GCP IAM 是什麼？身分與存取權管理的基礎介紹
GCP IAM（Identity and Access Management）是一套用來管理存取權限的機制，用來定義「誰可以對哪些資源做什麼事」。它是 Google Cloud 中最核心的資安功能之一，也是建構安全、可擴展且易於管理雲端環境的基礎。
透過 IAM，企業可以針對雲端資源進行細緻的權限控管，確保使用者與應用程式僅擁有完成工作所需的最低權限，避免不必要的資安風險。這也是勤英科技在協助企業進行 GCP 架構與資安健檢時，最優先檢視的設定項目之一。
在本指南中，我們將從GCP IAM 的核心概念出發，並透過 GCP Console 的實際操作，說明每個設定步驟背後的設計目的，再進入實務層面的應用。
IAM 核心概念解析：Member、Role、Policy 與 Resource
在開始設定 IAM 之前，先理解以下幾個關鍵組成元素非常重要：
- Member：請求存取資源的主體，例如 Google account、service account、Google group 或整個網域
- Role：一組權限的集合，用來定義 Member 可以執行哪些操作
- Policy：將一個或多個 Member 綁定到一個或多個 Role 的設定文件
- Resource：任何可由 IAM 管理的 GCP 資源，例如 project、Cloud Storage bucket 或 Compute Engine instance
IAM policy 一定是附加在 Resource 上。當 policy 套用在 project 層級時，預設會影響其底下所有資源，除非在更低層級被覆寫。
查看 GCP IAM 角色與成員設定
第一步，我們需要先確認目前有哪些使用者或服務帳號擁有專案存取權限，以及他們被指派了哪些角色。這有助於快速掌握現有的權限分佈情況。
請先打開 GCP Console，並前往 IAM & Admin。
接著選擇 IAM 頁面。
此畫面會列出所有擁有該專案存取權的成員，以及他們目前所擁有的角色。點擊任一成員即可查看更詳細的權限內容。這個清單在進行資安稽核，或檢視新專案的預設權限時特別實用。
在 GCP IAM 中新增成員並指派權限
當需要為新成員新增存取權時，關鍵在於明確定義「是誰」以及「需要到什麼程度的權限」。例如，新進工程師可能只需要 Cloud Storage 的讀寫權限，而不應該能修改 IAM 設定。
在 IAM 頁面中，點擊 Grant Access。
在 Add principals 區塊中，輸入要新增的成員 Email。
接著選擇合適的角色，例如需要完整 Cloud Storage 存取權限時，可以選擇 Storage Admin。
確認設定無誤後，點擊 Save。該成員就會出現在 IAM 清單中，並套用指定的角色。
這樣的流程能確保每位成員只取得必要權限，符合最小權限原則，也是勤英科技在企業導入 GCP IAM 時最強調的基本原則。
建立 Custom Role：自訂符合需求的 IAM 權限角色
在某些情況下，Google 提供的預設角色可能權限過大，或缺少特定操作權限，這時就適合使用 Custom Role。
請在 IAM & Admin 中進入 Roles。
點擊 Create Role。
設定角色名稱、ID 與說明。
接著選擇要納入的權限。例如，只允許啟動與停止 Compute Engine instance，而不允許建立或刪除資源，就只需勾選對應的權限。
確認設定後，點擊 Create。
完成後，新的 Custom Role 會出現在角色清單中
新的 Custom Role 可回到 IAM 頁面指派給成員使用。
Custom Role 特別適合用來貼合企業內部流程或合規需求，也是大型組織常見的權限管理做法。
稽核 IAM Policy 與存取權限設定
要維持長期的雲端資安與合規性，定期稽核 IAM 設定是不可或缺的一環。這能協助你找出權限過大的帳號、未授權的設定變更，或人為誤操作。
你可以在 IAM & Admin 中使用 Policy Analyzer，檢視成員在不同資源上的實際存取權限。
並可依角色、成員或權限進行篩選。
此外，IAM 相關的操作紀錄可在 Logging > Logs Explorer 中查看。透過篩選 iam.googleapis.com，可以追蹤 policy 變更、角色指派、service account key 建立等行為。
這些紀錄在資安審查與事件調查中非常重要。
GCP IAM 最佳實踐整理
- 永遠遵循最小權限原則
- 優先使用 Google 提供的預設角色，因為它們會持續維護與更新
- 除非必要，避免授予 Owner 角色
- 使用 Google Groups 管理使用者，將權限指派給群組，而非個別使用者
使用 Google Cloud IAM 精準控管雲端存取權限
Google Cloud IAM 能讓你在大規模環境中，依然清楚掌握「誰可以存取什麼」。
📞 立即諮詢勤英科技雲端顧問，協助你一次把 IAM 設定到位。
總結：如何建立安全且可管理的 GCP IAM 架構
GCP IAM 提供對雲端資源極為細緻的存取控制能力。透過理解 IAM 的核心組成，並在 GCP Console 中落實實際操作，團隊就能清楚掌握誰可以存取哪些資源。檢視現有權限、指派合適角色、建立 Custom Role，以及持續稽核與監控，構成了良好 IAM 管理的基礎。
對於規模更大或變動頻繁的環境，進一步整合自動化工具或 Infrastructure as Code 會是下一步。但從 Console 開始，能建立最直觀且紮實的 IAM 理解，是打造安全雲端環境不可或缺的第一步。
常見問題（FAQ）
Google Cloud 的 Identity and Access Management（IAM）是什麼？
Identity and Access Management（IAM）是 Google Cloud 提供的一套存取權限管理機制，用來控管哪些使用者、群組或 service account 可以存取哪些雲端資源，確保只有被授權的對象才能進行操作。
為什麼 GCP IAM 對雲端資安這麼重要？
GCP IAM 是雲端資安的核心，因為它能明確定義每個帳號的角色與權限，避免未授權存取，並有效降低資料外洩或誤操作的風險。
GCP IAM 的主要組成元素有哪些？
GCP IAM 主要包含三個關鍵元素：
– Principal（主體）：例如使用者、service account 或群組
– Role（角色）：定義可執行哪些操作的權限集合
– Resource（資源）：如 project、Cloud Storage bucket 或 Compute Engine instance
這些元素共同構成完整的存取控管架構。
最小權限原則（Least Privilege）如何應用在 GCP IAM？
最小權限原則代表只授予使用者完成工作所需的最低權限，避免多給不必要的存取能力，藉此降低誤用或資安風險。
GCP IAM 的預設角色（Predefined Roles）是什麼？
預設角色是 Google 為常見使用情境設計好的權限組合，例如 Viewer、Editor、Admin，可直接使用並減少自行設定權限的複雜度。
如何在 Google Cloud 中保護 service account key？
保護 service account key 的最佳做法包括定期輪替金鑰、限制使用範圍、避免將金鑰儲存在不安全的位置，並透過 IAM policy 控制誰可以存取這些金鑰。
