<h1 id="%E3%81%BE%E3%81%88%E3%81%8C%E3%81%8D" data-line="0" class="code-line">
<a class="header-anchor-link" href="#%E3%81%BE%E3%81%88%E3%81%8C%E3%81%8D" aria-hidden="true"></a> まえがき</h1>
<p data-line="2" class="code-line">昨今Google Cloud Platform(GCP)はjsonやP12でサービスキーを新規で生成してくれません。それはセキュリティ上正しいので、今後はサーバに鍵を置かないカタチにしていきたいです。</p>
<p data-line="4" class="code-line">しかし、たまたまGCPのPJTを変更したときとか、json管理が曖昧で洗い替えしたい時とか、さすがに、あちこちのコードを直す手間とか検証は無理というときがありますね？</p>
<h1 id="%E3%82%AA%E3%83%BC%E3%83%8A%E3%83%BC%E3%81%A7%E3%82%82%E3%83%80%E3%83%A1%E3%80%82%E7%B5%84%E7%B9%94%E7%AE%A1%E7%90%86%E8%80%85%E3%81%A7%E3%82%82%E3%83%80%E3%83%A1%E3%80%82" data-line="6" class="code-line">
<a class="header-anchor-link" href="#%E3%82%AA%E3%83%BC%E3%83%8A%E3%83%BC%E3%81%A7%E3%82%82%E3%83%80%E3%83%A1%E3%80%82%E7%B5%84%E7%B9%94%E7%AE%A1%E7%90%86%E8%80%85%E3%81%A7%E3%82%82%E3%83%80%E3%83%A1%E3%80%82" aria-hidden="true"></a> オーナーでもダメ。組織管理者でもダメ。</h1>
<p data-line="8" class="code-line">GCPのコンソールでロールをさがしても見つかりません。そうなんです、余程のことをしないと、もはや許可してくれません。</p>
<h2 id="gcloud%E3%81%A7%E5%88%B6%E9%99%90%E3%82%92%E8%A7%A3%E9%99%A4%E3%81%99%E3%82%8B%E6%89%8B%E9%A0%86" data-line="10" class="code-line">
<a class="header-anchor-link" href="#gcloud%E3%81%A7%E5%88%B6%E9%99%90%E3%82%92%E8%A7%A3%E9%99%A4%E3%81%99%E3%82%8B%E6%89%8B%E9%A0%86" aria-hidden="true"></a> gcloudで制限を解除する手順</h2>
<ol data-line="11" class="code-line">
<li data-line="11" class="code-line">ログイン確認</li>
<li data-line="12" class="code-line">プロジェクト設定</li>
<li data-line="13" class="code-line">組織IDの確認</li>
<li data-line="14" class="code-line">ポリシー一覧</li>
<li data-line="15" class="code-line">Policy Adminロール追加</li>
<li data-line="16" class="code-line">削除実行</li>
</ol>
<h1 id="gcloud%E3%82%B3%E3%83%9E%E3%83%B3%E3%83%89%E3%81%A7%E3%80%81%E7%B5%84%E7%B9%94%E7%AE%A1%E7%90%86%E8%80%85%E3%81%8C%E3%80%81%E3%82%A2%E3%82%AB%E3%82%A6%E3%83%B3%E3%83%88%E3%82%92%E8%A8%B1%E5%8F%AF%E3%81%99%E3%82%8B" data-line="18" class="code-line">
<a class="header-anchor-link" href="#gcloud%E3%82%B3%E3%83%9E%E3%83%B3%E3%83%89%E3%81%A7%E3%80%81%E7%B5%84%E7%B9%94%E7%AE%A1%E7%90%86%E8%80%85%E3%81%8C%E3%80%81%E3%82%A2%E3%82%AB%E3%82%A6%E3%83%B3%E3%83%88%E3%82%92%E8%A8%B1%E5%8F%AF%E3%81%99%E3%82%8B" aria-hidden="true"></a> gcloudコマンドで、組織管理者が、アカウントを許可する</h1>
<p data-line="20" class="code-line">まずは、ログインを確認します。</p>
<div class="code-block-container"><pre><code class="code-line" data-line="22">PS C:\Users\_____&gt; gcloud auth list
        Credentialed Accounts
ACTIVE  ACCOUNT
*       dokokade@desu.yo
        ironna@gmail.toka.ne

To set the active account, run:
    $ gcloud config set account `ACCOUNT`
</code></pre></div><p data-line="33" class="code-line">なければログインします。</p>
<div class="code-block-container"><pre><code class="code-line" data-line="35">PS C:\Users\_____&gt; gcloud auth login konnkaino@meateno.aka.unto
Your browser has been opened to visit:

    https://accounts.google.com/o/oauth2/auth?respo...


