IAM Conditions 属性のリファレンス

string

サポートされている値の一覧については、リソース サービスの値をご覧ください。

Compute Engine リソースの場合は true を返します。

resource.service == "compute.googleapis.com"

• Apigee
• Application Integration
• Backup and DR サービス
• BigQuery
• BigQuery Reservation API
• Bigtable
• Binary Authorization
• Cloud Deploy
• Cloud Key Management Service
• Cloud Logging
• Cloud SQL
• Cloud Storage
• Compute Engine
• Dataform
• Google Kubernetes Engine
• Identity-Aware Proxy
• Integration Connectors
• Google Cloud Managed Service for Apache Kafka
• Pub/Sub Lite
• Resource Manager
• Secret Manager
• Spanner

string

サポートされている値の一覧については、リソースタイプの値をご覧ください。

リソースが Compute Engine イメージでない限り、true を返します。

resource.type != "compute.googleapis.com/Image"

リソースが Compute Engine イメージまたは永続ディスクである場合にのみ、true を返します。

(resource.type == "compute.googleapis.com/Image" ||
 resource.type == "compute.googleapis.com/Disk")

¹ Cloud Key Management Service は、このリソースタイプをキーリング リソースの親として使用します。

string

各リソースタイプは、リソース名に特定の形式を使用します。形式のリストについては、リソース名の形式をご覧ください。

resource.name には、リクエスト内のターゲット リソースの相対的なリソースが含まれます。相対的なリソース名は URI パスで、先頭にスラッシュ（/）は付きません。

startsWith() 関数は、resource.name に対して評価される接頭辞文字列リテラルを受け取ります。

endsWith() 関数は、resource.name に対して評価される接尾辞文字列リテラルを受け取ります。

extract() 関数は、抽出テンプレートを使用して resource.name の一部を抽出します。詳細については、このページのリソース名からの値の抽出をご覧ください。

== と != 演算子は、resource.name 全体または resource.name の抽出された部分と比較されます。

リソース名が secret-bucket-123 という名前の Cloud Storage バケットを識別しない限り、true を返します。

resource.name != "projects/_/buckets/secret-bucket-123"

リソース名が、指定した接頭辞で始まる場合は、Compute Engine VM インスタンスで使用されている形式で true を返します。

resource.name.startsWith("projects/project-123/zones/us-east1-b/instances/prod-")

リソース名が、指定した接頭辞で始まる場合は、Cloud Storage バケットで使用されている形式で true を返します。

resource.name.startsWith("projects/_/buckets/my_bucket/objects/test-object-")

リソース名が指定された接尾辞で終わる場合、true を返します（例: Cloud Storage オブジェクトのファイル拡張子）。

resource.name.endsWith(".jpg")

プロジェクト名または番号が存在する場合は、それを返します。

resource.name.extract("projects/{project}/")

リクエストのリソースが、指定されたキーのタグを持つかどうかをチェックします。タグキーは、その名前空間名で調べることができます。永続 ID を使用してタグキーを確認するには、関数 resource.hasTagKeyId() を使用します。

パラメータ

keyName: タグキーの名前空間名。組織の数値 ID とスラッシュを接頭辞として使用します。例: 123456789012/env。

例

リクエストのリソースにキー env を含むタグがある場合、true を返します。

resource.hasTagKey('123456789012/env')

リクエストのリソースが、指定されたキーのタグを持つかどうかをチェックします。永続 ID で、タグキーの検索を行います。名前空間名を使用してタグキーを確認するには、関数 resource.hasTagKey() を使用します。

パラメータ

keyId: タグキーの永続的な ID。例：　tagKeys/123456789012。

例

リクエストのリソースにキー tagKeys/123456789012 を含むタグがある場合、true を返します。

resource.hasTagKeyId('tagKeys/123456789012')

リクエストのリソースに、指定されたリソースと値を含むタグが存在するかどうかを確認します。名前空間名でキーの検索が行われ、省略名で値が検索されます。永続 ID を使用してタグキーと値を確認するには、関数 resource.matchTagId() を使用します。

パラメータ

• keyName: タグキーの名前空間名。組織の数値 ID とスラッシュを接頭辞として使用します。 例: 123456789012/env。
• valueShortName: タグ値の短い名前。 例: prod。

例

リクエストのリソースにキー 123456789012/env と値 prod のタグが含まれている場合、true を返します。

resource.matchTag('123456789012/env', 'prod')

リクエストのリソースに、指定されたリソースと値を含むタグが存在するかどうかを確認します。キーと値は、永続 ID を使用して検索されます。名前空間名を使用してタグキー、略称を使用して値を確認するには、関数 resource.matchTag() を使用します。

