google-app-engine - Google クラウド リソースにアクセスするための App Engine 認証

Question

1. プロジェクトに（IAMページから）登録したユーザーがそのプロジェクトのリソースにアクセスできるアプリを構築しています。URLがヒットしたときの認証が必要です。これを達成する方法はありますか？

2. IAM レベルのアクセス許可に基づいてリソースにアクセスするために、ユーザー リクエストに固有の IAM ロールを提供することはできますか (ユーザーがメール ID を使用してログインすると仮定)。

Answer 1

あなたの言葉遣いから、あなたは GCP プロジェクトの管理タスクをより権限の低い管理者に抽象化しようとしていると思います。

質問 1 と 2 は、事前に構築されたロールを使用して IAM で権限を定義するか、より具体的にする必要がある場合はカスタム ロールを作成することで、すぐに解決できます。これにより、GSuite、GMail、Google グループのアカウントを使用してconsole.cloud.google.comにサインインさせることができます。その結果、ユーザーは、IAM で割り当てられたもののみを表示し、それに基づいて行動することができます。

それでも自分で構築したい場合は、すべての製品が認証を含む API を提供しています。ユース ケースのベスト プラクティスは、個々のユーザーにリソースへのアクセス権を割り当てる代わりに、サービス アカウントを作成して、ユーザーがそのサービス アカウントを呼び出せるようにすることです。この GCP には、公式ドキュメントで詳しく説明されているService Account Actor Roleがあり、また、Salmaan Rashid はmedium に関する優れた実用的な洞察を提供しています。