックします。

gcloud

1. クライアント ゲートウェイを作成します。

   gcloud beta beyondcorp client-connector gateways create CLIENT_GATEWAY_NAME \
     --project CONSUMER_PROJECT \
     --location GATEWAY_LOCATION \
     --client-connector-service \
     projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices/CLIENT_CONNECTOR_SERVICE_NAME
   

   以下を置き換えます。

   • CLIENT_GATEWAY_NAME: クライアント ゲートウェイの名前。
   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
   • GATEWAY_LOCATION: クライアント ゲートウェイを作成するリージョン。
   • SERVICE_LOCATION: クライアント コネクタ サービスが配置されているリージョン。
   • CLIENT_CONNECTOR_SERVICE_NAME: クライアント コネクタ サービスの名前。

2. クライアント ゲートウェイが稼働していることを確認します。

   gcloud beta beyondcorp client-connector gateways list \
     --project CONSUMER_PROJECT \
     --location GATEWAY_LOCATION
   

   以下を置き換えます。

   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
   • GATEWAY_LOCATION: クライアント ゲートウェイが配置されているリージョン。

3. 省略可: クライアント ゲートウェイを削除します。

   gcloud beta beyondcorp client-connector gateways delete CLIENT_GATEWAY_NAME \
     --project CONSUMER_PROJECT \
     --location GATEWAY_LOCATION
   

   以下を置き換えます。

   • CLIENT_GATEWAY_NAME: クライアント ゲートウェイの名前。
   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
   • GATEWAY_LOCATION: クライアント ゲートウェイが配置されているリージョン。

API

1. 次のコマンドを実行します。

   curl -X POST \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d "{client_connector_service: \"projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices/CLIENT_CONNECTOR_SERVICE_NAME\"}" \
   https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/GATEWAY_LOCATION/clientGateways?client_gateway_id=CLIENT_GATEWAY_NAME
   

   以下を置き換えます。

   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
   • SERVICE_LOCATION: クライアント コネクタ サービスが配置されているリージョン。
   • CLIENT_CONNECTOR_SERVICE_NAME: クライアント コネクタ サービスの名前。
   • GATEWAY_LOCATION: クライアント ゲートウェイを作成するリージョン。
   • CLIENT_GATEWAY_NAME: クライアント ゲートウェイの名前。

   この手順は完了するまでに数分かかることがあります。

2. クライアント ゲートウェイが稼働していることを確認します。

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/GATEWAY_LOCATION/clientGateways
   

   以下を置き換えます。

   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
   • GATEWAY_LOCATION: クライアント ゲートウェイが配置されているリージョン。

3. 省略可: クライアント ゲートウェイを削除します。

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/GATEWAY_LOCATION/clientGateways/CLIENT_GATEWAY_NAME
   

   以下を置き換えます。

   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
   • GATEWAY_LOCATION: クライアント コネクタ ゲートウェイが配置されているリージョン。
   • CLIENT_GATEWAY_NAME: クライアント ゲートウェイの名前。

Console

1. IAP 管理ページに移動します。

   IAP に移動

2. [アプリケーション] タブをクリックし、[リソース] リストで [ウェブ以外のアプリケーション] を開きます。
3. クライアント コネクタを選択します。コネクタに関連付けられた IAM 権限を含むセクションが開きます。
4. 開いたセクションで、クライアント コネクタに関連する IAM ポリシーを更新できます。

gcloud

1. 既存のポリシーを読み取ります。getIamPolicy() メソッドは、クライアント コネクタ サービス リソースの既存の IAM ポリシーを policy.json に読み込みます。

   gcloud beta beyondcorp client-connector services get-iam-policy CLIENT_CONNECTOR_SERVICE_NAME \
     --project=CONSUMER_PROJECT \
     --location=SERVICE_LOCATION > policy.json
   

