Infrastructure as Code の推奨事項の使用

このチュートリアルを終了した後、作成したリソースを削除すると、それ以上の請求は発生しません。詳細については、クリーンアップをご覧ください。

環境の設定

1. Google Cloud コンソールで、build プロジェクトを選択します。

2. Google Cloud コンソールで、Cloud Shell に移動します。

   Cloud Shell に移動

   Google Cloud コンソールの下部で Cloud Shell セッションが開き、コマンドライン プロンプトが表示されます。Cloud Shell はシェル環境です。Google Cloud CLI がすでにインストールされており、現在のプロジェクトの値もすでに設定されています。セッションが初期化されるまで数秒かかることがあります。

   このチュートリアルでは、すべてのターミナル コマンドに Cloud Shell を使用します。

3. 次のコマンドを使用して、build プロジェクトのプロジェクト番号を保持する環境変数を作成します。

   export BUILD_PROJECT_ID=$DEVSHELL_PROJECT_ID
   

4. test プロジェクトのプロジェクト番号を保持する環境変数を作成します。PROJECT-ID は、手動でテスト プロジェクト ID をコピーして置き換えます。

   export TEST_PROJECT_ID=PROJECT-ID
   

5. このチュートリアル全体で使用される値（リージョンやゾーンなど）には、デフォルト設定を割り当てます。このチュートリアルでは、デフォルトのリージョンとして us-central1 を使用し、デフォルトのゾーンとして us-central1-b を使用します。

6. 次のコマンドを実行して、このチュートリアルのデフォルトのリージョンとゾーンを設定します。

   gcloud config set compute/zone us-central1-b --project $BUILD_PROJECT_ID
   gcloud config set compute/zone us-central1-b --project $TEST_PROJECT_ID
   

7. build プロジェクトをデフォルト プロジェクトとして設定します。

   gcloud config set project $BUILD_PROJECT_ID
   

8. build プロジェクト番号用に BUILD_PROJECT_NUMBER という環境変数を作成します。

   export BUILD_PROJECT_NUMBER=$(gcloud projects describe $DEVSHELL_PROJECT_ID --format='value(projectNumber)')
   

9. このチュートリアル用に GitHub リポジトリのクローンを作成します。

Terraform の状態用バケットの作成

ビルド プロジェクトで Cloud Storage バケットを作成し、Terraform の状態ファイルを保存します。

gsutil mb -p ${BUILD_PROJECT_ID} -l us-central1 \
 gs://recommender-tf-state-$BUILD_PROJECT_ID

GitHub リポジトリの作成

サンプルの IaC リポジトリとして機能する GitHub リポジトリを作成します。

1. 新しいプライベート GitHub リポジトリを作成します。このチュートリアルでは、この IAC-REPO-NAME リポジトリは IaC リポジトリとして機能します。

2. 以降の手順では、クローンされたリポジトリの sample-iac サブディレクトリ内のファイルを GitHub アカウントに push します。

   1. Cloud Shell で、sample-iac ディレクトリをホーム ディレクトリにコピーします。このディレクトリを使用して新しいローカル リポジトリを作成し、それを GitHub に push します。

      cp -r recommender-iac-pipeline-nodejs-tutorial/sample-iac $HOME
      

   2. この新しいディレクトリに移動します。

      cd $HOME/sample-iac
      

   3. ローカルマシンでリポジトリを初期化します。

      git init
      

   4. IAC-REPO-NAME をリモート リポジトリとして追加します。IAC-REPO-NAME と GITHUB-ACCOUNT は、適切な値に置き換えます。

      git remote add origin http://github.com/GITHUB-ACCOUNT/IAC-REPO-NAME
      

   5. このリポジトリで、ファイル内のプレースホルダを test プロジェクト ID と Terraform Cloud Storage バケット名に置き換えます。

      sed -i "s|__PROJECT_ID__|${TEST_PROJECT_ID}|g" ./terraform.tfvars
      
      sed -i "s|__STATE_BUCKET_NAME__|recommender-tf-state-$BUILD_PROJECT_ID|g" ./backend.tf
      