パラメータ

• keyId: タグキーの永続的な ID。例: tagKeys/123456789012。
• valueId: タグ値の永続的な ID。例: tagValues/567890123456。

例

リクエストのリソースにキー tagKeys/123456789012 と値 tagValues/567890123456 のタグが含まれている場合、true を返します。

resource.matchTagId('tagKeys/123456789012', 'tagValues/567890123456')

string

Google アカウント

iam.googleapis.com/WorkspaceIdentity

Workforce Identity プール ID

iam.googleapis.com/WorkforcePoolIdentity

Workload Identity プール ID

iam.googleapis.com/WorkloadPoolIdentity

サービス アカウント

iam.googleapis.com/ServiceAccount

リクエストのプリンシパルがサービス アカウントの場合は、true と評価されます。

principal.type == "iam.googleapis.com/ServiceAccount"
        

リクエストのプリンシパルが Google Workspace ID または Workforce Identity プール ID の場合は、true と評価されます。

principal.type in ["iam.googleapis.com/WorkspaceIdentity", "iam.googleapis.com/WorkforcePoolIdentity"]
        

string

==, !=, in, startsWith(), endsWith()

Google アカウント

ID: ユーザーのメールアドレス

Workforce Identity プール ID

ID: ID のサブジェクト属性値

Workload Identity プール ID

ID: ID のサブジェクト属性値

サービス アカウント

ID: サービス アカウントのメールアドレス

リクエストのプリンシパルが @example.com で終わる場合は、true と評価されます。

principal.subject.endsWith("@example.com")
        

リクエストのプリンシパルが example-service-account@example-project.iam.gserviceaccount.com の場合、true と評価されます。

principal.subject == "example-service-account@example-project.iam.gserviceaccount.com"
        

リクエストが特定のアクセスレベルを満たしているかどうかを確認するには、in 演算子を使用します。

ACCESS_LEVEL_FULL_NAME in request.auth.access_levels

アクセスレベルの完全な名前は次の形式になります。

accessPolicies/POLICY_NUMBER/accessLevels/ACCESS_LEVEL

リクエストが CorpNet アクセスレベルを満たしている場合、true を返します。

"accessPolicies/199923665455/accessLevels/CorpNet"
    in request.auth.access_levels

リクエストされた API 属性を取得します。

パラメータ

• attributeName: 取得する API 属性。サポートされている値については、このページの Cloud Storage API 属性と IAM API 属性をご覧ください。

• defaultValue: API 属性が使用できない場合に使用するデフォルト値（V）。値 V は T 型です。T は API 属性の値と同じ型です。たとえば API 属性の値が文字列の場合は、空の文字列、または undefined などのプレースホルダ文字列を使用できます。

例

以下のいずれかを返します。

• Cloud Storage バケット内のオブジェクトを一覧表示するリクエストの場合、リクエストに prefix パラメータが含まれていると、その値が返されます。
• prefix パラメータを省略したオブジェクトを一覧表示するリクエストの場合、他のすべてのタイプのリクエストでは、空の文字列が返されます。

api.getAttribute("storage.googleapis.com/objectListPrefix", "")

リストに含まれるのが許可された項目またはそのサブセットのみであることを確認します。api.getAttribute() によって返されたリストで、関数を呼び出します。

パラメータ

items: T 型の項目のリスト。各項目は、API 属性に含めることができる値です。

例

リクエストが、Pub/Sub 編集者（roles/pubsub.editor）または Pub/Sub パブリッシャー（roles/pubsub.publisher）以外のロールを付与または取り消すかどうかを確認します。

api.getAttribute('iam.googleapis.com/modifiedGrantsByRole', [])
    .hasOnly(['roles/pubsub.editor', 'roles/pubsub.publisher'])

さまざまなリクエスト値の結果を以下に示します。

付与または取り消されるロール	結果
なし	true ロールが変更されない場合、api.getAttribute() はデフォルト値を返します。この属性のデフォルト値は常に空のリストです。定義上、空のリストには、許可リストに登録されていない値は含まれません。
roles/pubsub.editor	true ロールが許可リストに登録されています。
roles/pubsub.editor roles/pubsub.publisher	true どちらのロールも許可リストに登録されています。
roles/billing.admin	false ロールが許可リストに登録されていません。
roles/billing.admin roles/pubsub.editor	false 1 つは許可リストに登録されていますが、もう 1 つのロールは登録されていません。

バケット内のオブジェクトを一覧表示するリクエストの場合、リクエストの prefix パラメータの値が含まれます。リクエストで prefix パラメータを省略した場合、属性は定義されません。

