新しいGCP組織をCloud Identityで作ってみた！

GCP
2022.05.12

GCPの組織にプロジェクトを所属させ共有VPCを使うべく、Cloud Identityに新しいGCP組織を作ってみた。GCP組織は企業におけるGCP認証基盤であり、GCPプロジェクトに対するアクセス制御において重要な役割をもつ。

  1. 試したこと
  2. ポイント
  3. 必要なもの
  4. 作成の流れ
    1. Cloud Identity管理者アカウントの作成
      1. エラーではまる
      2. エラー解消
    2. Cloud Identityドメイン所有権の証明
      1. ドメイン所有権の確認
      2. 新GCP組織作成完了！
      3. 新しい組織にGCPプロジェクトを移行
  5. あとがき

試したこと

  • Cloud IdentityにGCPの組織を作る
  • 組織なしプロジェクトをCloud Identityに紐づける

ポイント

  • 他のCloud Identityにセカンダリドメインとしてドメインを登録されている場合は先に解除が必要。

必要なもの

  • ドメイン
    作成の途中でTXTレコードによる所有権の確認が入る。これは他のクラウドでもよくある流れ。
  • Cloud Identity Free版
    フリー版から始められるのでPremiumじゃなくてダイジョブ。
  • 組織に紐づかないプロジェクト
    No organization(組織なし)のプロジェクト。
    テストなら新しいプロジェクトを用意してもヨシ。
    file

作成の流れ

Cloud Identity管理者アカウントの作成

  1. Cloud Identity のお申し込みに記載のあるリンクで次へボタンを押す。
    file
    全体の流れはこっちのリンクを参考に。
    Cloud Identity に申し込む - Cloud Identity ヘルプ

  2. 組織名となる文字列と組織の規模を選択。
    ここは会社名でもドメイン名でもなんでもよい。(ドメイン名はあとで入力)
    file

  3. 組織のある国を指定。
    file

  4. 連絡を受け取るためのメールアドレスを入力。
    このメールアドレスはあとから設定するCloud Identity管理者IDに紐づくメールアドレスとなるようだ。
    file

  5. ドメイン名を入力。

エラーではまる

  1. 次に進めずエラーになった。
    別の組織のセカンダリドメインとしてこのドメインを登録してたことを思い出す。
    file

  2. その別組織のCloud Identity管理コンソールはこんな感じ。
    file
    既存組織からcloudnized.comのユーザーとデバイス全部削除し、セカンダリドメインからcloudnized.comを削除。
    file

  3. リトライするもエラーに。

    このドメイン名は別の Google サービスで使用されています。お客様がこのドメインのオーナーで、Cloud Identity での利用をご希望の場合は、こちらの手順を行ってください

  4. 別のヘルプでは既存組織からセカンダリドメインを削除後、新しい組織として利用できるようになるまで最大で48時間かかりそうな雰囲気。マジか。。。
    Google Workspace アカウントからドメインを削除する - Cloud Identity ヘルプ

    ドメインの再利用
    通常、ドメイン名は削除後 30 分以内に既存の Google Workspace アカウントで再利用できるようになります。ただし、ユーザーが多数登録されているドメインの場合は、最大で 24 時間ほどかか ることがあります。
    注: ドメインを新しい Google Workspace アカウントで使用できるようになるまでには、最大で 48 時間ほどかかることがあります。詳細

  5. 30分ほど放置後もエラーは改善せず、よくよく見ていたら[ドメイン] - [ドメインの管理] のセカンダリドメインのところにcloudnized.comが隠れていやがりました。
    file
    迷うことなく削除。
    file

エラー解消

  1. 削除したらエラーが解消した。次へをクリックする。
    file

  2. 管理者の名前を入力する。
    file

  3. Cloud Identityの管理者アカウントとパスワードを決める。
    file

  4. 予備のメールアドレスを指定。
    file

  5. お知らせの受信はお好みで。
    file
    file

  6. 人間であることを証明してアカウントを作成する。
    file

  7. アカウントの作成が完了。
    このあとドメインの所有権を確認する手続きをする。
    file

Cloud Identityドメイン所有権の証明

作成したCloud Identityのアカウントでログインしてドメインが自分のものであることをCloud Identityに証明する。
file

ドメイン所有権の確認

  1. 所有権を証明をクリック。
    file
    この際、レコード追加の一般的な手順が提示される。
    file

  2. 必要なTXTレコードをドメインに追加する。
    file

  3. TXTレコードを登録できない場合はCNAMEレコードでも所有権を証明できる。
    file

  4. ドメインホストにTXTレコードを追加する
    onamae.comの場合はこうなる。
    file

  5. 反映されるまで少し待つ。TXTレコードはnslookupなどから確認できる。

    >nslookup
既定のサーバー:  UnKnown
Address:  *.*.*.*
> set type=txt
> cloudnized.com
サーバー:  UnKnown
Address:  *.*.*.*
権限のない回答:
cloudnized.com    text =
    "google-site-verification=wlAr-O4eZXmzMZLgxEJ1s1xBkxNIg4IItDz6elw-ESk"

  6. ドメインの所有権を証明ボタンを押す。
    file

新GCP組織作成完了！

  1. これで新しいGCPの組織の準備ができた。
    新しいユーザーの作成をクリックするとCloud Identityの管理コンソールに飛ぶので新しい管理者アカウントを作成するのもよし。
    file

  2. Cloud IdentityのアカウントでGCP Consoleにログインすると新しい組織が表示される。
    file

新しい組織にGCPプロジェクトを移行

  1. 組織なしのGCPプロジェクトを新しいプロジェクトに移行するには元のアカウントから新しいCloud IdentityのアカウントにIAMのオーナーロールをつけておく。
    file

  2. 新しいアカウントのメールアドレスに送られてくる招待リンクをクリックし、新しい組織アカウントでプロジェクトへの招待を受け入れる。
    file

  3. Cloud Identityアカウントのリソースの管理に既存プロジェクトが組織なしとして現れた。
    file

  4. 右のメニューから移行をクリックして新しい組織にプロジェクトを移行する。
    file
    file

  5. 既存プロジェクトが作成したCloud Identity組織に移行された。
    file

あとがき

GCPの組織(Cloud Identity)はAdmin Consoleという専用の管理画面で管理することになる。ユーザー・グループ管理のほかに、他の認証プロバイダとのSSO連携やオンプレミスADとの同期設定も可能だ。なお、APIを通じたアプリケーションからのユーザ・グループ管理もできるのでそのうち別の記事で紹介する。

タイトルとURLをコピーしました