このドキュメントでは、Workload Manager の評価を使用し、評価を実行するための Workload Manager サービス アカウントを自動的に作成するために、さまざまなプロジェクトで必要なロールと権限について説明します。
Workload Manager プロジェクト
Workload Manager の評価では、ターゲット プロジェクトと呼ばれる複数のプロジェクトにわたってリソースがスキャンされますが、評価はコンシューマー プロジェクトと呼ばれる 1 つのプロジェクトにのみ保存されます。
コンシューマー プロジェクトを使用して、Google Cloud コンソールで Workload Manager にアクセスし、評価を作成して実行します。 Google Cloud コンソールを使用して評価を作成する場合は、ワークフローの [評価範囲] セクションで、評価するリソースを保持するターゲット プロジェクトを指定します。
評価するリソースが Workload Manager 評価を作成するプロジェクトと同じプロジェクトにある場合、コンシューマー プロジェクトもターゲット プロジェクトの 1 つと見なされます。
評価の作成と実行に必要な権限の概要
次の表に、Workload Manager を使用して評価を作成して実行するために、コンシューマー プロジェクトとターゲット プロジェクトのユーザーに必要な権限の概要を示します。必要な権限を取得するには、必要な権限を含むロールを付与するか、カスタムロールを作成するよう管理者に依頼してください。
| アクション | コンシューマー プロジェクト | ターゲット プロジェクト |
|---|---|---|
| Workload Manager API を有効にする |
権限: serviceusage.services.enable権限を含む事前定義ロール: roles/serviceusage.serviceUsageAdmin
|
なし |
| 評価を作成 |
サービス アカウントを作成する権限: resourcemanager.projects.setIamPolicy権限を含む事前定義ロール: roles/resourcemanager.projectIamAdmin
最初の評価を作成する場合にのみ必要です。
評価の作成権限を付与する事前定義ロール:
アラート通知の作成権限を付与する事前定義ロール: カスタムルールを使用して評価を作成するには、次の追加の権限が必要です。 Cloud Asset Inventory データの読み取り権限を付与する事前定義ロール: Cloud Storage バケットに保存されているルールを読み取る権限を付与する事前定義ロール: 評価結果を BigQuery データセットに書き込む権限を付与する事前定義ロール: |
サービス アカウントを作成する権限: resourcemanager.projects.setIamPolicy権限を含む事前定義ロール: roles/resourcemanager.projectIamAdmin
最初の評価を作成する場合にのみ必要です。 |
| 評価を実行する |
権限: workloadmanager.evaluations.run権限を含む事前定義ロール: roles/workloadmanager.evaluationAdmin
|
なし |
| 評価の結果を表示する |
権限: workloadmanager.results.list権限を含む事前定義ロール: roles/workloadmanager.evaluationAdminまたは roles/workloadmanager.evaluationViewer |
なし |
Workload Manager サービス エージェント
Workload Manager は、サービス エージェントを使用して、リソースと関連するプロジェクト間のアクセスと通信を制御します。
Google Cloud console または Workload Manager API を使用してワークロードを評価できます。 Google Cloud consoleを使用すると、Workload Manager は必要なすべてのサービス エージェントを自動的に作成します。Workload Manager API を使用する場合は、サービス エージェントを手動で作成する必要があります。
必要なロール
サービス エージェントの作成に必要な権限を取得するには、スコープ内の各ターゲット プロジェクトに対するプロジェクト IAM 管理者 （roles/resourcemanager.projectIamAdmin）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。
この事前定義ロールには、サービス エージェントの作成に必要な resourcemanager.projects.setIamPolicy 権限が含まれています。
カスタムロールや他の事前定義ロールを使用して、この権限を取得することもできます。
ロールを作成してサービス エージェントに付与する
Google Cloud コンソール
Google Cloud console を使用してワークロードを評価する場合、Workload Manager はコンシューマー プロジェクトにサービス エージェントを自動的に作成します。
このサービス エージェントのメールアドレスは service-PROJECT_NUMBER@gcp-sa-workloadmanager.iam.gserviceaccount.com で、Workload Manager サービス アカウントと呼ばれます。
Workload Manager サービス エージェントが評価を実行するには、次のロールが必要です。プロンプトが表示されたら、これらのロールをサービス エージェントに付与します。
- Workload Manager サービス エージェント（
roles/workloadmanager.serviceAgent）: 移行先のプロジェクトで必要です。 - Workload Manager ワーカー（
roles/workloadmanager.worker）: 評価の頻度を設定する場合にのみ、コンシューマー プロジェクトで必要です。
Workload Manager API
Workload Manager API を使用してワークロードを評価する場合は、評価を作成する前に、コンシューマー プロジェクトで Workload Manager サービス エージェントを手動で作成する必要があります。サービス エージェントを作成するには、gcloud beta services identity create コマンドを使用します。
gcloud beta services identity create --service=workloadmanager.googleapis.com \
--project=PROJECT_NUMBER
PROJECT_NUMBER は、サービス エージェントを作成するコンシューマー プロジェクトの数値 ID に置き換えます。
サービス エージェントを作成したら、サービス エージェントに次のロールを付与する必要があります。
- Workload Manager サービス エージェント（
roles/workloadmanager.serviceAgent）: 移行先のプロジェクトで必要です。 - Workload Manager ワーカー（
roles/workloadmanager.worker）: 評価の頻度を設定する場合にのみ、コンシューマー プロジェクトで必要です。
詳細については、サービス エージェントにロールを付与するをご覧ください。
Workload Manager のその他のロール
Workload Manager の評価とリソースへのアクセスをさらに制御するには、追加の Workload Manager ロールが必要です。
詳細については、Workload Manager: IAM によるアクセス制御をご覧ください。