ハンズオンラボ — AGWA Google Cloud Associate Google Workspace Administrator

概要

前提条件

ステップ

1. 1.プロバイダー、プロジェクトサービス、命名

   Cloud Identity、IAM、およびCloud Logging APIを有効にします。

   コピー

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-agwa"
       managed_by = "terraform"
     }
   }
   
   resource "google_project_service" "cloudidentity" {
     service            = "cloudidentity.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "logging" {
     service            = "logging.googleapis.com"
     disable_on_destroy = false
   }

2. 2.Cloud Identity Groups APIを使用してCloud Identityグループを作成する

   プロビジョニング対象:

   • Cloud Identity

   Cloud Identity Groupsは、Google WorkspaceグループのGCP側のミラーです — これらは同じIDディレクトリに存在し、group-email@your-domain.comという同じ形式でアドレス指定可能です。AGWA試験では、この「単一窓口」のIDモデルがテストされます。Workspaceでプロビジョニングされたユーザーは、GCPでIAMバインディングを取得するのと同じIDです。

   セキュリティグループdev-readers@your-domain.comを作成します。your-org-idをCloud Identity顧客IDに置き換えてください（gcloud organizations list → directoryCustomerIdフィールドで確認できます）。

   このリソースにはドメイン所有権が必要です — your-domain.comを制御し、組織スコープでCloud Identity APIが有効になっていない限り、失敗します。実際のドメインなしで手早くラボを行う場合は、このステップをスキップし、ステップ3で既存のIAM IDを使用してください。

   コピー

   resource "google_cloud_identity_group" "dev_readers" {
     display_name = "dev-readers"
     description  = "Lab Cloud Identity group for the AGWA walkthrough"
   
     parent = "customers/your-org-id" # REPLACE — find via `gcloud organizations list`
   
     group_key {
       id = "dev-readers@your-domain.com" # REPLACE with your Workspace domain
     }
   
     labels = {
       "cloudidentity.googleapis.com/groups.discussion_forum" = ""
     }
   
     initial_group_config = "WITH_INITIAL_OWNER"
   
     depends_on = [google_project_service.cloudidentity]
   }

3. 3.グループをプロジェクトスコープの最小特権IAMロールにバインドする

   プロビジョニング対象:

   • IAM

   Workspace管理者は、GCPの権限をWorkspaceグループに定期的に割り当てます — AGWAが推奨するパターンは「グループにロールを付与し、Workspaceでメンバーシップを管理する」です。ステップ2で作成したdev-readersグループを、現在のプロジェクトのroles/viewerにバインドします。Workspace管理者がdev-readers@your-domain.comに追加したユーザーは、即座にこのGCPプロジェクトのViewer権限を継承します。削除されたユーザーは権限を失います。

   IAMのmemberフィールドのgroup:プレフィックスに注目してください — これはグループIDをバインドするための正規の構文です。AGWA試験がテストする他のプレフィックスには、user:（個人）、serviceAccount:（サービスアカウント）、domain:（ドメイン内のすべてのユーザー）があります。

   コピー

   data "google_project" "current" {}
   
   resource "google_project_iam_member" "dev_readers_viewer" {
     project = data.google_project.current.project_id
     role    = "roles/viewer"
     member  = "group:${google_cloud_identity_group.dev_readers.group_key[0].id}"
   }

4. 4.プロジェクトの監査ログを専用のロギングバケットにルーティングする

   プロビジョニング対象:

   • Cloud Logging

   AGWA試験では、Cloud Audit Logsのスコープがテストされます。管理者アクティビティログは常にオンで無料です。データアクセスログはデフォルトでオフであり、通常通り課金されます。システムイベントログは常にオンで無料です。ポリシー拒否ログ（VPC-SCによる拒否）は常にオンで無料です。

   デフォルトの_Requiredおよび_Defaultバケットとは別の、audit-eventsという名前の専用ロギングバケットを作成し、IAM関連のすべての監査ログをそこにルーティングするログシンクを作成します。これにより、コンプライアンスチームは_Defaultの運用ログとは別の保持期間を持つことができます — これは「監査ログの保持期間がインシデント対応期間よりも長くなるようにする」というAGWA推奨のパターンです。

   コピー

   resource "google_logging_project_bucket_config" "audit" {
     project        = data.google_project.current.project_id
     location       = "global"
     retention_days = 400 # 13 months — typical compliance ask
     bucket_id      = "audit-events"
   
     depends_on = [google_project_service.logging]
   }
   
   resource "google_logging_project_sink" "audit_sink" {
     name        = "certlabpro-agwa-audit-sink"
     destination = "logging.googleapis.com/${google_logging_project_bucket_config.audit.id}"
     filter      = "logName:\"cloudaudit.googleapis.com\" AND protoPayload.serviceName=\"iam.googleapis.com\""
   
     unique_writer_identity = true
   }

クリーンアップ