GCPで完結するエンタープライズAI環境構築ガイド：Gemini・Imagen・NotebookLMをEntra ID属性ベースSSOで従量課金利用する

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

# GCPプロジェクト作成（組織配下に作成を推奨）
gcloud projects create YOUR_PROJECT_ID \
  --name="Enterprise AI Platform" \
  --organization=YOUR_ORG_ID

gcloud config set project YOUR_PROJECT_ID

# 必要APIを有効化
gcloud services enable \
  iam.googleapis.com \
  iamcredentials.googleapis.com \
  sts.googleapis.com \
  aiplatform.googleapis.com \
  cloudresourcemanager.googleapis.com \
  cloudbilling.googleapis.com \
  cloudaudit.googleapis.com \
  secretmanager.googleapis.com

# 請求アカウントを紐付け
gcloud billing projects link YOUR_PROJECT_ID \
  --billing-account=YOUR_BILLING_ACCOUNT_ID

1
2
3
4
5
6
7
8

// IDトークンに追加するクレーム（トークン構成画面で設定）
{
  "idToken": [
    { "name": "email" },
    { "name": "family_name" },
    { "name": "given_name" }
  ]
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

# PowerShell で カスタム属性をトークンに追加
# （オプションのクレームとして department, jobTitle は標準で追加可能）

# カスタムセキュリティ属性またはディレクトリ拡張属性を使用する場合
$TenantId = "YOUR_TENANT_ID"
$AppObjectId = "YOUR_APP_OBJECT_ID"

# ディレクトリ拡張属性の作成（AI利用ライセンス管理用）
Connect-MgGraph -Scopes "Application.ReadWrite.All"

$extensionProperty = New-MgApplicationExtensionProperty `
  -ApplicationId $AppObjectId `
  -Name "aiLicenseTier" `
  -DataType "String" `
  -TargetObjects @("User")

# ユーザーへの属性値設定例
Update-MgUser -UserId "[email protected]" `
  -AdditionalProperties @{
    "extension_APPID_aiLicenseTier" = "premium"
  }

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# クレームマッピングポリシー作成（department, jobTitleをトークンに追加）
$policy = New-MgPolicyClaimMappingPolicy -Definition @(
  '{"ClaimsMappingPolicy": {"Version": 1, "IncludeBasicClaimSet": true,
    "ClaimsSchema": [
      {"Source": "user", "ID": "department", "JwtClaimType": "department"},
      {"Source": "user", "ID": "jobTitle", "JwtClaimType": "jobTitle"},
      {"Source": "user", "ID": "extension_APPID_aiLicenseTier", "JwtClaimType": "aiLicenseTier"}
    ]
  }}'
) -DisplayName "GCP-AI-Claims-Policy" -IsOrganizationDefault $false

# アプリのサービスプリンシパルにポリシーを割り当て
New-MgServicePrincipalClaimMappingPolicyByRef `
  -ServicePrincipalId "YOUR_SP_OBJECT_ID" `
  -OdataId "https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/$($policy.Id)"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

# Workforce Identity Pool 作成
gcloud iam workforce-pools create "entra-workforce-pool" \
  --location="global" \
  --display-name="Microsoft Entra ID Pool" \
  --description="Entra ID federation for GCP AI services" \
  --session-duration="3600s"

# Pool IDを確認
POOL_NAME="locations/global/workforcePools/entra-workforce-pool"

# Entra ID OIDC Provider 登録
# ※ --attribute-mapping が属性ベース制御の核心部分
gcloud iam workforce-pools providers create-oidc "entra-oidc-provider" \
  --workforce-pool="entra-workforce-pool" \
  --location="global" \
  --display-name="Microsoft Entra ID OIDC" \
  --issuer-uri="https://login.microsoftonline.com/YOUR_TENANT_ID/v2.0" \
  --client-id="YOUR_ENTRA_APP_CLIENT_ID" \
  --attribute-mapping="
    google.subject=assertion.sub,
    google.email=assertion.email,
    attribute.department=assertion.department,
    attribute.job_title=assertion.jobTitle,
    attribute.ai_license_tier=assertion.aiLicenseTier,
    attribute.tenant_id=assertion.tid
  " \
  --attribute-condition="assertion.tid == 'YOUR_TENANT_ID'"
  # ↑ 自社テナント以外のトークンを拒否（セキュリティ上重要）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60

PROJECT_ID="YOUR_PROJECT_ID"
POOL_ID="locations/global/workforcePools/entra-workforce-pool"

# =============================================
# 部署別アクセス制御（department 属性ベース）
# =============================================

# エンジニアリング部門：Vertex AI全機能利用可
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="principalSet://iam.googleapis.com/${POOL_ID}/attribute.department/engineering" \
  --role="roles/aiplatform.user"

# データサイエンス部門：Vertex AI利用可（同様）
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="principalSet://iam.googleapis.com/${POOL_ID}/attribute.department/data_science" \
  --role="roles/aiplatform.user"

# =============================================
# ライセンス区分別アクセス制御（カスタム属性ベース）
# =============================================

# プレミアムライセンス：高性能モデル（Gemini Ultra等）利用可
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="principalSet://iam.googleapis.com/${POOL_ID}/attribute.ai_license_tier/premium" \
  --role="roles/aiplatform.user"

# スタンダードライセンス：標準モデルのみ
# ※ Cloud IAM Conditionsで特定リソースのみに制限
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="principalSet://iam.googleapis.com/${POOL_ID}/attribute.ai_license_tier/standard" \
  --role="roles/aiplatform.user" \
  --condition="expression=resource.name.startsWith('projects/${PROJECT_ID}/locations/us-central1/publishers/google/models/gemini-1.5-flash'),title=StandardModel,description=Standard license model restriction"