   6. GitHub に add、commit、push します。

      git add .
      git commit -m "First Commit"
      git push origin master
      

   7. 表示された指示に従って、GitHub アカウントにログインします。

リポジトリの SSH 認証鍵の生成

GitHub で IaC リポジトリを使用して SSH 認証鍵認証を設定し、鍵を Cloud Storage にアップロードします。

1. GitHub リポジトリの SSH 認証鍵を生成します。

   1. SSH 認証鍵ペアを生成します。[email protected] は、GitHub メールアドレスに置き換えます。Cloud Shell で次を処理します。

      ssh-keygen -t rsa -b 4096 -m PEM -C "[email protected]"
      

   2. 「鍵を保存するファイルを入力してください」というメッセージが表示されたら、Enter キーを押します。これでデフォルトのファイルの場所が指定されます。

   3. パスフレーズの入力を求めるメッセージが出力されたら、Enter キーを押します。

2. ダウンロードした SSH 認証鍵を保存するディレクトリ SSH-KEYS-DIR をメモします。デフォルトの場所は、$HOME/.ssh/ です。

3. 生成された SSH 公開鍵を、デプロイキーとして GitHub リポジトリにコピーします。

   1. Cloud Shell で生成した SSH 公開鍵をコピーします。SSH-KEYS-DIR は、ディレクトリ パスに置き換えます。

      cat SSH-KEYS-DIR/id_rsa.pub
      

   2. GitHub アカウントで、IAC-REPO-NAME リポジトリに移動します。

   3. [Settings] > [Deploy keys] をクリックします。

   4. [Add deploy key] をクリックして、コピーした SSH 公開鍵を貼り付けます。キーの [Title] を入力します。

   5. [Allow write access] チェックボックスをオンにします。

   6. [Save] をクリックします。

4. Cloud Shell セッションに戻ります。

5. GitHub 用の known_hosts ファイルを作成します。Cloud Shell セッションで、次のコマンドを実行します。

   ssh-keyscan github.com >> ~/.ssh/known_hosts
   

6. build プロジェクトに Cloud Storage バケットを作成し、SSH 認証鍵と known_hosts ファイルをアップロードします。SSH-KEYS-DIR は、SSH 認証鍵を生成したディレクトリのパスに置き換えます。

   gsutil mb -p ${BUILD_PROJECT_ID} -l us-central1 gs://github-keys-$BUILD_PROJECT_ID
   
   gsutil cp SSH-KEYS-DIR/id_rsa* gs://github-keys-$BUILD_PROJECT_ID
   gsutil cp SSH-KEYS-DIR/known_hosts gs://github-keys-$BUILD_PROJECT_ID
   

7. GitHub 用の個人アクセス トークンを生成します。このトークンは、API 呼び出しを使用して Git オペレーションを実行するときに使用され、そのオペレーションでは、recommender-parser サービスが pull リクエストを生成し、更新された IaC マニフェストをチェックインします。

   1. GitHub アカウントで、ページの右上にあるプロフィール写真をクリックし、つづいて [Settings] をクリックします。

   2. 左側のサイドバーで [Developer settings] をクリックします。

   3. 左側のサイドバーで [Personal access tokens] をクリックします。

   4. [Generate new token] をクリックします。

   5. トークンにわかりやすい名前を付けます。

   6. [Select scopes] で、[repo] を選択します。

   7. [Generate token] をクリックします。

   8. トークンをクリップボードにコピーします。

   9. Cloud Shell セッションで、環境変数を作成します。

      export GITHUB_PAT=personal-access-token-you-copied
      

Cloud Build の設定

1. IAC-REPO-NAME Git リポジトリを接続し、Cloud Build と統合します。

   1. GitHub Marketplace の Cloud Build App ページに移動します。
   2. 下にスクロールし、ページ下部にある [Setup with Google Cloud Build] をクリックします。
   3. 表示された指示に沿って、GitHub にログインします。
   4. [Only select repositories] を選択します。[Select repositories] プルダウン リストを使用して、Cloud Build アプリで IAC-REPO-NAME へのアクセスのみを有効にします。
   5. [Install] をクリックします。

