プリンシパル アクセス境界ポリシーを削除する

プリンシパル アクセス境界（PAB）ポリシーを使用すると、一連のプリンシパルがアクセスできるリソースを制限できます。プリンシパル セットにプリンシパル アクセス境界ポリシーを適用する必要がなくなった場合は、ポリシーをプリンシパル セットにバインドするポリシー バインディングを削除できます。プリンシパル アクセス境界ポリシーを、バインドされているすべてのプリンシパル セットから削除するには、ポリシーを削除します。

プリンシパル セットからプリンシパル アクセス境界ポリシーを削除すると、次のいずれかの効果があります。

• プリンシパル セット内のプリンシパルが他のプリンシパル アクセス境界ポリシーの対象でない場合、すべての Google Cloud リソースにアクセスできます。
• プリンシパル セット内のプリンシパルが他のプリンシパル アクセス境界ポリシーの対象となる場合、それらのプリンシパルは、それらのポリシー内のリソースにのみアクセスできます。

始める前に

• 認証を設定します。

  Select the tab for how you plan to use the samples on this page:

  gcloud

  In the Google Cloud console, activate Cloud Shell.

  Activate Cloud Shell

  At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

  REST

  このページの REST API サンプルをローカル開発環境で使用するには、gcloud CLI に指定した認証情報を使用します。

  Install the Google Cloud CLI, then initialize it by running the following command:

  gcloud init

  詳細については、Google Cloud 認証ドキュメントの REST を使用して認証するをご覧ください。

• プリンシパル アクセス境界ポリシーの概要を確認します。

プリンシパル アクセス境界ポリシーの削除に必要なロール

プリンシパル アクセス境界ポリシーの削除に必要な権限を取得するため、組織に対するプリンシパル アクセス境界管理者（roles/iam.principalAccessBoundaryAdmin）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

この事前定義ロールには、プリンシパル アクセス境界ポリシーの削除に必要な iam.principalaccessboundarypolicies.delete 権限が含まれています。

カスタムロールや他の事前定義ロールを使用して、この権限を取得することもできます。

プリンシパル アクセス境界ポリシー バインディングの削除に必要なロール

プリンシパル アクセス境界ポリシーのポリシー バインディングを削除するために必要な権限は、ポリシーにバインドされているプリンシパル セットによって異なります。

プリンシパル アクセス境界ポリシーのポリシー バインディングを削除するために必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼します。

• 組織に対するプリンシパル アクセス境界ユーザー（roles/iam.principalAccessBoundaryUser）
• Workforce Identity 連携プールにバインドされているプリンシパル アクセス境界ポリシーのポリシー バインディングを削除する: 対象の Workforce Identity 連携プールに対する IAM Workforce プール管理者（roles/iam.workforcePoolAdmin）
• Workload Identity 連携プールにバインドされたプリンシパル アクセス境界ポリシーのポリシー バインディングを削除する: 対象の Workforce Identity 連携プールを所有するプロジェクトに対する IAM Workload Identity プール管理者（roles/iam.workloadIdentityPoolAdmin）
• Google Workspace ドメインにバインドされたプリンシパル アクセス境界ポリシーのポリシー バインディングを削除する: 組織に対する Workspace プール IAM 管理者（roles/iam.workspacePoolAdmin）
• プロジェクトのプリンシパル セットにバインドされているプリンシパル アクセス境界ポリシーのポリシー バインディングを削除する: プロジェクトに対するプロジェクト IAM 管理者（roles/resourcemanager.projectIamAdmin）
• フォルダのプリンシパル セットにバインドされているプリンシパル アクセス境界ポリシーのポリシー バインディングを削除する: フォルダに対するフォルダ IAM 管理者（roles/resourcemanager.folderIamAdmin）
• 組織のプリンシパル セットにバインドされているプリンシパル アクセス境界ポリシーのポリシー バインディングを削除する: 組織に対する組織管理者（roles/resourcemanager.organizationAdmin）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

これらの事前定義ロールには、プリンシパル アクセス境界ポリシーのポリシー バインディングを削除するために必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

プリンシパル アクセス境界ポリシーの削除を準備する

プリンシパル アクセス境界ポリシーを削除する前に、達成する次の目標のいずれかを決定します。

• プリンシパルセット内のプリンシパルがすべてのリソースにアクセスできるようにする
• プリンシパルセット内のプリンシパルがアクセスできるリソースの数を減らす

以降のセクションでは、これらの目標を達成するために必要な手順について説明します。

プリンシパルがすべてのリソースにアクセスできるようにする

プリンシパル セット内のプリンシパルにすべてのリソースへのアクセス権を付与するには、次の操作を行います。

1. プリンシパル セットにバインドされているすべてのプリンシパル アクセス境界ポリシーを特定します。
2. 関連するポリシー バインディングを削除して、プリンシパル セットにバインドされているすべてのプリンシパル アクセス境界ポリシーを削除します。

