Google 管理コンソールへのフルアクセスを許可することに不安がある場合は、管理者ロールを割り当てることで、管理タスクの一部のみを許可することができます。1 人のユーザーに複数の管理者ロールを割り当てることができます。
ユーザーではなく、グループやサービス アカウントに管理者ロールを割り当てることもできます。たとえば、アカウント管理者のサービス アカウントで Cloud Identity Groups API を使用して、管理コンソールに含まれないアプリケーションでグループとグループ メンバーシップを作成、更新できます。
管理者ロールの仕組み
管理コンソールでは、管理者はロールの権限で許可されている範囲に限り、情報の表示とタスクの実行が可能です。たとえば、あるユーザーにユーザー管理者の既定のロールを割り当てると、そのユーザーは管理者以外のユーザーの個別の設定のみを表示、変更できます。
ロールの割り当て上限の仕組み
いずれのロールも、組織部門を問わず適用するように設定できます。これらのロールは、ロールの数に関係なく、合計 1,000 人に割り当てられます。たとえば、あるロールを 300 人のユーザーに割り当て、別のロールを 700 人のユーザーに割り当てることができます。
一部のロールは組織部門を対象に適用することもできます。これらのロールは、ロールの数に関係なく、組織部門ごとに最大 1,000 件の割り当てを行うことができます。組織部門にロールを適用できるかどうかを確認するには、ユーザーの [ロールの割り当て] ページに移動し、[すべての組織部門] の横に編集アイコン 
が表示されているかどうかをチェックします。組織部門に適用できるロールには、ユーザー管理者の既定のロールや、1 つ以上のユーザー権限があるカスタムロールなどがあります。
1,000 を超えるロールを割り当てる必要がある場合は、複数のメンバーをグループに追加してロールをグループに割り当てます。グループに割り当てられたロールは、メンバーの数に関わらず 1 つの割り当てとしてカウントされます。
ロールの割り当てに複数の関係者による承認を必須にする
ロール管理で複数の関係者による承認を有効にすると、組織のロール割り当ての変更を複数の管理者が審査して承認する必要があります。
ロールの割り当てに対する複数の関係者による承認の仕組み
- 管理者がユーザーにロールを割り当てます。
- 組織の特権管理者に、別の管理者がロールの割り当てをリクエストしたことを知らせるメールが届きます。
- 特権管理者が管理コンソールでリクエストを確認します。リクエストが承認されると、ユーザーにロールが割り当てられます。リクエストが拒否されると、リクエストは削除され、ロールの割り当てをリクエストした管理者にメール通知が届きます。
既存のロール割り当ての組織部門スコープ（OrgUnit1 から OrgUnit2 など）を変更すると、複数の関係者による承認リクエストが 2 つ作成されます。変更を有効にするには、両方のリクエストが承認される必要があります。
始める前に
手順 1: 使用中の既定のロールまたはカスタムロールを確認する
-
Google 管理コンソールで、メニュー アイコン
[
アカウント] [管理者ロール] に移動します。この操作を実施するには、特権管理者としてログインする必要があります。
- ロールにカーソルをあわせて [権限を表示] をクリックするか、[管理者を表示] をクリックしてロールを割り当てられている管理者を確認します。
手順 2: ロールの種類を決定する
次のいずれかを選びます。
- 一般的なタスクを実施するための既定のシステムロールを割り当てます。既定の管理者ロールを確認します。
- アクセスレベルの異なるカスタムロールを作成して割り当てる。その場合は、まずロールを作成する必要があります。カスタムロールを作成するをご覧ください。
ステップ 3: （省略可）ロールの割り当てに対する複数の関係者による承認を設定する
この操作を実施するには、特権管理者としてログインする必要があります。管理コンソールまたは API でロールの割り当ての変更をレビューして承認する管理者を複数指定する手順は次のとおりです。
-
Google 管理コンソールで、メニュー アイコン
[セキュリティ] [認証] [複数ユーザーによる承認の設定] に移動します。この操作を実施するには、特権管理者としてログインする必要があります。
- [複数の関係者による承認の設定] セクションをクリックします。
- [機密情報に関する操作に対して複数の関係者による承認を必須にする] チェックボックスをオンにします。