   6. Google Cloud にログインします。

      認可ページが表示されます。ここで、Google Cloud Build アプリが Google Cloud に接続するのを認可するよう求められます。

   7. [Authorize Google Cloud Build by GoogleCloudBuild] をクリックします。Google Cloud コンソールにリダイレクトされます。

   8. Google Cloud プロジェクトを選択します。

   9. 同意のチェックボックスをオンにして、[次へ] をクリックします。

   10. [リポジトリの選択] ページが表示されたら、IAC-REPO-NAME GitHub リポジトリを選択します。

   11. [リポジトリを接続] をクリックします。

   12. [トリガーを作成する] をクリックします。これにより、トリガーの定義が作成されます。

   13. [作成] をクリックして、ビルドトリガーを保存します。

   詳細については、GitHub でのビルドの実行をご覧ください。

2. コピーしたディレクトリには、cloudbuild.yaml ファイルがあります。この構成ファイルには、Cloud Build ジョブがトリガーされたときに実行されるステップの概要が記載されています。

   steps:
   - name: hashicorp/terraform:0.12.0
     args: ['init']
   - name: hashicorp/terraform:0.12.0
     args: ['apply', '-auto-approve']
   

3. Cloud Build サービス アカウントに権限を追加して、サービス アカウント、関連するロール、テスト プロジェクト内の仮想マシン（Compute Engine インスタンス）の作成を許可します。

   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
     --member serviceAccount:[email protected] \
     --role roles/compute.admin \
     --project $TEST_PROJECT_ID
   
   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
     --member serviceAccount:[email protected] \
     --role roles/iam.serviceAccountAdmin \
     --project $TEST_PROJECT_ID
   
   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
   --member serviceAccount:[email protected] \
   --role roles/iam.securityAdmin \
   --project $TEST_PROJECT_ID
   

4. Google Cloud コンソールで Cloud Build の [トリガー] ページを開きます。

5. [build] プロジェクトを選択し、[開く] をクリックします。

6. トリガーの定義を更新します。

   1. more_vert メニューをクリックし、[編集] をクリックします。
   2. [構成] で [Cloud Build 構成ファイル（yaml または json）] オプションを選択し、テキスト フィールドに「cloudbuild.yaml」と入力します。
   3. [保存] をクリックします。

7. ビルドトリガーを手動でテストするには、トリガーリスト中の作成したトリガーの行で [実行] をクリックします。

8. tf-compute-1 という Compute Engine インスタンスと Terraform Recommender Test というサービス アカウントが、前の手順で実行した Cloud Build ジョブにより、テスト プロジェクト内に作成されることを確認します。

recommender-parser Cloud Run サービスのデプロイ

1. Cloud Shell で、リポジトリのクローンとして作成されたディレクトリに移動します。

   cd $HOME/recommender-iac-pipeline-nodejs-tutorial/parser-service
   

2. Cloud Run サービスのデフォルト リージョンを使用するように Google Cloud を構成します。このチュートリアルでは、us-central1 リージョンを使用しますが、サポートされている別のリージョンを選択することもできます。

   gcloud config set run/region us-central1
   

3. parser-service ディレクトリには、スタブ サブディレクトリがあり、その中には recommender-parser サービスをテストするためのサンプル ペイロード JSON がいくつかあります。次の sed コマンドを実行して、これらの JSON の PROJECT_ID プレースホルダをテスト プロジェクト ID に置き換えます。

   sed -i "s|__PROJECT_ID__|${TEST_PROJECT_ID}|g" ./stub/iam.json
   sed -i "s|__PROJECT_ID__|${TEST_PROJECT_ID}|g" ./stub/vm.json
   

4. 次のコマンドを実行して、Docker イメージ用の環境変数を作成します。

   export IMAGE=gcr.io/$BUILD_PROJECT_ID/recommender-parser:1.0
   

5. イメージをビルドして、Container Registry にアップロードします。

   gcloud builds submit --tag $IMAGE .
   