You are now logged in as [konnkaino@meateno.aka.unto].
Your current project is [nanikano_pjt].  You can change this setting by running:
  $ gcloud config set project PROJECT_ID
</code></pre></div><p data-line="47" class="code-line">今一度<code>gcloud auth list</code>なんかで確認しちゃったりして</p>
<p data-line="49" class="code-line">今の設定を確認します。</p>
<div class="code-block-container"><pre><code class="code-line" data-line="51">PS C:\Users\_____&gt; gcloud config list
[accessibility]
screen_reader = False
[compute]
region = asia-northeast1
zone = asia-northeast1-b
[core]
account = konnkaino@meateno.aka.unto
disable_usage_reporting = True
project = nanikano_pjt

Your active configuration is: [default]
</code></pre></div><p data-line="66" class="code-line">プロジェクトを変えます。</p>
<div class="code-block-container"><pre><code class="code-line" data-line="68">PS C:\Users\_____&gt; gcloud config set project kottino_pjt
Updated property [core/project].
</code></pre></div><p data-line="73" class="code-line">確認します。</p>
<div class="code-block-container"><pre><code class="code-line" data-line="75">PS C:\Users\_____&gt; gcloud config list
[accessibility]
screen_reader = False
[compute]
region = asia-northeast1
zone = asia-northeast1-b
[core]
account = konnkaino@meateno.aka.unto
disable_usage_reporting = True
project = kottino_pjt

Your active configuration is: [default]
</code></pre></div><p data-line="90" class="code-line">自分のところの組織IDを確認します。</p>
<div class="code-block-container"><pre><code class="code-line" data-line="92">PS C:\Users\_____&gt; gcloud organizations list
DISPLAY_NAME             ID  DIRECTORY_CUSTOMER_ID
meateno.so.siki  13*********9              C0******b
</code></pre></div><p data-line="98" class="code-line">目当ての組織IDで、ポリシーを確認します。</p>
<div class="code-block-container"><pre><code class="code-line" data-line="100">PS C:\Users\_____&gt; gcloud resource-manager org-policies list --organization=13*********9
CONSTRAINT                                                      LIST_POLICY  BOOLEAN_POLICY  ETAG
constraints/compute.setNewProjectDefaultToZonalDNSOnly          -            SET             C**************B
constraints/essentialcontacts.allowedContactDomains             SET          -               C**************B
constraints/iam.allowedPolicyMemberDomains                      SET          -               C**************B
constraints/iam.disableServiceAccountKeyUpload                  -            SET             C**************B
constraints/iam.disableServiceAccountKeyCreation                -            SET             C**************B
constraints/iam.automaticIamGrantsForDefaultServiceAccounts     -            SET             C**************B
constraints/storage.uniformBucketLevelAccess                    -            SET             C**************B
constraints/compute.restrictProtocolForwardingCreationForTypes  SET          -               C**************B
PS C:\Users\_____&gt; gcloud org-policies delete constraints/iam.disableServiceAccountKeyCreation \
ERROR: (gcloud.org-policies.delete) unrecognized arguments: \

To search the help text of gcloud commands, run:
  gcloud help -- SEARCH_TERMS
</code></pre></div><p data-line="118" class="code-line">このような感じで、ポリシーの設定が分かります。<br>
<code>disableServiceAccountKeyCreation</code>が、今回のサービスキーを作ってくれないソレです。</p>
<p data-line="122" class="code-line">で、ここで自分の組織アカウントに、 <strong>ポリシー管理者</strong> を追加します。</p>
<div class="code-block-container"><pre><code class="code-line" data-line="124">PS C:\Users\_____&gt; gcloud organizations add-iam-policy-binding 13*********9 --member="user:konnkaino@meateno.aka.unto" --role="roles/orgpolicy.policyAdmin"
Updated IAM policy for organization [13*********9].
bindings:
- members:
  - domain:meateno.so.siki
  role: roles/billing.creator
- members:
  - user:konnkaino@meateno.aka.unto
  role: roles/orgpolicy.policyAdmin
- members:
  - user:konnkaino@meateno.aka.unto
  role: roles/resourcemanager.organizationAdmin
- members:
  - domain:kingdom.co.jp
  role: roles/resourcemanager.projectCreator
etag: Bw******s=
version: 1
</code></pre></div><p data-line="144" class="code-line">追加されたので、ポリシーを変更できます。</p>
<div class="code-block-container"><pre><code class="code-line" data-line="146">PS C:\Users\_____&gt; gcloud org-policies delete constraints/iam.disableServiceAccountKeyCreation --organization=13*********9
Deleted policy [organizations/13*********9/policies/iam.disableServiceAccountKeyCreation].
{}
</code></pre></div><p data-line="152" class="code-line">長旅でした。おつかれしたー</p>
<aside class="msg alert"><span class="msg-symbol">!</span><div class="msg-content">
<p data-line="155" class="code-line">⚠️ 注意: 組織ポリシーの削除は全プロジェクトに影響します。<br>
削除後は即座に全サービスでキー作成が可能になるため、不要になったら再ロックしましょう。</p>
</div></aside>


[GCP] 絶対に JSON キーで実装する男 [Google Cloud Platform]

オーナーでもダメ。組織管理者でもダメ。

gcloudコマンドで、組織管理者が、アカウントを許可する

Discussion