はじめに

• 本書の目的
  本書はガバメントクラウド（Google Cloud）の利用を検討または利用開始する上で必要となる技術的な情報を記すことで、具体的な利用検討や利用開始ができるようになることを目的としている。
• 本書の位置づけ
  ガバメントクラウド概要解説の子文書となり、ガバメントクラウド概要解説の内容を技術的な観点で具体化した文書である。

図01: 本書の位置づけ

• 本書の想定読者
  ガバメントクラウド（Google Cloud）の利用を検討または利用開始しているシステムの開発・運用事業者及びPJMOを読者として想定している。
• 改訂方針
  ガバメントクラウドの仕様変更やクラウドサービスの更改・仕様変更、上位文書の変更があった場合は、定期的に改訂を実施する。

1 プロジェクト

1.1 プロジェクトの全体像

• Google Cloudのプロジェクトはデジタル庁の組織ツリーによって管理される。
• 利用組織は本番環境と検証環境のリソース混在防止、課金単位の分離のため、本番用プロジェクトと検証用プロジェクトをそれぞれ用意して利用すること。
• ガバメントクラウドでは原則として開発環境は提供しないが、CI/CDを実施する利用システムについてのみ開発環境の提供を行う。その場合、インフラ部分のCI/CDについては、ガバメントクラウドで指定するツールやテンプレート/IaCファイルを用いてCI/CD環境を構成すること。それ以外のCI/CD環境をインフラ部分に選択する場合は、その合理性がガバメントクラウドチームで認められる場合のみとする。アプリケーションのCI/CD環境については、インフラ部分と同じ構成でも、独自の構成でも構わないものとする。

図02: プロジェクトの全体像

2 ユーザー

2.1 ユーザーの全体像

• 国の行政機関・地方公共団体に関わらず、PJMO・事業者共にデジタル庁のCloud Identityに登録される
  • GCAS経由によるガバメントクラウド利用組織からの利用申請の情報に基づき、ガバメント管理者がGoogleアカウントの払い出しを行う
  • ロールベースのグループを作成し、必要に応じてユーザーを参加させる
  • 初回の登録申請段階でできるだけ漏れがないようにすること
• Googleグループの機能で別ドメインのユーザー追加は原則不可
• 各ユーザーの権限はプロジェクトに対して、自動作成されたグループの権限 + ユーザー側で個別に付与する
  • ユーザー側で個別に付与する場合、GCASにてプロジェクトメンバーとして登録されているGoogleアカウントのみ対象となる
• プロジェクトの管理者グループにはシステムの運用責任者、開発事業者を含むシステム運用管理用アカウントのみ所属させ、それ以外のプロジェクトに紐づけるユーザーは必要最小限の権限を付与すること
  • 自社ドメインのCloud Identityを持つ開発会社も原則GCASアカウントを取得する

図03-01: ユーザーの全体像(国)

図03-2　ユーザーの全体像(地方公共団体)

2.2 払い出すユーザーの種類と権限

CSPユーザー登録の際、各ユーザーに対し「Owner」または「Viewer」のロールを選択できる。「Owner」ロールを選択すれば図5の管理者権限が付与され、「Viewer」ロールを選択すれば、図５の閲覧者権限が付与される。
なお、管理者権限ユーザーが侵害される可能性を減らすため、本番環境の管理者権限ユーザーの人数は3名までを推奨する。

システム管理者権限を持つユーザーが適宜メンバーに必要な権限を付与する。

図05: 払い出すユーザーの種類と権限

3 ガバナンス・セキュリティ

3.1 ガバナンス・セキュリティの全体像

• ガバメントクラウドのガバナンス・セキュリティは組織ポリシーと自動適用テンプレート、必須適用テンプレートによって担保される。
• 従来のゲート型ではなく、予防的統制と発見的統制からなるガードレール型のガバナンス・セキュリティを提供する。

図04: ガバナンス・セキュリティの全体像

3.2 予防的統制の設定内容

• 全てのアカウントに共通して最低限禁止すべき内容を設定する方針である。
• クラウドサービスの利用にあたって制限となる内容は、ここに記述する予防的統制で設定される内容だけである。
• 詳細な設定内容は、自動適用テンプレートを確認すること。 自動適用テンプレートについては、GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているガバメントクラウドテンプレート（メンバー専用ページ→ガバメントクラウドテンプレート/ポリシー→ガバメントクラウドテンプレート/ポリシーのダウンロードページ）を参照すること。
  