他のタイプのリクエストでは、属性は定義されません。

リソースの許可ポリシーを設定するリクエストの場合、この属性には、リクエストによって変更されるロール バインディングのロール名が含まれます。

他のタイプのリクエストでは、属性は定義されません。

次のリソースは、許可ポリシーの modifiedGrantsByRole 属性で条件を受け入れます。

• プロジェクト
• フォルダ
• 組織

次のサービスは、modifiedGrantsByRole 属性を認識します。

• API ゲートウェイ
• AutoML
• Certificate Authority Service
• Cloud Run functions
• Cloud Healthcare API
• Cloud IoT
• Cloud Key Management Service
• Cloud Run
• Cloud Runtime Configuration API
• Cloud Storage
• Compute Engine
• Artifact Analysis
• Dataproc
• Earth Engine
• Game Servers
• Identity and Access Management
• Identity-Aware Proxy
• Managed Service for Microsoft Active Directory
• ユーザー管理のノートブック
• Resource Manager
• Secret Manager
• Service Management

日付を string から Timestamp に変換します。

パラメータ

value: YYYY-MM-DD 形式の日付。ここで、YYYY は年、MM は 2 桁の月、DD は 2 桁の日です。得られる Timestamp には、指定された日付と時刻 00:00:00.000 UTC が含まれます。

例

日付 2023-02-01 と時刻 00:00:00.000 UTC を表す Timestamp を作成します。

date("2023-02-01")

時間を string から Duration に変換します。

パラメータ

value: 秒単位の Duration。その後に s。

例

1.5 分を表す期間。

duration("90s")

30 日を表す期間。

duration("2592000s")

string を Timestamp に変換します。

パラメータ

value: RFC 3339 に準拠する UTC タイムスタンプ。

例

UTC の 2023 年 4 月 12 日 23:20:50.52 を表すタイムスタンプを作成します。

timestamp("2023-04-12T23:20:50.52Z")

2 つの Timestamp 値を比較します。

例

リクエスト時間が 2022 年 4 月 12 日 00:00:00 UTC より前の場合、true を返します。

request.time < timestamp("2022-04-12T00:00:00.00Z")

リクエスト時間が 2022 年 4 月 12 日 00:00:00 UTC かそれ以前の場合、true を返します。

request.time <= timestamp("2022-04-12T00:00:00.00Z")

リクエスト時間が 2022 年 4 月 12 日 00:00:00 UTC より後の場合、true を返します。

request.time > timestamp("2022-04-12T00:00:00.00Z")

リクエスト時間が 2022 年 4 月 12 日 00:00:00 UTC より後の場合、true を返します。

request.time >= timestamp("2022-04-12T00:00:00.00Z")

• timestamp + duration trending_flat  Timestamp
• timestamp - duration trending_flat  Timestamp

Timestamp に対して Duration の加算または減算を行います。

例

2024 年 4 月 12 日 14:30:00 UTC から 30 分後の Timestamp を返します。

timestamp("2024-04-12T14:30:00.00Z") + duration("1800s")

2024-04-12 の 14:30:00 UTC の 60 日前に取得される Timestamp を返します。

timestamp("2024-04-12T14:30:00.00Z") - duration("5184000s")

Timestamp から日を取得します。この値は 1 から始まるインデックスを使用します。月の初日は 1 です。

パラメータ

timeZone: 結果を計算するタイムゾーン。デフォルトは UTC です。

例

リクエストが 15 日（UTC）以降に送信された場合、true を返します。

request.time.getDate() > 15

Timestamp から日を取得します。この値はゼロから始まるインデックスを使用します。月の初日は 0 です。

パラメータ

timeZone: 結果を計算するタイムゾーン。デフォルトは UTC です。

例

リクエストが 15 日（UTC）以降に送信された場合、true を返します。

request.time.getDayOfMonth() > 14

Timestamp から曜日を取得します。この値はゼロから始まるインデックスを使用します。たとえば、日曜日は 0 です。

パラメータ

timeZone: 結果を計算するタイムゾーン。デフォルトは UTC です。

例

ドイツのベルリンで月曜日から金曜日の間にリクエストが送信される場合、true を返します。

request.time.getDayOfWeek("Europe/Berlin") > 0 &&
    request.time.getDayOfWeek("Europe/Berlin") < 6

Timestamp からその年の経過日数を取得します。この値はゼロから始まるインデックスを使用します。年の初日は 0 です。

パラメータ

timeZone: 結果を計算するタイムゾーン。デフォルトは UTC です。

例

カリフォルニア州のマウンテン ビューで年初の 5 日間にリクエストが送信された場合、true を返します。

request.time.getDayOfYear("America/Los_Angeles") >= 0 &&
    request.time.getDayOfYear("America/Los_Angeles") < 5

