上り（内向き）ルールと下り（外向き）ルールで IAM ロールを構成する

Console

Google Cloud コンソールを使用してサービス境界の上り（内向き）ポリシーを更新する場合、または境界の作成時に上り（内向き）ポリシーを設定する場合は、IAM ロールを使用するように上り（内向き）ルールを構成できます。

1. コンソールで境界を作成するとき、または境界を編集するときに、[上り（内向き）ポリシー] を選択します。 Google Cloud

2. [上り（内向き）ルール] ペインで、既存の上り（内向き）ルールを選択するか、[上り（内向き）ルールを追加] をクリックします。

3. 上り（内向き）ポリシーの [宛先] セクションで、[オペレーションまたは IAM ロール] リストから [IAM ロールの選択（プレビュー）] を選択します。

4. [IAM ロールを追加] をクリックします。

5. [IAM ロールを追加] ペインで、許可する IAM ロールを選択します。

   サポートされているサービスとロールについては、サポートされているプロダクトをご覧ください。

6. [選択した IAM ロールを追加] をクリックします。

7. [完了] をクリックします。

他の上り（内向き）ルール属性については、上り（内向き）ルールのリファレンスをご覧ください。

gcloud

JSON ファイルまたは YAML ファイルを使用して、IAM ロールを使用する上り（内向き）ルールを構成できます。次のサンプルでは、YAML 形式を使用します。

- ingressFrom:
    identityType: ANY_IDENTITY | ANY_USER_ACCOUNT | ANY_SERVICE_ACCOUNT
    *OR*
    identities:
    - PRINCIPAL_IDENTIFIER
    sources:
    - resource: RESOURCE
      *OR*
    - accessLevel: ACCESS_LEVEL
  ingressTo:
    operations:
    - serviceName: SERVICE_NAME
      methodSelectors:
      - method: METHOD_NAME
    *OR*
    roles:
    - ROLE_NAME
    resources:
    - projects/PROJECT_NUMBER

ROLE_NAME は、ルールで指定されたサービスのアクセス範囲を定義する IAM ロールに置き換えます。サービスへのアクセスに必要なすべての権限を含む単一のロールまたはロールの組み合わせを指定します。ロールを指定するには、ロール コンポーネントで説明されているロール名の形式を使用します（projects/PROJECT_ID/roles/IDENTIFIER 形式を除く）。

サポートされているサービスとロールについては、サポートされているプロダクトをご覧ください。

他の上り（内向き）ルール属性については、上り（内向き）ルールのリファレンスをご覧ください。

既存の上り（内向き）ルールを更新して IAM ロールを構成した後、サービス境界のルールポリシーを更新する必要があります。

gcloud access-context-manager perimeters update PERIMETER_ID --set-ingress-policies=RULE_POLICY.yaml

次のように置き換えます。

• PERIMETER_ID: 更新するサービス境界の ID。
• RULE_POLICY: 変更された上り（内向き）ルールファイルのパス。

詳細については、サービス境界の上り（内向き）ポリシーと下り（外向き）ポリシーの更新をご覧ください。

Console

Google Cloud コンソールを使用してサービス境界の下り（外向き）ポリシーを更新する場合、または境界の作成時に下り（外向き）ポリシーを設定する場合は、IAM ロールを使用するように下り（外向き）ルールを構成できます。

1. コンソールで境界を作成するとき、または境界を編集するときに、[下り（外向き）ポリシー] を選択します。 Google Cloud

2. [下り（外向き）ルール] ペインで、既存の下り（外向き）ルールを選択するか、[下り（外向き）ルールを追加] をクリックします。

3. 下り（外向き）ポリシーの [宛先] セクションで、[オペレーションまたは IAM ロール] リストから [IAM ロールを選択（プレビュー）] を選択します。

4. [IAM ロールを追加] をクリックします。

5. [IAM ロールを追加] ペインで、許可する IAM ロールを選択します。

   サポートされているサービスとロールについては、サポートされているプロダクトをご覧ください。

6. [選択した IAM ロールを追加] をクリックします。

7. [完了] をクリックします。

他の下り（外向き）ルール属性については、下り（外向き）ルールのリファレンスをご覧ください。

gcloud

JSON ファイルまたは YAML ファイルを使用して、IAM ロールを使用する下り（外向き）ルールを構成できます。次のサンプルでは、YAML 形式を使用します。

- egressTo:
    operations:
    - serviceName: SERVICE_NAME
      methodSelectors:
      - method: METHOD_NAME
    *OR*
    roles:
    - ROLE_NAME
    resources:
    - projects/PROJECT_NUMBER
  egressFrom:
    identityType: ANY_IDENTITY | ANY_USER_ACCOUNT | ANY_SERVICE_ACCOUNT
    *OR*
    identities:
    - PRINCIPAL_IDENTIFIER
    sources:
    - resource: RESOURCE
      *OR*
    - accessLevel: ACCESS_LEVEL
    sourceRestriction: RESTRICTION_STATUS

ROLE_NAME は、ルールで指定されたサービスのアクセス範囲を定義する IAM ロールに置き換えます。サービスへのアクセスに必要なすべての権限を含む単一のロールまたはロールの組み合わせを指定します。ロールを指定するには、ロール コンポーネントで説明されているロール名の形式を使用します（projects/PROJECT_ID/roles/IDENTIFIER 形式を除く）。

サポートされているサービスとロールについては、サポートされているプロダクトをご覧ください。

他の下り（外向き）ルール属性については、下り（外向き）ルールのリファレンスをご覧ください。

既存の下り（外向き）ルールを更新して IAM ロールを構成した後、サービス境界のルールポリシーを更新する必要があります。

gcloud access-context-manager perimeters update PERIMETER_ID --set-egress-policies=RULE_POLICY.yaml

次のように置き換えます。

• PERIMETER_ID: 更新するサービス境界の ID。
• RULE_POLICY: 変更された下り（外向き）ルールファイルのパス。

詳細については、サービス境界の上り（内向き）ポリシーと下り（外向き）ポリシーの更新をご覧ください。