＜主な設定内容＞

• デジタル庁が設定するセキュリティや監査ログの設定/収集に関するサービスの削除防止（予定）
• 外部組織間のリソース移動禁止
• asia1(asia-northeast1及びasia-northeast2)以外のロケーション使用禁止
• Cloud SQL インスタンスへのパブリック IP アクセスの禁止
• ユーザーにMFAの有効化を強制
• SSH, シリアルポートによるVMへの接続禁止（原則OS Loginを利用する）
  • https://cloud.google.com/compute/docs/oslogin?hl=jaopen_in_newOpens in new tab

3.3 発見的統制の設定内容

• セキュリティ事故や設定誤りによる不意の高額請求を早期発見し対応するための設定を実施する。
• 発見的統制はアラート通知が出るのみで、クラウドサービスの利用の制限とはならない。
• コストアラートの金額はガバメントクラウド利用組織で調整すること。
• 詳細な設定内容は必須適用テンプレートを確認すること。必須適用テンプレートについては、GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているガバメントクラウドテンプレート（メンバー専用ページ→ガバメントクラウドテンプレート/ポリシー→ガバメントクラウドテンプレート/ポリシーのダウンロードページ）を参照すること。
  

＜主な設定内容＞

• セキュリティに係る設定（Security Command Center Premiumティア）
  https://cloud.google.com/security-command-center/docs/concepts-security-command-center-overview#tiersopen_in_newOpens in new tab
• コストに係る設定（必須適用テンプレート）
  • 指定リソース利用の確認
  • 無駄の検出
  • 1日あたり$10の請求金額を検出（利用者で調整）

＜環境の自動棚卸し機能の概要＞

• ガバメントクラウド管理組織が作成した Cloud Runおよび Cloud Scheduler を用いた自動実行テンプレートである。
• Google Cloud 組織下、ガバメントクラウド管理組織の環境および各利用システムの環境を参照して、
  ユーザ情報、リソースのネットワーク構成情報、暗号鍵へのアクセス情報を取得し、棚卸し情報として BigQuery に出力する。
  ※利用システムの環境の参照は Google Cloudプロジェクト単位での構成情報や変更履歴の取得に限定されており、システム内部や保存されているデータにはアクセスせず、取得・保存を行わない。
• 棚卸し情報のファイルはガバメントクラウド管理組織の環境、利用システムの環境に配置され、内容の閲覧が可能である。
• 利用システムの管理者による環境の適正性の評価を補助することが目的である。

各棚卸しの目的

3.4 発見的統制によるアラートの運用

• ガバメントクラウド利用組織が発見的統制の仕組みによるアラートの確認/修正対応に責任を持つ。
• セキュリティ関連で違反があった場合に、メールと通知システムでアラートを確認し対応する。
• とくにサービスイン前後はアラートが多数出ることが想定されるため、アラート内容のレビューの体制やプロセスを計画すること。
• 通常運用中もアラート内容を恒常的に確認レビューし、優先順位を付けて対応していく。

図05: 発見的統制によるアラートの運用

3.5 必須適用テンプレートの提供方法

ガバメントクラウド利用組織にて適用する必須適用テンプレートをデジタル庁より提供する。


＜提供方法＞

• Terraformにて提供する。
• 変更可能なパラメータ以外の記述を変更することはできない。
• GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているガバメントクラウドテンプレート（メンバー専用ページ→ガバメントクラウドテンプレート/ポリシー→ガバメントクラウドテンプレート/ポリシーのダウンロードページ）をダウンロードする。ダウンロードしたZipファイルにはガバメントクラウドで使用するテンプレート/IaCファイルが含まれている。

4 モダンアプリケーション

4.1 テンプレート/IaCファイルの全体像

• ガバメントクラウドが提供するテンプレート/IaCファイルは自動適用テンプレート、必須適用テンプレート、サンプルIaCファイル、個別適用IaCファイルの4種類あり、このうちサンプルIaCファイルはモダンアプリケーション化の推進に有効なIaCファイルである。

図06: テンプレート/IaCファイルの全体像

4.2 サンプルIaCファイルの提供方法

• ガバメントクラウド利用組織にて任意で適用するサンプルIaCファイルをデジタル庁より提供する。
• サンプルIaCファイルの種類や構成、詳細な設定内容は実際のIaCファイルの内容を確認すること。
  

＜提供方法＞

• Terraformにて提供する。
• ガバメントクラウド利用組織にて自由にカスタムすることが可能であるが、テンプレート/IaCファイルにより構築されたサービスはガバメントクラウド利用組織の責務となるため、テンプレート/IaCファイルの内容をよく理解した上で利用すること。
• GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているガバメントクラウドテンプレート（メンバー専用ページ→ガバメントクラウドテンプレート/ポリシー→ガバメントクラウドテンプレート/ポリシーのダウンロードページ）をダウンロードする。ダウンロードしたZipファイルにはガバメントクラウドで使用するテンプレート/IaCファイルが含まれている。