Timestamp から年を取得します。

パラメータ

timeZone: 結果を計算するタイムゾーン。デフォルトは UTC です。

例

リクエストが 2023 年（カリフォルニア州マウンテンビュー）に送信された場合は、true を返します。

request.time.getFullYear("America/Los_Angeles") == 2023

リクエストが UTC で 2022 年に送信された場合、true を返します。

request.time.getFullYear() == 2022

Timestamp から時間を取得します。この値はゼロから始まるインデックスを使用します。値の範囲は 0～23 です。

この関数を getDayofWeek() と組み合わせると、管轄地域内で許可されている業務時間にのみアクセス権を付与できます。

パラメータ

timeZone: 結果を計算するタイムゾーン。デフォルトは UTC です。

例

ドイツのベルリンの平日の　09:00（午前 9 時）から　17:00（午後 5　時）の間に送信された場合は、true を返します。

request.time.getDayOfWeek("Europe/Berlin") >= 1 &&
    request.time.getDayOfWeek("Europe/Berlin") <= 5 &&
    request.time.getHours("Europe/Berlin") >= 9 &&
    request.time.getHours("Europe/Berlin") <= 17

Timestamp からミリ秒数を取得します。この値はゼロから始まるインデックスを使用します。値の範囲は 0～999 です。

パラメータ

timeZone: 結果を計算するタイムゾーン。デフォルトは UTC です。

Timestamp から、1 時間後の分数を取得します。この値はゼロベースのインデックスを使用します。値の範囲は 0～59 です。

パラメータ

timeZone: 結果を計算するタイムゾーン。デフォルトは UTC です。

例

ドイツのベルリンの午前 9 時 30 分以降にリクエストが送信された場合、true を返します。

request.time.getHours("Europe/Berlin") >= 9 &&
    request.time.getMinutes("Europe/Berlin") >= 30

Timestamp から月を取得します。この値はゼロから始まるインデックスを使用します。値の範囲は 0～11 です。

パラメータ

timeZone: 結果を計算するタイムゾーン。デフォルトは UTC です。

例

カリフォルニア州マウンテン ビューで 4 月にリクエストが送信された場合、true を返します。

request.time.getMonth("America/Los_Angeles") == 3

Timestamp から秒数を取得します。この値はゼロから始まるインデックスを使用します。値の範囲は 0～59 です。

パラメータ

timeZone: 結果を計算するタイムゾーン。デフォルトは UTC です。

この表の 2 つの関数の出力を比較します。

リクエストが転送ルールを作成しているかどうかを確認します。

例

compute.matchLoadBalancingSchemes() の例をご覧ください。

リクエストが、指定されたタイプのロード バランシング スキームに影響するかどうかを確認します。各ロード バランシング スキームの識別子と詳細については、Google Cloud ロードバランサでの IAM Conditions の使用をご覧ください。

パラメータ

schemes: リクエストの影響を受けるロード バランシング スキーム。

例

以下のいずれかを返します。

• リクエストが転送ルールを作成していない場合は、true を返します。
• リクエストが転送ルールを作成している場合、転送ルールが INTERNAL、INTERNAL_MANAGED、または INTERNAL_SELF_MANAGED のロード バランシング スキームに影響を与える場合にのみ、true を返します。

!compute.isForwardingRuleCreationOperation() || (
  compute.isForwardingRuleCreationOperation() &&
  compute.matchLoadBalancingSchemes([
    'INTERNAL', 'INTERNAL_MANAGED', 'INTERNAL_SELF_MANAGED'
  ])
)

リクエストパスが、指定された URL パスと等しい場合、true を返します。

request.path == "/admin"

request.path == "/admin/payroll"

リクエストパスが、指定された URL パスで始まる場合に true を返します。

request.path.startsWith("/admin")

リクエストパスが、指定された URL パスで終わる場合、true を返します。

request.path.endsWith("/payroll.js")

• Identity-Aware Proxy アプリのサービス バージョン（App Engine）: Identity-Aware Proxy を使用して App Engine または Compute Engine で実行されているウェブ アプリケーションへのアクセスをリクエストする場合に使用できます。
• Cloud Run サービス

ホスト名が、指定された値と等しい場合、true を返します。

request.host == "www.example.com"

request.host == "hr.example.com"

ホスト名が、指定された値で終わる場合、true を返します。

request.host.endsWith("example.com")

• Identity-Aware Proxy アプリのサービス バージョン（App Engine）: Identity-Aware Proxy を使用してアプリサービスのバージョンへのアクセスをリクエストする場合に使用できます。
• Cloud Run サービス