6. パイプライン内の他の Google Cloud サービスとやり取りする recommender-parser サービス用のサービス アカウントを作成します。Cloud Run サービスには、細分化した権限を付与することをおすすめします。詳細については、Cloud Run サービス ID をご覧ください。

   gcloud beta iam service-accounts create recommender-parser-sa \
     --description "Service account that the recommender-parser service uses to invoke other Google Cloud services" \
     --display-name "recommender-parser-sa" \
     --project $BUILD_PROJECT_ID
   

7. recommender-parser サービスは、先に作成した Cloud Storage バケットにアップロードした GitHub SSH 認証鍵と Terraform の状態にアクセスする必要があります。サービス アカウントをメンバーとして Cloud Storage バケットに追加します。

   gsutil iam ch serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com:objectCreator,objectViewer \
   gs://github-keys-$BUILD_PROJECT_ID
   
   gsutil iam ch serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com:objectCreator,objectViewer \
   gs://recommender-tf-state-$BUILD_PROJECT_ID
   

8. recommender-parser サービスのサービス アカウントに、Firestore、Recommender、Service Usage API へのアクセス権を付与します。

   gcloud projects add-iam-policy-binding $BUILD_PROJECT_ID \
     --member serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/datastore.user
   
   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
     --member serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/recommender.iamAdmin
   
   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
     --member serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/recommender.iamViewer
   
   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
     --member serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/recommender.computeAdmin
   
   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
     --member serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/serviceusage.serviceUsageConsumer
   

9. 次のコマンドを実行して、Cloud Run サービス（recommender-parser）をデプロイします。GITHUB-ACCOUNT は、メールアドレスではなく GitHub アカウントのユーザー名に置き換えます。システムからのメッセージは、すべて受け入れます。

   gcloud run deploy \
    --image=${IMAGE} \
    --no-allow-unauthenticated \
    --region us-central1 \
    --platform managed \
    --service-account recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
    --set-env-vars="GITHUB_ACCOUNT=github.com:GITHUB-ACCOUNT,GITHUB_PAT=${GITHUB_PAT},SSH_KEYS_BUCKET=github-keys-${BUILD_PROJECT_ID},TERRAFORM_STATE_BUCKET=recommender-tf-state-$BUILD_PROJECT_ID" \
    --project $BUILD_PROJECT_ID \
    recommender-parser
   

Firestore の設定

1. Google Cloud Console で、build プロジェクトの Firestore ページに移動します。
2. モードの選択を求められた場合は、[ネイティブ モードに切り替える] をクリックします。
3. デフォルトのロケーションとして us-east1 を選択します。
4. [データベースを作成] をクリックします。

recommender-parser サービスは、次の目的でこのデータベースにドキュメントを書き込みます。

• Recommender API から取得した推奨事項を追跡する。
• 推奨事項が処理されたら、Recommender API を呼び出して、処理された各推奨事項のステータスを SUCCEEDED または FAILED に適宜更新する。これは、推奨事項が不完全に処理されることや、複数回処理されることを防ぐことにより、パイプラインをべき等にする重要なステップです。

Cloud Scheduler ジョブの設定

1. Cloud Scheduler ジョブが recommender-parser サービスを実行するために使用するサービス アカウントを作成します。

   gcloud beta iam service-accounts create recommender-scheduler-sa \
     --description "Service Account used by Cloud Scheduler to invoke the recommender-parser service" \
     --display-name "recommender-scheduler-sa" \
     --project $BUILD_PROJECT_ID
   

2. Cloud Run サービスを呼び出すことができるように、サービス アカウントに Cloud Run 起動元ロールを付与します。

   gcloud beta run services add-iam-policy-binding recommender-parser \
   --member=serviceAccount:recommender-scheduler-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
   --role=roles/run.invoker \
   --region=us-central1
   