5 ネットワーク

5.1 GSSネットワークとの接続イメージ

詳細はGCASアカウントを取得の上、GCASガイド(メンバー専用ページ)で公開されているドキュメントを参照すること。

6 可視化

6.1 データの可視化

• ガバメントクラウド利用組織は、利用するCSPが提供するシステムメトリクス監視機能や、データ可視化機能を使って、自システム状況の可視化をし、システムの稼働状況や目的達成度合いを恒常的に把握する。
• デジタル庁からこうしたデータ可視化に役立つダッシュボードのサンプルIaCファイルを利用組織に提供する。
• 現在提供準備中であり、仕様が確定次第本書を更新予定である。

図07: データの可視化

7 利用不可サービス

7.1 利用不可サービス一覧

利用できないサービス

Firebaseコンポーネントの一部

ISMAPのGoogle Cloud Platform言明対象範囲外であるため、以下のサービスは利用できません：

• Firebase Crashlytics
• Firebase App Distribution
• Firebase ML

Google Workspace Service

Google Workspace（ドライブ、Gmail等）は、ライセンス購入で別途契約が必要となるため、ガバメントクラウドの付属サービスとして提供することはできません。ただし、利用組織側で契約する場合は問題ありません。

Baremetal Service

ガバメントクラウドの統制を効かせることが困難なため、ガバメントクラウド上では利用できません。

Implementation Service

Professional Service等の実装サービスは、利用組織側で契約する場合に限り利用可能です。

Google Security Operations

費用按分が困難なため、利用できません。

Chrome Enterprise Premium

ガバメントクラウドで既に導入済みであり、利用組織側によるライセンス持ち込みも不可となります。

reCAPTCHA

契約上の理由により利用できません。

Google Cloud VMware Engine

ガバメントクラウドの統制を効かせることが困難なため、ガバメントクラウド上では利用できません。

Apigee サブスクリプションプラン

サブスクリプションプランは契約上の理由により利用できません。従量課金プランをご利用ください。

Looker

契約上の理由により利用できません。

Looker Studio Pro

費用按分の整備が整っていないため、利用できません。ただし、Looker Studio(Free)は利用可能です。

8 サポート

8.1 サポートの全体像

• クラウドサービスに関する問合せはガバメントクラウド利用組織がクラウドサービス事業者に直接問い合わせる。
• ガバメントクラウドに関する問い合わせはオンボーディングツールを通じてデジタル庁に問い合わせる。
• 事業者が直接ヘルプデスクに問合せすることも可能だが、適切なプロジェクトの観点から、事業者から直接問合せする際は、PJMOを必ず同報すること。

図08: サポートの全体像

8.2 利用できるGoogle Cloudサポート

• サポート契約
  • デジタル庁がまとめてGoogle Cloudサポートの契約を執り行い、ガバメントクラウド利用組織は個別にGoogle Cloudサポートを調達する必要はない
  • サポート内容は以下リンク先のプレミアムサポートから「テクニカル アカウント マネージャー」及び「テクニカル アカウント マネージャー」が関連する支援を除いた内容となる
    • https://cloud.google.com/support?hl=jaopen_in_newOpens in new tab
  • 「テクニカル アカウント マネージャー」及び「テクニカル アカウント マネージャー」が関連するサポートの利用についてはデジタル庁に相談すること
• サポート利用方法
  • Google Cloud管理コンソールからGoogle Cloud サポート サービスを直接利用でき、チケットを起票してGoogle Cloudサポートからの技術サポートを受けられる

9. 初期設定

初期設定の仕組みを大幅改善予定となり、現時点では参考情報となります。
新手順が明確になったタイミングで、新ガイドとしてご案内します。

9.1 管理者用Googleアカウントの設定

Googleアカウントの作成及び登録・設定に関しては、GCASアカウントを取得の上、GCASガイド(メンバー専用ページ)で公開されているドキュメントを参照すること。

図09: 管理者用Googleアカウントの設定

補足（設定完了までの猶予期間）
管理者用Googleアカウントの初期設定には猶予期間を設定しています。
期日超過をした場合以下のエラーメッセージが通知されるため、その際はクラウド班管理者までご連絡ください。

図10: エラーメッセージ

9.2 各種通知先設定

セキュリティや課金に関する通知を任意のメールアドレスで受信するための設定を実施します。
本設定により取得できる情報についてガブクラからの通知はしないため、必ず利用組織にて設定を実施して下さい。

図11: 各種通知先設定-1

図12: 各種通知先設定-2

補足（通知カテゴリの説明）

各通知カテゴリで取得できる情報等を説明します。

出典：https://cloud.google.com/resource-manager/docs/managing-notification-contacts?hl=jaopen_in_newOpens in new tab

改訂履歴