AWSとGCPのIAMの違い（主体とIAMオブジェクト編）

直近でGCPを触る機会があり、今まで使用していたAWSとの違いに少し面食らったので備忘録です。
今回はIAMです。

AWSでは1つのAWSアカウントが管理単位となり、その中でIAMによってアクセス制御を行う。
IAMの主体としてはIAMユーザやIAMロールが存在し、これらに対してポリシーを付与することで各AWSリソースへのアクセスを制御する。

AWSアカウント
\rootユーザ
    \IAMユーザ・グループ（人間）
    \IAMロール（ユーザ・AWSリソース・外部IDなどが一時的に引き受ける権限）

一方、GCPは明確な階層構造を持つ（AWSでもOrganizationsを使うことで近い構造を実現可能）。

GCPではGoogleアカウント（Cloud Identity / Workspace）を基盤としつつ、「サービスアカウント」や「グループ」などが主体（プリンシパル）となり、これらに対してロールを付与することでアクセス制御を行う。

また、リソースは以下の階層で管理され、上位で付与した権限は下位に継承される。

組織（Organization）
    \フォルダ（Folder）
        \プロジェクト（Project）
            \リソース

プリンシパル（主体）
・Googleアカウント（人間ユーザ）
・サービスアカウント（アプリケーション）
・Googleグループ

↑ 権限があれば対象スコープ配下のリソースを操作可能。

AWSとGCPでは、IAMで扱う「リソース（オブジェクト）」の考え方にも違いがある。

主なIAMリソースは以下。

特徴：

GCPは主体と権限を分離した設計になっている。

主なIAMリソースは以下。

特徴：

単一のアイデンティティで複数プロジェクトに横断的にアクセス可能であるため、思わず別PJに行けてしまうケースがあったので注意したい。
同名で違う働きをするものがあるので頭がバグる。