- [保存] をクリックします。
管理コンソールで役割の割り当ての変更を審査して承認する管理者を複数必要とするには:
- [ロール管理に対する複数の関係者による承認（管理コンソール）] をクリックします。
- [管理コンソール UI を使用したロールの割り当てとロールの権限の更新] チェックボックスをオンにします。
- [保存] をクリックします。
（省略可）API を使用してロール割り当ての変更を確認して承認する管理者を複数にするには:
- [ロール管理に対する複数の関係者による承認（API）] をクリックします。
- [API を使用したロールの割り当てとロールの権限の更新] チェックボックスをオンにします。
- [保存] をクリックします。
ロールを割り当ててください
1 つのロールを複数のユーザーに割り当てる手順、または 1 つのロールを 1 つのグループに割り当てる手順のいずれかを行って、1 つのロールをユーザーとグループに同時に割り当てることができます。
1 人のユーザーに役割を割り当てる
-
Google 管理コンソールで、メニュー アイコン
[ディレクトリ
] [ユーザー] に移動します。アクセスするには、適切なユーザー管理権限が必要です。適切な権限がない場合は、これらの手順を完了するのに必要な設定が一部表示されません。
ユーザーのアカウント ページを開いて、そのユーザーの名前をクリックします。または、上部の検索ボックスにユーザーの名前を入力して、そのユーザーのアカウント ページを開きます。その他のオプションについては、ユーザー アカウントの検索をご覧ください。
下にスクロールして、[管理者ロールと権限] をクリックします。
既定のロールまたはカスタムロールの横にある [割り当て済み]
をクリックします。割り当てられた
が表示されていない場合は、[ロール] の下の任意の場所をクリックしてスイッチを表示します。（省略可）グループ閲覧者またはグループ編集者のロールの場合、このロールで閲覧または編集できるグループを制限できます。たとえば、セキュリティ グループへのアクセスを制限したり、すべてのグループへのアクセスを拡張したり、セキュリティ グループまたはロックされたグループへのアクセスを除外したりできます。
（省略可）管理者のロールを特定の組織部門に限定するには、[すべての組織部門] の横にある編集アイコン
をクリックし、組織部門を選択して [完了] をクリックします。編集アイコン
が表示されない場合、そのロールは組織部門に適用できません。[保存] をクリックします。
[ロール管理に対する複数の関係者による承認（管理コンソール）] がオンになっている場合は、別の管理者が更新を承認する必要があるというメッセージが表示されます。リクエストを別の管理者に送信するには、メッセージを入力（省略可）して [リクエストを送信] をクリックします。3 日が経過するとリクエストの期限が切れます。詳しくは、機密情報に関する操作に対する複数の関係者による承認をご覧ください。
ヒント:
- [権限] では、ユーザーに割り当てられたすべての管理者ロールに含まれる権限をすべて確認できます。
- ユーザーのアカウント ページに戻るには、右上の上矢印アイコン
をクリックします。
一度に複数のユーザーにロールを割り当てる
-
Google 管理コンソールで、メニュー アイコン
[ アカウント] [管理者ロール] に移動します。この操作を実施するには、特権管理者としてログインする必要があります。
割り当てるロールにカーソルを合わせ、右側にある [管理者を割り当て] をクリックします。
ヒント: ロールを割り当てる管理者と権限を切り替えることができます。上部にある [管理者] または [権限] をクリックします。
[メンバーを割り当て] をクリックします。
ユーザーのメールアドレス（ユーザー名ではなく）の最初の数文字を入力し、表示された候補からユーザーのメールアドレスを選択します。
ロールは一度に最大 20 のユーザーとグループに割り当てることができます。
（省略可）グループ閲覧者またはグループ編集者のロールの場合、このロールで閲覧または編集できるグループを制限できます。たとえば、セキュリティ グループへのアクセスを制限したり、すべてのグループへのアクセスを拡張したり、セキュリティ グループまたはロックされたグループへのアクセスを除外したりできます。
[ロールを割り当て] をクリックします。
（省略可）管理者のロールを特定の組織部門に限定するには、[すべての組織部門] の横にある編集アイコン