プリンシパルがプリンシパル アクセス境界ポリシーの対象でない場合、プリンシパルはすべての Google Cloud リソースにアクセスできます。

リソースにアクセスする資格があるからといって、ユーザーがリソースにアクセスできるとは限りません。詳細については、ポリシーの評価をご覧ください。

プリンシパルがアクセスできるリソースを減らす

プリンシパル セット内のプリンシパルが複数のプリンシパル アクセス境界ポリシーの対象となる場合は、プリンシパルが対象となるプリンシパル アクセス境界ポリシーを 1 つ以上削除することで、プリンシパルがアクセスできるリソースの数を減らすことができます。ただし、プリンシパルが適用されるプリンシパル アクセス境界ポリシーをすべて削除しないでください。削除すると、プリンシパルはすべての Google Cloud リソースにアクセスできるようになります。

プリンシパル セット内のプリンシパルが常に 1 つ以上のプリンシパル アクセス境界ポリシーの対象となるようにしながら、プリンシパル アクセス境界ポリシーを削除する手順は次のとおりです。

1. プリンシパル セットにバインドされているすべてのプリンシパル アクセス境界ポリシーを特定します。

2. プリンシパル セット内のプリンシパルがアクセスできるようにするリソースのみを含むプリンシパル アクセス境界ポリシーを特定します。これらは、プリンシパル セットから削除しないポリシーです。

   このようなポリシーがない場合は、プリンシパルがアクセスできるようにするリソースのみを含む新しいプリンシパル アクセス境界ポリシーを作成します。次に、プリンシパル セットにポリシーを接続します。

3. プリンシパル セット内のプリンシパルがアクセスできないようにするリソースを含むプリンシパル アクセス境界ポリシーを特定します。次に、関連するポリシー バインディングを削除して、これらのプリンシパル アクセス境界ポリシーを削除します。

   特定のプリンシパルのアクセス権を制限する場合は、ポリシー バインディングを削除するのではなく、条件を追加します。

プリンシパルがアクセスできるリソースの数を減らしたいが、プリンシパル アクセス境界ポリシーを削除したくない場合は、プリンシパルが適用されるプリンシパル アクセス境界ポリシーを変更します。プリンシパル アクセス境界ポリシーを変更する方法については、プリンシパル アクセス境界ポリシーを編集するをご覧ください。

プリンシパル セットからプリンシパル アクセス境界ポリシーを削除する

プリンシパル セットからプリンシパル アクセス境界ポリシーを削除する前に、まずポリシーの削除を準備します。次に、ポリシーをプリンシパル セットにバインドするポリシー バインディングを削除して、ポリシーを削除します。

ポリシー バインディングは、Google Cloud コンソール、gcloud CLI、または IAM REST API を使用して削除できます。

gcloud beta iam policy-bindings delete BINDING_ID \
    --RESOURCE_TYPE=RESOURCE_ID --location=global

gcloud beta iam policy-bindings delete BINDING_ID `
    --RESOURCE_TYPE=RESOURCE_ID --location=global

gcloud beta iam policy-bindings delete BINDING_ID ^
    --RESOURCE_TYPE=RESOURCE_ID --location=global

Delete request issued for: [example-binding]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374724030-6181fcd1520c5-d21b0a12-b704e1ce] to complete...done.
Deleted policyBinding [example-binding].

DELETE https://iam.googleapis.com/v3beta/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3beta/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3beta/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID" | Select-Object -Expand Content

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3beta.OperationMetadata",
    "createTime": "2024-05-10T20:33:11.165728913Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-binding",
    "verb": "delete",
    "requestedCancellation": false,
    "apiVersion": "v3beta"
  },
  "done": false
}

プリンシパル アクセス境界ポリシーを削除する

プリンシパル アクセス境界ポリシーを削除する前に、プリンシパル アクセス境界ポリシーを参照するすべてのプリンシパル アクセス境界ポリシー バインディングを特定して削除することをおすすめします。

既存のポリシー バインディングを含むプリンシパル アクセス境界ポリシーを削除すると、それらのバインディングは最終的に削除されます。ただし、削除されるまで、ポリシー バインディングは、単一のプリンシパル セットを参照できる 10 個のバインディングの上限にカウントされます。

プリンシパル アクセス境界ポリシーは、Google Cloud コンソール、gcloud CLI、または IAM REST API を使用して削除できます。

gcloud beta iam principal-access-boundary-policies delete PAB_POLICY_ID \
    --organization=ORG_ID --location=global FORCE_FLAG

gcloud beta iam principal-access-boundary-policies delete PAB_POLICY_ID `
    --organization=ORG_ID --location=global FORCE_FLAG

gcloud beta iam principal-access-boundary-policies delete PAB_POLICY_ID ^
    --organization=ORG_ID --location=global FORCE_FLAG

Delete request issued for: [example-policy]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374811191-6181fd2471ab4-f0947406-85778c43] to complete...
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374811191-6181fd2471ab4-f0947406-85778c43] to complete...done.
Deleted principalAccessBoundaryPolicy [example-policy].

DELETE https://iam.googleapis.com/v3beta/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3beta/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3beta/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE" | Select-Object -Expand Content

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3beta.OperationMetadata",
    "createTime": "2024-05-10T20:33:11.165728913Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-policy",
    "verb": "delete",
    "requestedCancellation": false,
    "apiVersion": "v3beta"
  },
  "done": false
}

次のステップ

• プリンシパル アクセス境界ポリシーの作成と適用
• プリンシパル アクセス境界ポリシーを表示する
• プリンシパル アクセス境界ポリシーを編集する