G-gen の佐藤です。当記事では Google のアイデンティティ管理サービスである Cloud Identity (Free Edition) の登録から組織作成までの手順について紹介します。

概要

Cloud Identity とは

Cloud Identity は、Google が提供するアイデンティティ管理サービスです。Google アカウントを集中管理し、認証・認可、アクセス権限管理などを行うことができます。二段階認証、パスワードポリシー、アカウントロックなどのセキュリティ機能が提供されています。

Google のアカウント管理サービスには他に Google Workspace がありますが、Cloud Identity は Google Workspace から Gmail やカレンダーなどのグループウェア機能を取り除いたサービスであり、アカウント管理に特化したものと考えればよいでしょう。

参考 : Cloud Identity とは

2つのエディション

Cloud Identity には Free と Premium の 2 つのエディションがあります。

Free Edition は最大50人までのユーザー登録が可能であり、それ以上のユーザー追加には有償版である Premium Edition が必要です。

Free Edition にはほとんどの基本的な機能が揃っていますが、デバイス管理や DLP (Data Loss Prevention) など一部の高度な機能は Premium Edition でのみ使うことができます。

参考 : Cloud Identity の機能とエディションの比較

Cloud Identity のユースケース

Cloud Identity の最も多いユースケースは「Google Cloud を利用する。それにあたり開発・運用のための Google アカウントを集中管理する。また Google Cloud プロジェクトへの統制を行うために組織機能を利用する」というものです。

Google Cloud には「組織 (Organization)」という機能があり、企業や官公庁が Google Cloud を利用するにあたりほぼ必須と言っていいほど重要な機能です。しかし組織の機能の利用には Google Workspace 組織または Cloud Identity 組織が必須です。そのため、その企業・官公庁で Google Workspace のグループウェア機能が不要である場合、Cloud Identity を利用することになります。

当記事ではそのようなケースのために、Cloud Identity Free Edition を新規登録して利用開始するための手順を記述します。

なお Google Cloud の組織 (Organization) については以下の記事もご参照ください。

blog.g-gen.co.jp

登録手順

参考 : Cloud Identity に申し込む

前提

実際に登録を行う前に、以下をご準備ください。

SMS が受信可能もしくは音声電話を受電可能な 電話番号
組織に登録する ドメイン名
- .tk など一部のドメイン名は利用不可です
- 手順の中で、ドメインを管理するゾーンに DNS レコードを登録します。DNS の管理を他部署や業者に委託している場合は、情報連携の準備をしておきます

Cloud Identity Free Edition の初期登録の流れ

次の登録ページにアクセスします。
Cloud Identity Free に登録する
ビジネス名、従業員の数を指定し、次へを押下
Google からの連絡受信用の連絡先を入力し、次へを押下
ご利用のドメイン名を入力し、次へを押下
ご利用のドメイン名を確認し、次へを押下
任意で選択します
ログイン情報を入力し、ロボットによる操作でないことを確認したら、同意してアカウントを作成を押下 ※ここで入力したログイン情報を後ほどの Admin Console ログイン画面で使用します。
以上で Cloud Identity アカウントの作成は完了です。上記画面の続行ボタンを押下するとこの後の「Admin Console へのログイン」画面に遷移します。

Admin Console へのログイン

先程作成した管理者アカウント情報・パスワードを入力し、次へを押下 Sign in - Google Accounts
本人確認の実施登録した電話番号にSMSが届きます。
理解しました を押下
次へを押下

ドメイン所有権の証明

Cloud Identity の設定画面が表示されるので、先程登録したドメインを選択し、保護を押下
表示されたポップアップの内容を確認し、ドメインを保護 を押下
DNS レコードまたは DNS 設定を探す
ドメイン所有権を証明するためのTXTレコードが表示されるので、コピー を押下 TXT レコードは、ドメイン取得事業者の管理画面、もしくはドメイン管理を委任している DNS サーバで設定する必要があります。
再度、ドメインを保護 を押下 Google が TXT レコードを確認できるとドメインの所有権の確認が終わります。確認プロセスは通常は数分で終わりますが、ドメインを取得したばかりである等の理由で数日かかるケースもあります。本記事末尾の「トラブルシューティング」にも関連の事象を記載しましたので、ご確認ください。

Google Cloud Console ログイン＆組織選択

以下のページにアクセス https://console.cloud.google.com/
管理者アカウント情報・パスワードを入力し、次へを押下
利用規約にチェックを入れ、同意して続行を押下
Google Cloud を初めて使用し、まだプロジェクトを作成していない場合は、Google Cloud Console にログインして利用規約に同意すると、組織リソースが作成されます。 ※反映までに時間がかかります。
上記画面に反映されたら、ナビゲーションメニューから IAMと管理 を選択し、IAM から作成された組織が確認可能です。
以上で、Cloud Identity Free Edition の登録から組織作成まで完了です。

トラブルシューティング

電話番号が使えない

管理者アカウントで初めてログインする際に本人確認のための電話番号を入力しますが、この際に「この電話番号は、既に何度も確認に使用されているため無効です。」という旨のメッセージが表示され、弾かれてしまうケースがあります。

特に、複数の Cloud Identity (Google Workspace) 組織を数日〜数ヶ月などの短期間で作成した際に、この現象が発生します。

これは、同一の電話番号でスパム的に多数の組織が作成されてしまうことを防ぐため、Google が機械的に電話番号をチェックしていることに起因しています。

これまで Google のアカウントサービス (Google Workspace、Cloud Identity、無償の Gmail アカウント等) で使用した実績がある電話番号は、機械的に拒否されてしまうため、同じ電話番号を利用する場合は期間を空けてから利用する必要があります。どうしても短期間のうちに複数の組織を作成する必要がある場合は、最初の一回の認証時のみ、別の電話番号を用意する必要があります。

ドメインの所有権証明でエラー

ドメイン所有権の証明の手順中に、以下のメッセージが表示される場合があります。

現在、ドメインの所有権を証明することができません。ドメインホストで情報が更新されるまでにしばらくかかる可能性があります。更新がすぐに行われない場合は、所有権の証明をもう一度お試しください。

これは、ドメインを取得したばかりであったり、ドメイン登録事業者の Web UI から DNS レコードを登録したために実際の DNS サーバに情報が反映がされていない場合等に表示されることがあるメッセージです。

この表示がされた場合は、時間を置いて再度、管理画面を確認してください。前述のようにドメインや DNS 側が原因であれば自動的に解消されますが、最長 48 時間ほどかかる場合もあります。それ以外の理由の場合、DNS レコードが正しく登録できないことが原因の場合もありますので、設定値を十分確認してください。