をクリックし、組織部門を選択して [完了] をクリックします。編集アイコン
が表示されない場合、そのロールは組織部門に適用できません。[ロール管理に対する複数の関係者による承認（管理コンソール）] がオンになっている場合は、別の管理者が更新を承認する必要があるというメッセージが表示されます。リクエストを別の管理者に送信するには、メッセージを入力（省略可）して [リクエストを送信] をクリックします。3 日が経過するとリクエストの期限が切れます。詳しくは、機密情報に関する操作に対する複数の関係者による承認をご覧ください。
注: 異なる組織部門の複数のユーザーに同時にロールを割り当てると、各部門に独自の複数の関係者による承認リクエストが送信されます。
グループにロールを割り当てる
グループにロールを割り当てると、多くのユーザーにロールの権限を付与できます。
ロールが割り当てられているグループは、他のグループと同様に管理できます。詳しくは、グループをご覧ください。
ロールを割り当てる
-
Google 管理コンソールで、メニュー アイコン
[ アカウント] [管理者ロール] に移動します。この操作を実施するには、特権管理者としてログインする必要があります。
割り当てるロールにカーソルを合わせ、右側にある [管理者を割り当て] をクリックします。
ヒント: ロールを割り当てる管理者と権限を切り替えることができます。上部にある [管理者] または [権限] をクリックします。
[メンバーを割り当て] をクリックします。
グループのメールアドレスまたは名前の最初の数文字を入力し、表示された候補からアドレスを選択します。
ロールは一度に最大 20 のグループとユーザーに割り当てることができます。
（省略可、グループ閲覧者またはグループ編集者のロールのみ）管理者アクセスをセキュリティ グループに制限したり、すべてのグループにアクセスを拡張したり、セキュリティ グループまたはロックされたグループへのアクセスを除外したりできます。
[ロールを割り当て] をクリックします。
（省略可）管理者のロールを特定の組織部門に限定するには、[すべての組織部門] の横にある編集アイコン
をクリックし、組織部門を選択して [完了] をクリックします。編集アイコン
が表示されない場合、そのロールは組織部門に適用できません。[ロール管理に対する複数の関係者による承認（管理コンソール）] がオンになっている場合は、別の管理者が更新を承認する必要があるというメッセージが表示されます。リクエストを別の管理者に送信するには、メッセージを入力（省略可）して [リクエストを送信] をクリックします。3 日が経過するとリクエストの期限が切れます。詳しくは、機密情報に関する操作に対する複数の関係者による承認をご覧ください。
グループのロール割り当てに関する制限事項
- 特権管理者または販売パートナー管理者を除くすべてのロールを割り当てることができます。
- このグループは、組織内のセキュリティ グループであり、また、動的グループではない必要があります。セキュリティ グループについて詳しくは、セキュリティ グループでセンシティブ データへのアクセスを制御するをご覧ください。
グループが動的グループかどうかを確認するには、管理コンソールで [グループ] グループ名をクリックします。[メンバー] に移動して、[動的メンバー] または [メンバーシップ クエリを編集] が表示されている場合、グループが動的グループであることがわかります。 - グループにロールを割り当てると、1 つの割り当てとしてロールの割り当ての上限にカウントされます。
- 組織全体および各組織部門内で最大 250 個のロールをグループに割り当てることができます。
- 多数のグループにロールを割り当てて制限を超えないようにするには、ロールが必要な 1 つのグループを親グループとして選択し、ロールが必要な他のグループを親のメンバーとして追加します。次に、親グループにロールを割り当てます。この割り当ては 1 つのロール割り当てとしてカウントされますが、すべての子グループがそのロールを使用できます。詳しくは、グループを別のグループに追加するをご覧ください。
- グループに販売パートナー管理者ロールを割り当てると、グループ メンバーには販売パートナーの組織のみに対するロールの権限が付与されます。販売パートナーのお客様に対するロールの権限は付与されません。
- グループ メンバーを組織内のユーザーに限定することをおすすめします。組織外のユーザーや一般ユーザーを追加することもできますが、そのユーザーにロールの権限が付与されない可能性があります。詳しくは、グループ メンバーを制限するをご覧ください。
