Google Cloud Storage（以下、GCS）は、オンラインストレージサービスとして、スケーラブルで信頼性の高いストレージサービスを提供しています。GCSは、データの保管、バックアップ、アーカイブ、および分析に使用されます。しかし、データセキュリティは、クラウドストレージを使用する場合に最も重要な課題の一つです。このため、GCSでは、さまざまなアクセス制御機能が提供されています。本記事では、GCSのアクセス制御について解説します。

GCSのアクセス制御

GCSでは、以下の3つのアクセス制御方法が提供されています。

• Identity and Access Management（IAM）

• Access Control Lists（ACL）

• Signed URLs and Signed Policy Documents

これらのアクセス制御機能を使用することで、GCSのバケット、オブジェクト、およびリソースに対するアクセスを制御することができます。

Identity and Access Management（IAM）

Identity and Access Management（IAM）は、GCPのリソースに対するアクセスを制御するための中心的なアクセス制御サービスです。IAMを使用することで、GCSのバケット、オブジェクト、およびリソースに対するアクセスを、ユーザーアカウント、サービスアカウント、グループ、およびロールベースのアクセス制御によって制御することができます。

IAMは、最も一般的なアクセス制御方法であり、GCPのほとんどのサービスで使用されています。IAMを使用することで、特定のバケット、オブジェクト、またはリソースに対するアクセスを許可するユーザーアカウント、サービスアカウント、グループ、またはロールを定義することができます。

Access Control Lists（ACL）

Access Control Lists（ACL）は、特定のバケットまたはオブジェクトに対するアクセスを、ユーザーまたはグループ単位で許可するためのアクセス制御方法です。ACLを使用する場合、特定のバケットまたはオブジェクトに対して、許可されたユーザーまたはグループをリストアップすることができます。

ACLは、IAMよりも簡単なアクセス制御方法であり、特定のバケットまたはオブジェクトに対するアクセスを、アクセス制御リストに追加することで許可することができます。ACLは、一部の旧式のアプリケーションやプロトコルで使用されています。

Signed URLs and Signed Policy Documents

Signed URLsとSigned Policy Documentsは、一時的なアクセスを提供するアクセス制御方法です。Signed URLsは、あらかじめ設定された期間限定のURLを使用して、特定のリソースにアクセスすることができます。Signed Policy Documentsは、あらかじめ設定されたポリシーに基づいて、特定のリソースにアクセスすることができます。

これらのアクセス制御機能は、GCSのバケット、オブジェクト、およびリソースに対するアクセスを制御するために使用されます。これらの機能は、オブジェクトにアクセスする必要がある一時的なユーザーや、バケット内のオブジェクトにアクセスする必要がある外部のシステムなどに使用されます。

IAMロール

IAMロールは、IAMを使用して、GCSのバケット、オブジェクト、およびリソースに対するアクセスを制御するためのロールです。IAMロールには、次のような種類があります。

• Storage Object Viewer：オブジェクトの読み取りとリストアクセスを許可するロール。

• Storage Object Creator：オブジェクトの作成と書き込みアクセスを許可するロール。

• Storage Object Admin：オブジェクトの作成、編集、削除、および読み取りアクセスを許可するロール。

• Storage Legacy Bucket Owner：バケットの管理アクセスを許可するロール。

• Storage Legacy Bucket Reader：バケットの読み取りアクセスを許可するロール。

• Storage Legacy Bucket Writer：バケットの書き込みアクセスを許可するロール。

これらのロールは、IAMを使用して、ユーザーアカウント、サービスアカウント、グループ、またはロールに付与することができます。IAMロールを使用することで、GCSのバケット、オブジェクト、およびリソースに対するアクセスを、細かく制御することができます。

アクセスログの設定

アクセスログは、GCSのバケットおよびオブジェクトのアクセスに関する情報を提供します。アクセスログを使用することで、誰が、いつ、どのバケットやオブジェクトにアクセスしたかを確認することができます。アクセスログは、セキュリティ監査、監査要件、および規制要件を満たすために使用されます。