# =============================================
# 管理者権限：特定属性の組み合わせ
# =============================================

# IT管理者ロール（CEL式で複合条件）
cat > /tmp/admin-policy.yaml << 'EOF'
bindings:
- role: roles/aiplatform.admin
  members:
  - principalSet://iam.googleapis.com/locations/global/workforcePools/entra-workforce-pool/attribute.job_title/IT_Admin
  condition:
    title: IT Admin Condition
    description: AI platform admin access for IT administrators
    expression: attribute.job_title == "IT_Admin" && attribute.department == "it"
EOF
gcloud projects set-iam-policy $PROJECT_ID /tmp/admin-policy.yaml

# =============================================
# 監査・ログ閲覧権限（コンプライアンス担当者向け）
# =============================================
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="principalSet://iam.googleapis.com/${POOL_ID}/attribute.department/compliance" \
  --role="roles/logging.viewer"

gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="principalSet://iam.googleapis.com/${POOL_ID}/attribute.department/compliance" \
  --role="roles/bigquery.dataViewer"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# ユーザーに展開するログインURL（ブックマーク・イントラ掲載用）
# 形式: https://console.cloud.google.com/?authuser=workforce:POOL:PROVIDER

POOL="entra-workforce-pool"
PROVIDER="entra-oidc-provider"

echo "GCPコンソールログインURL:"
echo "https://console.cloud.google.com/\
?authuser=workforce%3A${POOL}%3A${PROVIDER}"

echo ""
echo "Vertex AI Studioへの直接URL:"
echo "https://console.cloud.google.com/vertex-ai/studio\
?authuser=workforce%3A${POOL}%3A${PROVIDER}\
&project=${PROJECT_ID}"

1
2
3
4
5
6
7

# NotebookLM API（Vertex AI Gemini APIと統合）を有効化
gcloud services enable \
  discoveryengine.googleapis.com \
  aiplatform.googleapis.com

# Vertex AI Agent Builder でRAG（NotebookLM相当機能）を設定
# Google Cloud Console > Vertex AI > Agent Builder > 新規作成

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# データストア（社内文書ナレッジ）作成
gcloud alpha discoveryengine datastores create \
  --project=$PROJECT_ID \
  --location=global \
  --collection=default_collection \
  --display-name="社内ナレッジベース" \
  --solution-type=SOLUTION_TYPE_SEARCH \
  --industry-vertical=GENERIC \
  --content-config=CONTENT_REQUIRED

# Search & Conversationアプリ（標準チャットUI）作成
# → Cloud Console UIから作成を推奨（GUIウィザードで設定）
# Console > Vertex AI > Agent Builder > CREATE APP

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38

# Data Access 監査ログを有効化（Vertex AI API呼び出しを記録）
cat > /tmp/audit-policy.json << 'EOF'
{
  "auditConfigs": [
    {
      "service": "aiplatform.googleapis.com",
      "auditLogConfigs": [
        {"logType": "DATA_READ"},
        {"logType": "DATA_WRITE"},
        {"logType": "ADMIN_READ"}
      ]
    },
    {
      "service": "iam.googleapis.com",
      "auditLogConfigs": [
        {"logType": "ADMIN_READ"},
        {"logType": "DATA_READ"},
        {"logType": "DATA_WRITE"}
      ]
    }
  ]
}
EOF

gcloud projects set-iam-policy $PROJECT_ID \
  <(gcloud projects get-iam-policy $PROJECT_ID --format=json | \
    jq '.auditConfigs = (.auditConfigs // []) + '"$(cat /tmp/audit-policy.json | jq '.auditConfigs')")

# ログの長期保存（BigQueryエクスポート）
gcloud logging sinks create vertex-ai-audit-sink \
  bigquery.googleapis.com/projects/$PROJECT_ID/datasets/ai_audit_logs \
  --log-filter='protoPayload.serviceName="aiplatform.googleapis.com"' \
  --use-partitioned-tables

# Organization Policy：Vertex AI利用リージョン制限（日本リージョン限定例）
# Console > IAM & Admin > Organization Policies で設定
# 制約: constraints/gcp.resourceLocations
# 許可値: in:asia-northeast1-locations（東京）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

## 社内AI利用ポータル

### Gemini（テキスト生成・チャット）
https://console.cloud.google.com/vertex-ai/studio/freeform
?authuser=workforce%3Aentra-workforce-pool%3Aentra-oidc-provider
&project=YOUR_PROJECT_ID

### Imagen（画像生成）
https://console.cloud.google.com/vertex-ai/studio/vision
?authuser=workforce%3Aentra-workforce-pool%3Aentra-oidc-provider
&project=YOUR_PROJECT_ID

### 社内ナレッジ検索（Agent Builder）
https://console.cloud.google.com/gen-app-builder/apps
?authuser=workforce%3Aentra-workforce-pool%3Aentra-oidc-provider
&project=YOUR_PROJECT_ID

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# 入社時: AI利用ライセンスを自動付与（Lifecycle Workflow タスク例）
# 入社者のaiLicenseTierを"standard"に設定

# 異動時: 部署属性変更 → GCP側は自動反映（ポリシー変更不要）
Update-MgUser -UserId $newUserId `
  -Department "engineering" `
  -JobTitle "SoftwareEngineer"
# → 次回ログイン時に新しい属性でGCPアクセス権が自動更新

# 退職時: アカウント無効化 → GCPアクセス即時不可
# （トークン発行不可になるため追加設定不要）
Disable-MgUser -UserId $leavingUserId