   以下を置き換えます。

   • CLIENT_CONNECTOR_SERVICE_NAME: クライアント コネクタ サービスの名前。
   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
   • SERVICE_LOCATION: クライアント コネクタ サービスが配置されているリージョン。

2. 返されたポリシーを編集します。policy.json のバインディングを更新して、新しい IAM のロールの割り当てを含めます。これは、テキスト エディタやプログラムで行えます。例:

   {
               "bindings": [
                 {
                   "role": "roles/beyondcorp.clientConnectorServiceUser",
                   "members": [
                     "user:EXAMPLE_USER@EXAMPLE.COM",
                     "group:EXAMPLE_GROUP@EXAMPLE.COM",
                   ],
                   "condition":
                    {
                      "expression":
           "'accessPolicies/POLICY_NAME/accessLevels/LEVEL_NAME' in
           request.auth.access_levels",
                     "title": "CONDITION_NAME"
                   }
                 }
               ]
   }
   

   以下を置き換えます。

   • POLICY_NAME: Access Context Manager アクセス ポリシーの数値名。
   • LEVEL_NAME: Access Context Manager アクセスレベルの名前。
   • CONDITION_NAME: IAM 条件のタイトル テキスト。

3. 更新したポリシーを書き込みます。setIamPolicy() メソッドを使用して、更新された IAM ポリシーを書き込むことができます。例:

   gcloud beta beyondcorp client-connector services set-iam-policy CLIENT_CONNECTOR_SERVICE_NAME policy.json \
     --project=CONSUMER_PROJECT \
     --location=SERVICE_LOCATION

   以下を置き換えます。

   • CLIENT_CONNECTOR_SERVICE_NAME: クライアント コネクタ サービスの名前。
   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
   • SERVICE_LOCATION: クライアント コネクタ サービスが配置されているリージョン。

API

1. 既存のポリシーを読み取ります。getIamPolicy() メソッドは、クライアント コネクタ サービス リソースの既存の IAM ポリシーを policy.json に読み込みます。

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices/CLIENT_CONNECTOR_SERVICE_NAME:getIamPolicy > policy.json
   

   以下を置き換えます。

   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
   • SERVICE_LOCATION: クライアント コネクタ サービスが配置されているリージョン。
   • CLIENT_CONNECTOR_SERVICE_NAME: クライアント コネクタ サービスの名前。

2. 返されたポリシーを編集します。policy.json のバインディングを更新して、新しい IAM のロールの割り当てを含めます。これは、テキスト エディタやプログラムで行えます。例:

    {
      "policy": {
         "bindings": [
           {
             "role": "roles/beyondcorp.clientConnectorServiceUser",
             "members": [
               "user:EXAMPLE_USER@EXAMPLE.COM",
               "group:EXAMPLE_GROUP@EXAMPLE.COM",
            ],
            "condition":
             {
               "expression":
    "'accessPolicies/POLICY_NAME/accessLevels/LEVEL_NAME' in
    request.auth.access_levels",
               "title": "CONDITION_NAME"
             }
          }
        ]
      }
    }
    

   以下を置き換えます。

   • POLICY_NAME: Access Context Manager アクセス ポリシーの数値名。
   • LEVEL_NAME: Access Context Manager アクセスレベルの名前。
   • CONDITION_NAME: IAM 条件のタイトル テキスト。

3. 更新したポリシーを書き込みます。setIamPolicy() メソッドを使用して、更新された IAM ポリシーを書き込むことができます。例:

   curl -X POST \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d @policy.json \
   https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices/CLIENT_CONNECTOR_SERVICE_NAME:setIamPolicy
    

   以下を置き換えます。

   • CONSUMER_PROJECT: CONSUMER_NETWORK をホストするプロジェクトの ID。
   • SERVICE_LOCATION: クライアント コネクタ サービスが配置されているリージョン。
   • CLIENT_CONNECTOR_SERVICE_NAME: クライアント コネクタ サービスの名前。