アクセスログを設定するには、Google Cloud Console、Google Cloud SDK、またはGoogle Cloud Storage JSON APIを使用できます。ログは、GCSの他のオブジェクトと同様に、バケットに書き込まれます。アクセスログは、Google Cloud Storageバケットに保存されるため、これらのログにアクセスするには、ログを保存するバケットに対してIAMポリシーを設定する必要があります。

Cloud Identity and Access Management（Cloud IAM）

Cloud Identity and Access Management（Cloud IAM）は、Google Cloud Platform（GCP）のリソースに対するアクセスを制御するための中心的なアクセス制御サービスです。Cloud IAMを使用することで、GCSのバケット、オブジェクト、およびリソースに対するアクセスを、ユーザーアカウント、サービスアカウント、グループ、およびロールベースのアクセス制御によって制御することができます。

Cloud IAMは、IAMと同じくGCP全般に使用されるアクセス制御サービスであり、特定のバケット、オブジェクト、またはリソースに対するアクセスを許可するユーザーアカウント、サービスアカウント、グループ、またはロールを定義することができます。Cloud IAMは、IAMと同じく最も一般的なアクセス制御方法であり、GCPのほとんどのサービスで使用されています。

Cloud IAMを使用することで、ユーザーアカウント、サービスアカウント、グループ、またはロールを使用して、GCSのバケット、オブジェクト、およびリソースに対するアクセスを制御することができます。Cloud IAMを使用する場合、アクセス制御ポリシーを使用して、バケット、オブジェクト、またはリソースに対するアクセスを許可または拒否することができます。

まとめ

GCSのアクセス制御には、IAM、ACL、Signed URLs and Signed Policy Documentsの3つの方法があります。これらのアクセス制御方法を使用することで、GCSのバケット、オブジェクト、およびリソースに対するアクセスを制御することができます。IAMロールを使用することで、ユーザーアカウント、サービスアカウント、グループ、またはロールを使用して、細かくGCSのバケット、オブジェクト、およびリソースに対するアクセスを制御することができます。アクセスログを設定することで、GCSのバケットおよびオブジェクトのアクセスに関する情報を確認することができます。

これらのアクセス制御方法を使用することで、セキュリティを向上させ、コストを節約し、GCSのバケット、オブジェクト、およびリソースに対するアクセスを制御することができます。GCSのアクセス制御は、GCPの他のサービスと同様に、非常に重要なセキュリティ要件の1つです。適切に設定することで、データの機密性と完全性を保護することができます。

コマンド例

ここでは、GCSのアクセス制御に関連するコマンドの例を示します。

バケットのACLを設定する

gsutil acl set private gs://my-bucket

オブジェクトのACLを設定する

gsutil acl ch -u user@example.com:WRITE gs://my-bucket/my-object

Signed URLを生成する

gsutil signurl -d 1h path/to/keyfile.json gs://my-bucket/my-object

Signed Policy Documentを生成する

gsutil signurl -p path/to/policy.json path/to/keyfile.json gs://my-bucket

IAMロールを設定する

gcloud projects add-iam-policy-binding my-project \
    --member user:user@example.com \
    --role roles/storage.objectViewer

アクセスログを設定する

gsutil logging set on gs://my-bucket

おわりに

GCSのアクセス制御には、多くの方法がありますが、それぞれの方法には長所と短所があります。IAM、ACL、Signed URLs and Signed Policy Documentsは、GCSのアクセス制御に広く使用されています。これらの方法を使用することで、GCSのバケット、オブジェクト、およびリソースに対するアクセスを細かく制御し、セキュリティを向上させることができます。

GCSのアクセス制御は、GCPの他のサービスと同様に、非常に重要なセキュリティ要件の1つです。アクセス制御を適切に設定することで、データの機密性と完全性を保護することができます。また、アクセス制御を適切に設定することで、コストを節約することもできます。

この記事を通じて、GCSのアクセス制御に関する基本的な知識を習得し、GCSのバケット、オブジェクト、およびリソースに対するアクセスを制御する方法を学びました。

以下の職種を募集しております。もし興味がございましたらご連絡ください