3. recommender-service の URL を取得します。

   gcloud beta run services list --platform managed --project $BUILD_PROJECT_ID
   

   Cloud Scheduler ジョブは、recommender-parser サービスの /recommendation/iam ルートを呼び出して IAM 推奨事項を解析し、/recommender/vm ルートを呼び出して VM サイズ変更の推奨事項を解析します。

4. Cloud Scheduler ジョブが呼び出すエンドポイントの変数を作成します。RECOMMENDER-SERVICE-URL は、前の手順でコピーした recommender-service の URL に置き換えます。

   export RECOMMENDER_ROUTE_TO_INVOKE_IAM=RECOMMENDER-SERVICE-URL/recommendation/iam
   

   ルート情報を追加した後の URL は、次のサンプル URL のような形になります。

   RECOMMENDER-SERVICE-URL/recommendation/iam
   

5. recommender-iam-scheduler. という名前の Cloud Scheduler ジョブを作成します。

   • タイムゾーンは、設定したロケーションに基づいて変更します。
   • IAC-REPO-NAME は、作成した GitHub リポジトリの名前に置き換えます。

   メッセージ本文には 3 つの入力が必要で、次のように作成する必要があります。

   • repo: GitHub リポジトリの作成で作成した GitHub リポジトリ IAC-REPO-NAME の名前です。

   • projects: この IaC GitHub リポジトリがマッピングする Google Cloud プロジェクト ID のリスト / 配列。このチュートリアルでは、test プロジェクトです。

   • stub: Recommender では、ロールの権限の一部が 60 日間使用されていない場合に IAM の推奨事項を生成します。また、VM サイズ変更の推奨事項についても同様です。このパイプラインをオンデマンドでテストするために、stub を true として渡すことができます。これにより、このチュートリアルでクローン作成したリポジトリに提供されるサンプルの Recommender ペイロードを使用して、パイプラインをテストできます。

   gcloud beta scheduler jobs create http recommender-iam-scheduler \
     --project $BUILD_PROJECT_ID \
     --time-zone "America/Los_Angeles" \
     --schedule="0 */3 * * *" \
     --uri=$RECOMMENDER_ROUTE_TO_INVOKE_IAM \
     --description="Scheduler job to invoke recommendation pipeline" \
     --oidc-service-account-email="recommender-scheduler-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com" \
     --headers="Content-Type=application/json" \
     --http-method="POST" \
     --message-body="{ \"repo\": \"IAC-REPO-NAME\", \"projects\": [\"$TEST_PROJECT_ID\"], \"location\": \"global\", \"stub\": true }"
   

その他の手順

Cloud Build は、ビルド プロジェクトで Cloud Build API を有効にしたときに自動的に作成された cloud-builds と呼ばれる Pub/Sub トピックにビルド情報を公開します。

1. 次のコマンドを実行して、build プロジェクトに cloud-builds トピックが存在することを確認します。

   gcloud pubsub topics describe cloud-builds
   

   トピックが存在する場合、次の出力が表示されます。ここで BUILD-PROJECT-ID はビルド プロジェクト ID です。

   name: projects/BUILD-PROJECT-ID/topics/cloud-builds
   

   リソースが見つからないというエラー メッセージが表示された場合は、ビルド通知へのサブスクリプションの手順に沿ってトピックを手動で作成します。

2. Pub/Sub が recommender-parser サービス エンドポイントを呼び出すために使用するサービス アカウントを作成します。

   gcloud beta iam service-accounts create recommender-ci-subscription-sa \
     --description "Service Account used by Cloud Pub/Sub to push Cloud Build events to the recommender-parser service" \
     --display-name "recommender-ci-subscription-sa" \
     --project $BUILD_PROJECT_ID
   

