請求情報へのアクセスを制限する

解決する課題・使い所

請求先アカウントは紐付いている複数の Google Cloud プロジェクトの課金情報を管理しており、請求先アカウントの管理者もしくは閲覧者のロールを所持したユーザーは、紐付いているGoogle Cloud プロジェクトの課金情報を閲覧することが出来ます。本項では、請求先アカウントに関連するロールを理解し、請求情報へのアクセスを限られたメンバーに制限することを目的としています。

アーキテクチャ

まず、事前定義の主な請求関連 IAM ロールの説明を記載します。詳細につきましては、｢Cloud IAM の Cloud Billing ロールの概要※1｣を御覧ください。

• 請求先アカウント作成者（roles/billing.creator）

  • このロールは、組織に対するロールです。このロールが付与されたユーザーは、新しいセルフサービス請求先アカウント（支払い方法としてクレジット カードまたはデビッドカードが適応される）を作成するのに必要なロールです。ただし、Google としては組織内にメインの請求先アカウントを 1 つのみ作成することを推奨しており※2、追跡されないクラウド利用が組織内で拡散しないよう、本ロールを持つユーザーの数は必要最小限にすることをオススメします。

• 請求先アカウント管理者（roles/billing.admin）

  • このロールは、組織または特定の請求先アカウントに対するオーナーロールです。このロールは、支払い方法の管理、請求のエクスポートの構成、費用情報の表示、プロジェクトのリンクとリンク解除、請求先アカウントの他のユーザーロールの管理に使用します。なお、請求先アカウントにプロジェクトを紐付る為には、このロールの権限以外に、紐付けるプロジェクト側のオーナーの権限（roles/owner）もしくはプロジェクト支払い管理者（roles/billing.projectManager）の権限も必要となります。

• 請求先アカウント ユーザー（roles/billing.user）

  • このロールは、組織または特定の請求先アカウントに対するユーザーロールです。このロールが付与されたユーザーは、権限のある請求先アカウントにプロジェクトを紐付けることが出来ます。なお、請求先アカウントにプロジェクトを紐付る為には、このロールの権限以外に、紐付けるプロジェクト側のオーナーの権限（roles/owner）もしくはプロジェクト支払い管理者（roles/billing.projectManager）の権限も必要となります。

• 請求先アカウント閲覧者（roles/billing.viewer）

  • このロールは、組織または特定の請求先アカウントに対する閲覧者のロールです。このロールが付与されたユーザーは、請求先アカウントの費用情報とトランザクションを表示出来るロールです。これにより、利用額情報を利用するためのアクセス権は与えられますが、プロジェクトのリンクやリンク解除、またはアカウントのプロパティの管理権限は付与されません。

上記から、請求先アカウントの情報を閲覧出来るのは請求先アカウント管理者もしくは請求先アカウント閲覧者のロールを持つユーザーとなります。本ペルソナの場合ですと、以下の様に部署とロールを振り分けることが推奨されます。｢Cloud Billing のアクセス制御※3｣の例も参考になりますので、こちらも是非ご確認いただけますと幸いです。

• Google Cloud 主管チーム

  • 付与するロール: 請求先アカウント作成者、請求先アカウント管理者

  • 運用項目:

    • 組織でメインとなる請求先アカウントを作成する

    • 支払い方法を管理する

    • 予算アラートを設定する

    • 課金サポートへの問い合わせ

    • 請求情報を管理し、開発チームに利用額を通知する

• 財務部門

  • 付与するロール: 請求先アカウント閲覧者

  • 運用項目:

    • 運用項目: 請求レポートを表示する

    • CxO と連絡を取る

• Google Cloud 利用部門

  • 付与するロール: プロジェクトオーナー、請求先アカウント ユーザー

  • 運用項目:

    • 新しいプロジェクトを管理する

    • 請求先アカウントユーザーの権限を持つ請求先アカウントに作成したプロジェクトを紐付ける 

毎月の請求費用を BigQuery を用いて分析する

解決する課題・使い所 クラウド サービスを利用するユーザーは、毎月の請求費用に関して下記のような情報を知りたいというニーズを持っていることが一般的です。

• 毎月の支出の傾向を知りたい

• 組織配下のどのプロジェクトで最も費用がかかったか知りたい

• どのプロダクト（ex. Compute Engine）で最も費用がかかったか知りたい

• 過去の傾向に基づいて予測される将来の費用はいくらか知りたい

• リージョンごとの費用はどのくらいか知りたい

• 特定のラベルが付与されたリソースの合計費用を調べたい

こうした情報を常に把握・分析することで、サービス利用の無駄を排除し毎月のコストを削減・最適化することができます。Google Cloud ではこうしたニーズに答えるための手段として、「請求レポート」という機能を提供しています。

「請求レポート」とは、毎月の請求費用のサマリーデータをグラフ表示する機能で、Google Cloud Console から利用することができます。この機能を利用することで Google Cloud の使用量を視覚的に把握し、傾向を分析することができます。請求レポートには請求先アカウントに紐付いている全プロジェクトの使用料が含まれます。目的に合わせて傾向を確認するために、対象期間やプロジェクト、プロダクト、SKU またはロケーションなどを利用して、表示するデータの範囲を絞り込むことができます。

一方で、標準で提供される「請求レポート※1」機能だけではカバーしきれない要件も存在します。下記にその一例を示します。

• 「フォルダ」毎に費用を集計したい

• プロジェクトに付与したラベル毎に費用を集計したい

• グラフの見た目をカスタマイズしたい

このような場合、毎月の詳細な請求データを BigQuery にエクスポートすることで、標準的な機能ではカバーできない粒度の集計・分析を実行することができます。

アーキテクチャ