2026.08.04 コラム
【テックコラム】Cloud Run へのアクセスを異なる組織にも許可する
DataCurrent の金子です。今回は、Identity-Aware Proxy（IAP）を使って、異なる組織の Google ユーザーも Cloud Run の URL にアクセスできるようにする手順をまとめます。
Cloud Run では、IAP を有効にすることで、許可した Google ユーザーだけがアクセスできるようになります。同じ組織のユーザーだけでなく、異なる組織の Google ユーザーにもアクセスを許可できます。
今回は、Google Cloud のサンプル コンテナをデプロイした Cloud Run に対して、Google Cloud コンソール上で、異なる組織のユーザーもアクセスできるように設定します。
※ この記事は、2026 年 7 月時点の Google Cloud の仕様に基づく内容です。
前提
- Identity-Aware Proxy API を有効にしていること。
- 対象となる Cloud Run サービスをデプロイ済みであること。この記事では、Cloud Run のサンプル コンテナをデプロイする手順に沿って作成したサービスを使用します。サンプル コンテナをデプロイする場合は、「認証」で、ドキュメントにある「公開アクセスを許可する」ではなく「認証が必要」を選択してください。
- 設定に必要な IAM ロールが付与されていること。必要な IAM ロールは、公式ドキュメントの Required roles を確認してください。また、IAP コンソールを表示するため、プロジェクトの閲覧者（
roles/viewer）も必要です。
- OAuth ブランディングが未設定の場合は、次の情報を準備していること。設定済かどうかは、「1. OAuth ブランディングを確認・設定する」で確認できます。
- アプリ名：OAuth 同意画面に表示する、エンドユーザーがサービスを識別できる名前
- ユーザーサポートメール：同意画面に表示され、エンドユーザーがログインや認可、アプリについて問い合わせるためのメールアドレス
- デベロッパーの連絡先メール：プロジェクトに関する Google からの重要な通知を確認できるメールアドレス
- アプリ名：OAuth 同意画面に表示する、エンドユーザーがサービスを識別できる名前
1. OAuth ブランディングを確認・設定する
最初に、異なる組織の Google ユーザーが認証できるように OAuth ブランディングを確認・設定します。
Google Auth Platform のブランディング画面 を開き、対象の Google Cloud プロジェクトを選択します。表示される画面によって、次のどちらかの手順を行います。
Google Auth Platform が未構成の場合
「Google Auth Platform はまだ構成されていません」と表示された場合は、「開始」をクリックします。既に構成されている場合は、「OAuth ブランディングが既にある場合」へ進んでください。
「アプリ情報」で、ユーザーに表示するアプリ名とユーザーサポートメールを入力し、「次へ」をクリックします。
「対象」では「外部」を選択し、「次へ」をクリックします。
「連絡先情報」に、Google からプロジェクトに関する通知を受け取るメールアドレスを入力し、「次へ」をクリックします。
最後に Google API サービスのユーザーデータに関するポリシーを確認してチェックを入れ、「続行」、「作成」の順にクリックします。
OAuth ブランディングが既にある場合
「開始」が表示されない場合は、OAuth ブランディングが既に構成されています。Google Auth Platform の対象（Audience）を開き、ユーザーの種類が「外部」か「内部」かを確認します。
「外部」の場合は変更せず、次の手順へ進みます。「内部」の場合は、異なる組織の Google ユーザーが認証できるように「外部に公開」をクリックします。
「外部に公開」をクリックすると、公開ステータスを選択するポップアップが表示されます。「テスト中」を選択し、「確認」をクリックします。
テストユーザーはここで追加する必要はありません。検証時は追加しなくても異なる組織のユーザーからアクセスできました。
2. Cloud Run で IAP を有効にする
次に、Cloud Run サービスで IAP を有効にします。
Cloud Run コンソールを開き、対象のサービスを選択します。「セキュリティ」タブを開き、「認証が必要」が選択されていることを確認します。
Identity-Aware Proxy（IAP）にチェックを入れ、「ポリシーの編集」をクリックします。なお、IAM は有効のままで問題ありません（IAM と IAP を併用する場合は、常に IAP のチェックが適用されます）。
3. アクセスを許可するユーザーまたはグループを追加する
「ポリシーの編集」をクリックすると、「Identity-Aware Proxy の構成」画面が表示されます。
Cloud Run へのアクセスを許可する Google ユーザーまたはグループを Principal 欄に入力します。同じ組織のユーザーと異なる組織のユーザーのどちらも、ここで指定できます。
認証させたいユーザーまたはグループを入力したら、「保存」をクリックします。
「Identity-Aware Proxy の構成」画面の「保存」をクリックすると、右サイドバーが閉じて Cloud Run の「セキュリティ」画面に戻ります。続いて、画面下部の「保存」をクリックして IAP の設定を反映します。
4. 異なる組織のユーザー向けの OAuth を構成する
Identity-Aware Proxy コンソールを開きます。
「Cloud Run サービス」から対象のサービスを確認します。IAP が有効になっていることを確認し、右端の操作メニューから設定を開きます。
「OAuth の構成」で「カスタム OAuth」を選択します。「認証情報を自動生成」をクリックし、クライアント ID とクライアントシークレットが設定されたら「保存」をクリックします。
5. 異なる組織のユーザーからアクセスする
ここまでの設定が完了したら、Principal に追加した異なる組織の Google ユーザーで Cloud Run の URL を開きます。
Google アカウントでの認証後、Cloud Run にデプロイしたサンプル コンテナの画面が表示されます。画面には認証された Google ユーザーも表示され、異なる組織のアカウントからアクセスできたことを確認できます（表示されるアカウントは環境により異なります）。
まとめ
Cloud Run で IAP を有効にし、OAuth ブランディングとカスタム OAuth を構成することで、異なる組織の Google ユーザーにも Cloud Run へのアクセスを許可できます。
アクセスを許可するユーザーやグループは、Cloud Run の IAP ポリシーから指定します。これにより、Cloud Run の URL を一般公開することなく、必要なユーザーだけがアクセスできるようになります。
最後に
自社に専門人材がいない、リソースが足りない等の課題をお持ちの方に、エンジニア領域の支援サービス（Data Engineer Hub）をご提供しています。お困りごとがございましたら是非お気軽にご相談ください。
本件に関するお問い合わせは下記にて承ります。
株式会社DataCurrent
info@datacurrent.co.jp