IAM でアクセスを認可する（第 1 世代）

コンソール

1. Google Cloud コンソールに移動します。

   Google Cloud コンソールに移動

2. 対象の関数の横にあるチェックボックスをオンにします。

3. 画面の上部の [権限] をクリックします。[権限] パネルが開きます。

4. [プリンシパルを追加] をクリックします。

5. [新しいプリンシパル] フィールドに、関数にアクセスが必要な ID を 1 つ以上入力します。通常はユーザーまたはサービス アカウントのメールアドレスです。

6. [ロールを選択] プルダウン メニューからロールを選択します。選択したロールと付与する権限の簡単な説明がパネルに表示されます。

7. [保存] をクリックします。

gcloud

gcloud functions add-iam-policy-binding コマンドを使用します。

gcloud functions add-iam-policy-binding FUNCTION_NAME \
  --member=PRINCIPAL_ID \
  --role=ROLE

ここで、FUNCTION_NAME は関数名、PRINCIPAL_ID はプリンシパルの ID（通常はメールアドレス）、ROLE はロールです。

PRINCIPAL_ID を提供できるソースのリストについては、IAM のコンセプト ページをご覧ください。ROLE に使用可能な値については、Cloud Run 関数の IAM ロールのリファレンス ページをご覧ください。

コンソール

1. Google Cloud コンソールに移動します。

   Google Cloud コンソールに移動

2. 対象の関数の横にあるチェックボックスをオンにします。

3. 画面の上部の [権限] をクリックします。[権限] パネルが開きます。

4. 削除するプリンシパルを検索します。プリンシパルに付与されているすべてのロールを確認します。

5. 削除するロールのプリンシパルが見つかったら、そのメンバーの横にあるゴミ箱アイコンをクリックします。プリンシパルのアクセス権を完全に削除する場合は、プリンシパルに付与されているすべてのロールでこの操作を行います。

gcloud

gcloud functions remove-iam-policy-binding コマンドを使用します。

  gcloud functions remove-iam-policy-binding FUNCTION_NAME \
    --member=PRINCIPAL_ID \
    --role=ROLE

ここで、FUNCTION_NAME は関数名、PRINCIPAL_ID はサービス アカウントを識別するメールアドレス（先頭は serviceAccount:）、ROLE はロールです。

PRINCIPAL_ID に使用可能なソースについては、IAM のコンセプト ページをご覧ください。ROLE に使用可能な値のリストについては、Cloud Run 関数の IAM ロールのリファレンス ページをご覧ください。

プリンシパルに複数のロールが付与されている場合は、削除するロールを 1 つ指定してください。

コンソール

1. Google Cloud コンソールに移動します。

   Google Cloud コンソールに移動

2. アクセスを許可または制限する関数の隣にあるチェックボックスをクリックします。

3. 画面の上部の [権限] をクリックします。[権限] パネルが開きます。

プリンシパルを追加するには、次の手順を実行します。

1. [プリンシパルを追加] をクリックします。

2. [新しいプリンシパル] フィールドに、関数にアクセスする必要がある ID を複数入力します。

3. [ロールを選択] プルダウン メニューからロールを選択します。選択したロールと付与する権限の簡単な説明がパネルに表示されます。

4. [保存] をクリックします。

gcloud

たとえば、policy.json という名前の IAM ポリシーを作成します。

{
  "bindings": [
    {
      "role": ROLE,
      "members": [
        PRINCIPAL_ID
      ]
    }
  ]
}

gcloud functions set-iam-policy コマンドを使用します。

gcloud functions set-iam-policy FUNCTION_NAME policy.json

PRINCIPAL_ID に使用可能なソースについては、IAM のコンセプト ページをご覧ください。ROLE に使用可能な値については、Cloud Run 関数の IAM ロールのリファレンス ページをご覧ください。

コンソール

1. Google Cloud コンソールに移動します。

   Google Cloud コンソールに移動

2. 対象の関数の名前をクリックします。

3. [権限] タブを選択します。 [権限] パネルが開きます。

4. [プリンシパル別に表示] タブを選択すると、選択した関数に対する権限を持つすべてのプリンシパルのリストが表示されます。

gcloud

gcloud functions get-iam-policy コマンドを使用します。

gcloud functions get-iam-policy FUNCTION_NAME

コンソール

[トリガー] パネルの [認証] セクションで、[未認証の呼び出しを許可する] を選択します。

gcloud

gcloud functions deploy コマンドは、関数作成時に呼び出し権限を構成するようにプロンプトを表示します。また、--allow-unauthenticated フラグも使用できます。

gcloud functions deploy FUNCTION_NAME \
  --no-gen2 \
  --trigger-http \
--allow-unauthenticated \
...

このフラグを使用しなくても、同じ関数の後続のデプロイではステータスは変更されません。

コンソール

1. Google Cloud コンソールに移動します。

   Google Cloud コンソールに移動

2. 受信側関数の横にあるチェックボックスをオンにします（関数自体はクリックしないでください）。

3. 画面の上部の [権限] をクリックします。[権限] パネルが開きます。

4. [プリンシパルを追加] をクリックします。

5. [新しいプリンシパル] フィールドに「allUsers」と入力します。

6. [ロールを選択] プルダウン メニューから Cloud Functions > Cloud Functions 起動元ロールを選択します。

7. ダイアログが表示されたら、[一般公開アクセスを許可] をクリックします。

gcloud

gcloud functions add-iam-policy-binding コマンドを使用して、関数に対する特別な allUsers プリンシパルに roles/cloudfunctions.invoker ロールを付与します。

gcloud functions add-iam-policy-binding FUNCTION_NAME \
 --member="allUsers" \
 --role="roles/cloudfunctions.invoker"

これらのフィールドの詳細については gcloud functions add-iam-policy-binding リファレンスをご覧ください。