- 標準のグループ メンバーの制限が適用されます。詳しくは、メンバーをご覧ください。
サービス アカウントにロールを割り当てる
サービス アカウントには、特権管理者以外の規定のロールやカスタムロールを割り当てることができます。サービス アカウントにロールを割り当てると、ロールの割り当て上限にカウントされます。
始める前に: Google Cloud でサービス アカウントを設定します。サービス アカウントの作成と管理をご覧ください。
-
Google 管理コンソールで、メニュー アイコン
[ アカウント] [管理者ロール] に移動します。この操作を実施するには、特権管理者としてログインする必要があります。
- 割り当てるロールにカーソルを合わせる [管理者を割り当て] をクリックします。
- [サービス アカウントへの割り当て] をクリックします。
- （省略可）グループ閲覧者またはグループ編集者のロールの場合、このロールで閲覧または編集できるグループを制限できます。たとえば、セキュリティ グループへのアクセスを制限したり、すべてのグループへのアクセスを拡張したり、セキュリティ グループまたはロックされたグループへのアクセスを除外したりできます。
サービス アカウントのメールアドレスを入力します。
メールアドレスを確認するには、Google Cloud コンソールを開き、メニュー アイコン
[IAM と管理] [サービス アカウント] をクリックします。[追加]
[ロールを割り当て] をクリックします。[ロール管理に対する複数の関係者による承認（管理コンソール）] がオンになっている場合は、別の管理者が更新を承認する必要があるというメッセージが表示されます。リクエストを別の管理者に送信するには、メッセージを入力（省略可）して [リクエストを送信] をクリックします。3 日が経過するとリクエストの期限が切れます。詳しくは、機密情報に関する操作に対する複数の関係者による承認をご覧ください。
この後の流れ
管理者の監査ログで、サービス アカウントに管理者ロールを適用した日時と、サービス アカウント管理者が行った操作の記録を確認できます。詳しくは、管理ログイベントをご覧ください。
サービス アカウントにグループ管理者の既定のロールを適用した場合は、Enterprise のグループの監査ログでも操作を確認できます。サービス アカウント管理者が [イベントの説明] または [ユーザー] の下に表示されます。詳しくは、Enterprise のログイベントをグループ化するをご覧ください。
関連トピック
ロールを割り当てられたユーザーが次回ログインすると、管理コンソールのホームページが表示されます。変更が反映されるまでに最長で 24 時間ほどかかることがありますが、通常はこれより短い時間で完了します。詳細
特定の期間にロールを割り当てる
この機能が完全にリリースされるまで、一部のエンタープライズ ユーザーの管理コンソールに有効期限のオプションが表示されないことがあります。
選択した特定の期間にロールを割り当てることができます。有効期限に達すると、ロールによって付与されたアクセス権は自動的に取り消されます。これにより、セキュリティ リスクを最小限に抑え、ロール割り当ての管理にかかる時間を短縮できます。
ロールの特定の期間を設定するには:
-
Google 管理コンソールで、メニュー アイコン
[ アカウント] [管理者ロール] に移動します。この操作を実施するには、特権管理者としてログインする必要があります。
- [管理者を割り当てる] ページの表の上にある [メンバーを割り当てる] または [サービス アカウントを割り当てる] をクリックします。
[メンバーを追加] で、[検索] をクリックしてユーザーまたはセキュリティ グループを選択するか、ユーザーとグループのメールアドレス（ユーザー名ではなく）の最初の数文字を入力して、表示された候補からアドレスを選択するか、サービス アカウントの完全なメールアドレスを入力します。
ロールは一度に最大 20 のユーザーとグループに割り当てることができます。
（省略可）グループ閲覧者またはグループ編集者のロールの場合は、セキュリティ グループ、セキュリティ以外のグループ、ロックされたグループ、またはロック解除されたグループにのみ管理者権限を付与できます。権限を制限するには:
以下にのみ管理者権限を付与するためのオプションを選択します。