3. Pub/Sub サービス アカウントは、メッセージを公開して recommender-parser サービスを開始するために必要なロールと関連付けられる必要があります。

   gcloud projects add-iam-policy-binding $BUILD_PROJECT_ID \
     --member serviceAccount:recommender-ci-subscription-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/pubsub.publisher \
     --project $BUILD_PROJECT_ID
   
   gcloud projects add-iam-policy-binding $BUILD_PROJECT_ID \
     --member serviceAccount:recommender-ci-subscription-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/pubsub.subscriber \
     --project $BUILD_PROJECT_ID
   
   gcloud projects add-iam-policy-binding $BUILD_PROJECT_ID \
     --member serviceAccount:recommender-ci-subscription-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/run.invoker \
     --project $BUILD_PROJECT_ID
   

4. 作成した recommender-ci-subscription-sa サービス アカウントを、invoker ロールを持つメンバーとして recommender-parser サービスに追加します。

   gcloud beta run services add-iam-policy-binding recommender-parser \
     --member=serviceAccount:recommender-ci-subscription-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role=roles/run.invoker --region=us-central1
   

5. Google Cloud Console で Pub/Sub に移動します。

6. cloud-builds トピックをクリックします。

7. [サブスクリプションを作成] をクリックします。

8. [サブスクリプション ID] に「recommender-service-build-events」と入力します。

9. [配信タイプ] で、[push] を選択します。

10. [エンドポイント] には、/ci が付加された recommender-service の URL を入力します。

11. [認証を有効にする] にチェックを入れます。

    1. 作成したサービス アカウント recommender-ci-subscription-sa を選択します。
    2. 入力を促すメッセージが表示されたら、[付与] をクリックします。

12. [確認応答期限] には「60」秒と入力します。

13. 残りはデフォルト値のままににします。

14. [CREATE] をクリックします。

パイプラインをテストする

Recommender では、ロールの権限の一部が 60 日間使用されていない場合に IAM の推奨事項を生成します。VM サイズ変更の推奨事項についても同様です。このパイプラインをオンデマンドでテストするため、このチュートリアル用にクローン作成したリポジトリの stub サブディレクトリに提供されるサンプルの推奨事項 JSON ペイロードを使用します。これにより、パイプラインをテストして、recommender-parser が Recommender API エンドポイントに対して行う API 呼び出しを抑制し、正常に適用された推奨事項のステータスを更新できます。

また、Google Cloud プロジェクトに有効な推奨事項が存在する場合は、スタブを使用せずに、エンドツーエンドでもパイプラインをテストできます。後述する結果の概要は、パイプラインのテストにサンプル ペイロードを使用した場合のものです。ただし、サンプルを使用しない場合も、このパイプラインをテストする手順は変わりません。

1. Google Cloud コンソールでテスト プロジェクトに移動し、作成されたリソースを確認します。次のリソースが必要です。

   1. マシンタイプ g1-small を有する tf-compute-1 と呼ばれる Compute Engine インスタンス。
   2. テスト プロジェクト用に editor のロールを持つ Terraform Recommender Test という名前のサービス アカウント。

2. build プロジェクトの Cloud Scheduler コンソールのページで、recommender-iam-scheduler ジョブの [今すぐ実行] をクリックします。

3. ジョブをクリックしてログを表示します。また、recommender-parser サービスログを表示して、サービスによって実行されたステップの詳細を確認することもできます。

4. サービスの実行が完了したら、GitHub の IAC-REPO-NAME リポジトリに移動します。recommender-parser サービスで、pull リクエストが生成されています。この pull リクエストを構成する変更された IaC マニフェストを確認し、問題がなければ [Merge pull request] をクリックします。

5. pull リクエストをマージすると、マスター ブランチへの新しい commit が作成されます。これにより、test プロジェクト内の Google Cloud リソースに変更をロールアウトする Cloud Build ジョブがトリガーされます。Cloud Build ジョブが完了するまで少し待ちます。ステータスは Google Cloud コンソールで確認できます。

6. ジョブが完了したら、テスト プロジェクトに移動します。サンプル ペイロードにより、テスト プロジェクトのリソースは次のように変更されます。

   • 前のデプロイでは editor ロールが付与されていた Terraform テスト サービス アカウントは、viewer に変更されます。