このページは Cloud Translation API によって翻訳されました。

IAM のロールと権限

このドキュメントでは、Workload Manager 評価を使用することと、評価を実行するための Workload Manager サービスアカウントを自動的に作成するために、さまざまなプロジェクトで必要なロールと権限について説明します。

Workload Manager プロジェクト

Workload Manager の評価では、複数のプロジェクト（ターゲットプロジェクト）のリソースがスキャンされますが、評価はコンシューマプロジェクトと呼ばれる 1 つのプロジェクトにのみ保存されます。

コンシューマプロジェクトを使用して、Google Cloud コンソールで Workload Manager にアクセスし、評価を作成して実行します。 Google Cloud コンソールを使用して評価を作成する場合は、ワークフローの [評価スコープ] セクションで、評価するリソースを保持するターゲットプロジェクトを指定します。

評価するリソースが Workload Manager 評価を作成するプロジェクトと同じプロジェクトにある場合、コンシューマプロジェクトもターゲットプロジェクトの 1 つと見なされます。

評価の作成と実行に必要な権限の概要

次の表に、Workload Manager を使用して評価を作成して実行するために、コンシューマプロジェクトとターゲットプロジェクトのユーザーに必要な権限を示します。必要な権限を取得するには、必要な権限を含むロールを付与するよう管理者に依頼するか、カスタムロールを作成します。

アクション	コンシューマープロジェクト	ターゲットプロジェクト
Workload Manager API を有効にする	権限: `serviceusage.services.enable` 権限を含む事前定義ロール: `roles/serviceusage.serviceUsageAdmin`	なし
評価を作成	1. サービスアカウントを作成する権限: `resourcemanager.projects.setIamPolicy` 権限を含む事前定義ロール: `roles/resourcemanager.projectIamAdmin` 最初の評価を作成する場合にのみ必要です。 2. 評価の作成権限を付与する事前定義ロール: `roles/workloadmanager.evaluationAdmin`	サービスアカウントを作成する権限: `resourcemanager.projects.setIamPolicy` 権限を含む事前定義ロール: `roles/resourcemanager.projectIamAdmin` 最初の評価を作成する場合にのみ必要です。
評価を実行する	権限: `workloadmanager.evaluations.run` 権限を含む事前定義ロール: `roles/workloadmanager.evaluationAdmin`	なし
評価の結果を表示する	権限: `workloadmanager.results.list` `roles/workloadmanager.evaluationAdmin` `roles/workloadmanager.evaluationViewer`	なし

Workload Manager サービスエージェント

Workload Manager は、サービスエージェントを使用して、リソースと関連プロジェクト間のアクセスと通信を制御します。

Google Cloud console または Workload Manager API を使用してワークロードを評価できます。 Google Cloud consoleを使用すると、Workload Manager は必要なすべてのサービスエージェントを自動的に作成します。Workload Manager API を使用する場合は、サービスエージェントを手動で作成する必要があります。

必要なロール

サービスエージェントの作成に必要な権限を取得するには、スコープ内の各ターゲットプロジェクトに対するプロジェクト IAM 管理者（roles/resourcemanager.projectIamAdmin）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

この事前定義ロールには、サービスエージェントを作成するために必要な resourcemanager.projects.setIamPolicy 権限が含まれています。

カスタムロールや他の事前定義ロールを使用して、この権限を取得することもできます。

ロールを作成してサービスエージェントに付与する

Google Cloud コンソール

Google Cloud console を使用してワークロードを評価すると、Workload Manager はコンシューマプロジェクトにサービスエージェントを自動的に作成します。

このサービスエージェントのメールアドレスは service-PROJECT_NUMBER@gcp-sa-workloadmanager.iam.gserviceaccount.com で、Workload Manager サービスアカウントと呼ばれます。

Workload Manager サービスエージェントが評価を実行するには、次のロールが必要です。プロンプトが表示されたら、これらのロールをサービスエージェントに付与します。

Workload Manager サービスエージェント（roles/workloadmanager.serviceAgent）: 移行先のプロジェクトで必要です。
Workload Manager ワーカー（roles/workloadmanager.worker）: 評価の頻度を設定した場合にのみ、コンシューマプロジェクトで必要です。

Workload Manager API

Workload Manager API を使用してワークロードを評価する場合は、評価を作成する前に、コンシューマプロジェクトに Workload Manager サービスエージェントを手動で作成する必要があります。サービスエージェントを作成するには、gcloud beta services identity create コマンドを使用します。

  gcloud beta services identity create --service=workloadmanager.googleapis.com  \
      --project=PROJECT_NUMBER

PROJECT_NUMBER は、サービスエージェントを作成するコンシューマプロジェクトの数値 ID に置き換えます。

サービスエージェントを作成したら、サービスエージェントに次のロールを付与する必要があります。

Workload Manager サービスエージェント（roles/workloadmanager.serviceAgent）: 移行先のプロジェクトで必要です。
Workload Manager ワーカー（roles/workloadmanager.worker）: 評価の頻度を設定した場合にのみ、コンシューマプロジェクトで必要です。

詳細については、サービスエージェントにロールを付与するをご覧ください。

Workload Manager のその他のロール

Workload Manager の評価とリソースへのアクセスをさらに制御するには、ユーザーに追加の Workload Manager ロールが必要です。

詳細については、Workload Manager: IAM によるアクセス制御をご覧ください。

次のステップ

評価を作成して実行する