- セキュリティ グループ - [セキュリティ] が含まれているラベルを選択します。
- セキュリティ以外のグループ - [セキュリティ] が含まれていないラベルを選択します。
- ロック解除されたグループ - [ロック中] が含まれていないラベルを選択します。
[追加] をクリックします。
ユーザー、グループ、またはサービス アカウントのチェックボックスをオン
[有効期限を変更] をクリックします。[有効期限を設定] ボックスで、次のいずれかの期間を選択します。
- 定義済みの期間（30 日など）を選択します。
- [カスタム] を選択し、日付と時刻を入力します（最大 1 年間）。
[保存]
[ロールを割り当て] をクリックします。（省略可）管理者のロールを特定の組織部門に限定するには:
- ユーザー、グループ、またはサービス アカウントのチェックボックスをオンにします。
- [組織部門を変更] をクリックし、組織部門を選択します。
[完了] をクリックします。
[組織部門を変更] が表示されない場合、そのロールは組織部門に適用できません。
[管理者を割り当てる] ページでロールの期間を設定することもできます。
- [管理者] リストで、管理者の行にカーソルを合わせます。
- 右側にある [アクション] をクリックします。
- [有効期限を設定] を選択します。
- 上記のステップ 6 ～ 7 を繰り返します。
2 人以上の管理者にロールの期間を設定するには:
- [管理者を割り当てる] ページで、期間を設定する管理者のチェックボックスをオンにします。
- 表の上にある [有効期限を設定] をクリックします。
- 上記のステップ 6 ～ 7 を繰り返します。
ロールを割り当てられたユーザーが次回ログインすると、管理コンソールのホームページが表示されます。
有効期限付きのロールに関する制限事項
- 有効期限は過去の日付や時刻に設定することはできず、1 年を超えることはできません。
- ユーザー、グループ、サービス アカウントは、有効期限が異なっていても、同じロールとスコープに対して複数の同時ロール割り当てを保持できません。
- 既存のロール割り当てを更新する場合は、有効期限の詳細やその他の設定を調整します。変更せずに割り当てを保存すると、同じ割り当てが有効になっているため、重複割り当てエラーがトリガーされます。
- 有効期限付きの特権管理者ロールは、組織のメイン管理者に割り当てることができません。メイン管理者には永続的な特権管理者権限が必要であるためです。有効期限のある特権管理者ロールを持つユーザーは、メイン管理者に指定できません。
役割の割り当て解除
自分に割り当てられたロールの割り当てを自分で解除することはできません。
ユーザーのロールの割り当てを解除する
ユーザーのロールの割り当てを解除するには、1 人のユーザーにロールを割り当てるの手順を行います。ただし、手順 6 で、ロールをオンにする代わりに、オフにするアイコン 
をクリックします。
複数のロールまたはサービス アカウント ロールの割り当てを解除する
[管理者ロール] のページで、複数のユーザーまたはサービス アカウントからロールの割り当てを解除します。
-
Google 管理コンソールで、メニュー アイコン
[ アカウント] [管理者ロール] に移動します。この操作を実施するには、特権管理者としてログインする必要があります。
- 割り当てを解除するロールにカーソルを合わせ、右側にある [管理者を割り当て] をクリックします。
- 次のいずれかの操作を行います。
- 目的のユーザーまたはサービス アカウントの横にあるチェックボックスをすべてオンにします。
- すべてのユーザーとサービス アカウントのロールの割り当てを解除するには、[管理者] 列の見出しの横にあるチェックボックスをオンにします。
- [ロールの割り当て解除] [ロールの割り当て解除] をクリックして確定します。
[ロール管理に対する複数の関係者による承認（管理コンソール）] がオンになっている場合は、別の管理者が更新を承認する必要があるというメッセージが表示されます。リクエストを別の管理者に送信するには、メッセージを入力（省略可）して [リクエストを送信] をクリックします。3 日が経過するとリクエストの期限が切れます。詳しくは、機密情報に関する操作に対する複数の関係者による承認をご覧ください。
注: 異なる組織部門の複数のユーザーから同時にロールの割り当てを解除すると、各部門に独自の複数の関係者による承認リクエストが送信されます。
次のステップ
管理者は、自分のアカウントに再設定オプションを追加できます。