G-gen の杉村です。Compute Engine で起動した Linux VM に SSH ログインするにはいくつかの方法があり、それぞれネットワーク的な考慮点が異なるため、整理しました。

Compute Engine VM への SSH 接続について

Compute Engine で Linux インスタンスを起動した際、SSH ログインするにはいくつかの方法があります。

No	タイトル	インターフェイス
1	コンソールの SSH ボタン	Web ブラウザ
2	gcloud コマンド	PC のターミナル
3	SSH ターミナルソフト	SSH ターミナルソフト
4	Cloud IAP	上記のいずれか

それぞれの方法において、ログインのために必要な IAM や VPC ファイアウォールの設定が異なります。当記事では「ネットワーク」「認証・認可」の観点で整理しました。

コンソールの SSH ボタン

概要

Google Cloud コンソールの VM 一覧から SSH ボタンを押下してログインします。

最もシンプルで簡単に Linux VM へログインする方法です。

参考 : ブラウザからの SSH

インターフェイス

Web ブラウザの新規ウインドウが開き、SSH ターミナルとして利用できます。

ショートカットキーの利用やファイルのアップロード / ダウンロード、フォントの変更なども利用でき、多くのケースで不便を感じません。

なおこの方法では Cloud IAP が利用できる条件を満たしていると、自動的に Cloud IAP 経由でのアクセスになります。

要件

ネットワーク

VM から見た接続元 IP は Google のパブリック IP アドレスになります。そのため VPC のファイアウォールにて 22/TCP を、以下のいずれかの接続元から許可する必要があります。

0.0.0.0/0 (ログインしている Google アカウントが Cloud IAP 権限を持っていない場合)
35.235.240.0/20 (ログインしている Google アカウントが Cloud IAP 権限を持っている場合)

基本的には 0.0.0.0/0 から該当インスタンスへの 22/TCP を VPC ファイアウォールルールで許可する必要があります。Google のパブリック IP は不定のためです。ただし Google の接続元 IP アドレスは JSON で公開されており、これを自動的・定期的に取得してファイアウォール反映する仕組みを構築すれば、IP の追加・変動に対応することはできます。

また 35.235.240.0/20 からの接続がファイアウォールで許可されており、かつログインしている Google アカウントが IAP で保護されたトンネルユーザー (roles/iap.tunnelResourceAccessor) などの Cloud IAP 権限を持っている場合、自動的に Cloud IAP 経由での接続となります。その場合、VM から見た接続元 IP は 35.235.240.0/20 の範囲内の IP アドレスになります。

認証・認可

Google Cloud コンソールへのログインに利用している Google アカウントが該当インスタンスに対して適切な IAM 権限を持っていれば、SSH 鍵を管理することなく、Google アカウントの認証でログイン可能です。

公開鍵・秘密鍵のキーペアが自動的に作成された後、公開鍵が VM に登録され、OS ユーザーも自動的に作成されます。

作成されるユーザー名は Google アカウント名の @ マークの前になります (OS ログイン機能を使う場合は少し異なります) 。

必要な IAM 権限は以下のとおりです。

compute.instances.use 権限等 ( Compute インスタンス管理者 (v1) (roles/compute.instanceAdmin.v1) ロール推奨)
VM にサービスアカウントがアタッチされている場合はサービスアカウントまたはプロジェクトに対する iam.serviceAccounts.actAs 権限 ( サービスアカウントユーザー ロール等)
OS ログイン機能を利用する場合は OS ログインに必要な IAM ロール ( roles/compute.osAdminLogin または roles/compute.osLogin )

このように多少複雑です。プロジェクトのオーナー権限があれば問題なくログインできますが、例えば Compute 管理者 ロールのみを持っている人がこの方法でログインしようとした際、 予期しないエラーにより、VM インスタンスに接続できません。数分待ってからもう一度お試しください。 等と表示されることがあります。これは IAM 権限が足りないためであり サービスアカウントユーザー ロール等を付与すると解決することがあります。

エラー時に表示される「トラブルシューティング」ボタンを押下すると、足りない IAM 権限などが示されます。