第1章 · クラウドソリューション環境のセットアップ·v1.0.0·更新 2026/6/15·読了目安約16分

変更要約: Associate Cloud Engineer 第1章を新規作成（ドメイン1「環境のセットアップ」: リソース階層と IAM＝組織/フォルダ/プロジェクト/ポリシー継承/Cloud Identity/Cloud IAM(メンバー/ロール/リソース・基本/事前定義/カスタム・最小権限)、課金・API・割り当ての管理＝課金アカウントとリンク/予算とアラート/請求エクスポート/API 有効化/クォータ）。

1.1リソース階層と IAM

この節の要点

Google Cloud のリソース階層（組織・フォルダ・プロジェクト）とポリシーの継承、プロジェクトが課金・権限・リソースの基本単位であること、Cloud Identity によるユーザーとグループの管理、そして「誰に・どのロールを・どのリソースで」許可するかを定める Cloud IAM と最小権限の原則を理解します。

Associate Cloud Engineer は、Google Cloud 上でリソースをデプロイし、運用し、アクセスを管理する実務者の資格です。すべての土台がリソース階層と Cloud IAM による統制です。まずは「どこに何を置き、誰に何を許すか」を押さえます。

1.1.1リソース階層

Google Cloud のリソースは組織（Organization） → フォルダ（Folder） → プロジェクト（Project） → リソースという階層で整理します。プロジェクトは課金・権限・リソースの基本単位で、すべてのリソースはいずれかのプロジェクトに属します。この階層に沿って IAM ポリシーや組織ポリシー（Organization Policy）が上位から下位へ継承されるため、組織全体に一貫した統制をかけられます。フォルダは部門や環境（本番/検証）でプロジェクトをまとめるのに使います。

1.1.2Cloud Identity とメンバー

人や仕組みのアイデンティティは Cloud Identity で管理します。ユーザーとグループを作成し、外部の ID プロバイダーと SAML SSO や Directory Sync / GCDS で同期・連携できます。IAM では個々のユーザーよりもグループに権限を付与するのが推奨で、人事異動時の付け替えが容易になります。アクセスする主体（メンバー／プリンシパル）には、ユーザー・グループのほか、アプリやサービスが使うサービスアカウントがあります（第5章で詳述）。

1.1.3Cloud IAM

要素	意味	例
メンバー（プリンシパル）	アクセスする主体	ユーザー・グループ・サービスアカウント
ロール	権限の集合	基本/事前定義/カスタム
リソース	対象（範囲）	プロジェクト・バケット・VM

Cloud IAM は「どのメンバーに・どのロールを・どのリソースで」許可するかを IAM ポリシー（バインディング）で定めます。ロールには、広すぎて本番非推奨の基本ロール（閲覧者/編集者/オーナー）、サービスごとに用意された事前定義ロール、必要な権限だけを集めたカスタムロールがあります。原則は最小権限＝必要最小限の権限だけを与えることです。実務では「基本ロールは避け、事前定義ロールをグループに付与」が定石です。

試験ポイント

「要件 → 用語」が頻出。例：「課金/権限/リソースの基本単位」＝プロジェクト、「組織→フォルダ→プロジェクトで継承して統制」＝リソース階層/組織ポリシー、「ユーザー/グループを管理・外部IdPと連携」＝Cloud Identity/SAML SSO/GCDS、「誰にどのロールをどのリソースで」＝IAM ポリシー、「必要最小限だけ」＝最小権限、「本番では広い権限を避ける」＝基本ロールでなく事前定義/カスタム。

注意

混同に注意：
①基本ロール（閲覧者/編集者/オーナー＝広い）は本番非推奨、事前定義/カスタムを使う。
②権限はグループに付与（個人付与は管理が煩雑）。
③ポリシーは上位から継承され、上位の許可は下位で取り消せない（拒否は別途 Deny ポリシー）。
④プロジェクトが基本単位＝リソースは必ずプロジェクトに属す。

組織→フォルダ→プロジェクト→リソースの階層と、メンバー×ロール×リソースで定める Cloud IAM、最小権限を示す図。 — 階層とアクセス制御の土台

1.1.4この節のまとめ

リソース階層＝組織→フォルダ→プロジェクト。プロジェクトが基本単位、ポリシーは上位から継承
Cloud Identity でユーザー/グループ管理・外部IdP連携（SAML SSO/GCDS）。権限はグループに付与
Cloud IAM＝メンバー×ロール×リソース。基本ロールは避け事前定義/カスタムで最小権限

進捗の記録にはログインが必要です。

理解度チェック

（軽い確認用）

Q1. Google Cloud で課金・権限・リソースをまとめる基本単位はどれですか？

Q2. 本番環境で広すぎる権限を避けたい場合、IAM ロールとして最も適切なものはどれですか？

Q3. 組織全体に一貫した制御を効率よくかけるための、Google Cloud のリソース階層の特徴はどれですか？

Q4. IAM で権限を付与する際、管理を容易にするために推奨される方法はどれですか？

Q5. ユーザーとグループを管理し、外部の ID プロバイダーと SAML SSO で連携する Google Cloud のサービスはどれですか？

Q6. IAM ポリシーを構成する3つの要素の正しい組み合わせはどれですか？

理解度を確認第1章「クラウドソリューション環境のセットアップ」の問題を解く