Setting up a Cloud
Solution Environment

# プロジェクトの作成（フォルダ配下）
gcloud projects create PROJECT_ID   --name="My Project"   --folder=FOLDER_ID

# 組織配下のプロジェクト一覧
gcloud projects list --filter="parent.id=ORG_ID"

# プロジェクトの詳細確認
gcloud projects describe PROJECT_ID

# 削除（30日間の猶予あり・元に戻せる）
gcloud projects delete PROJECT_ID

# 削除のキャンセル（30日以内）
gcloud projects undelete PROJECT_ID

# 制約の一覧確認
gcloud org-policies list-constraints --organization=ORG_ID

# 外部IP禁止ポリシーを組織に適用
gcloud resource-manager org-policies enable-enforce   constraints/compute.disableExternalIpAddresses   --organization=ORG_ID

# YAMLでリージョン制限ポリシーを適用
gcloud org-policies set-policy policy.yaml --project=PROJECT_ID

# Dry-Runモード（本番適用前のテスト: 違反はログに記録されるが拒否されない）
gcloud org-policies set-policy policy.yaml --dry-run

# 有効なポリシーを確認
gcloud org-policies describe   constraints/gcp.resourceLocations   --effective   --project=PROJECT_ID

name: projects/PROJECT_ID/policies/gcp.resourceLocations
spec:
  rules:
  - values:
      allowedValues:
      - in:asia-northeast1-locations  # 東京
      - in:asia-northeast2-locations  # 大阪

# ユーザーにロールを付与
gcloud projects add-iam-policy-binding PROJECT_ID   --member="user:alice@example.com"   --role="roles/compute.instanceAdmin.v1"

# グループにロールを付与（推奨）
gcloud projects add-iam-policy-binding PROJECT_ID   --member="group:dev-team@example.com"   --role="roles/run.developer"

# IAM Conditions（有効期限付き権限）
gcloud projects add-iam-policy-binding PROJECT_ID   --member="user:contractor@partner.com"   --role="roles/viewer"   --condition='title=Temp,expression=request.time < timestamp("2025-12-31T23:59:59Z")'

# カスタムロールの作成
gcloud iam roles create customDeployer   --project=PROJECT_ID   --file=custom-role.yaml

# IAMポリシーの確認
gcloud projects get-iam-policy PROJECT_ID

# 複数APIを一括有効化
gcloud services enable   compute.googleapis.com   container.googleapis.com   run.googleapis.com   secretmanager.googleapis.com   cloudasset.googleapis.com   --project=PROJECT_ID

# 有効化されているAPIの確認
gcloud services list --enabled --project=PROJECT_ID

resource "google_project_service" "apis" {
  for_each = toset([
    "compute.googleapis.com",
    "container.googleapis.com",
    "run.googleapis.com",
    "secretmanager.googleapis.com",
  ])
  project            = var.project_id
  service            = each.value
  disable_on_destroy = false  # Terraform削除時にAPIを無効化しない
}

# 組織 ID の確認
gcloud organizations list

# 組織レベルの IAM ポリシー確認
gcloud organizations get-iam-policy ORG_ID

# Organization Admin ロールを付与
gcloud organizations add-iam-policy-binding ORG_ID \
  --member="user:admin@example.com" \
  --role="roles/resourcemanager.organizationAdmin"

# フォルダの作成（組織直下）
gcloud resource-manager folders create \
  --display-name="Production" \
  --organization=ORG_ID

# デフォルト VPC の削除（本番環境では推奨）
gcloud compute networks delete default --project=PROJECT_ID

# カスタムモード VPC の作成
gcloud compute networks create my-vpc \
  --subnet-mode=custom \
  --project=PROJECT_ID

# サブネットの作成
gcloud compute networks subnets create web-subnet \
  --network=my-vpc \
  --region=asia-northeast1 \
  --range=10.1.1.0/24 \
  --project=PROJECT_ID

# IAP からの SSH のみ許可するファイアウォールルール
gcloud compute firewall-rules create allow-ssh-iap \
  --network=my-vpc \
  --direction=INGRESS \
  --action=ALLOW \
  --rules=tcp:22 \
  --source-ranges=35.235.240.0/20 \
  --target-tags=iap-ssh \
  --project=PROJECT_ID

# Cloud Router の作成（Cloud NAT の前提条件）
gcloud compute routers create my-router \
  --network=my-vpc \
  --region=asia-northeast1

# Cloud NAT の作成（外部 IP なし VM のアウトバウンドを確保）
gcloud compute routers nats create my-nat \
  --router=my-router \
  --region=asia-northeast1 \
  --nat-all-subnet-ip-ranges \
  --auto-allocate-nat-external-ips

# IAP トンネル経由で VM に SSH（外部 IP 不要）
gcloud compute ssh VM_NAME \
  --zone=asia-northeast1-a \
  --tunnel-through-iap

# Cloud Asset Inventory API を有効化
gcloud services enable cloudasset.googleapis.com

# 組織全体の GKE クラスタを検索
gcloud asset search-all-resources   --asset-types='container.googleapis.com/Cluster'   --scope='organizations/ORG_ID'

# 外部 IP を持つ VM を特定（セキュリティ監査）
gcloud asset search-all-resources   --asset-types='compute.googleapis.com/Instance'   --scope='organizations/ORG_ID'   --query='networkInterfaces.accessConfigs.natIP:*'

# 特定リソースへのアクセス権を持つ全 Identity を分析
gcloud asset analyze-iam-policy   --organization=ORG_ID   --full-resource-name='//storage.googleapis.com/projects/_/buckets/my-bucket'

# Gemini Cloud Assist API を有効化
gcloud services enable geminicloudassist.googleapis.com   --project=PROJECT_ID

# Gemini Cloud Assist ユーザーロールを付与
gcloud projects add-iam-policy-binding PROJECT_ID   --member="user:alice@example.com"   --role="roles/geminicloudassist.user"

# Cloud Asset Viewer も必要（リソース分析機能のため）
gcloud projects add-iam-policy-binding PROJECT_ID   --member="user:alice@example.com"   --role="roles/cloudasset.viewer"

# 1. Workforce Identity Pool の作成（組織レベル）
gcloud iam workforce-pools create my-workforce-pool   --organization=ORG_ID   --location=global   --display-name="Corporate IdP Pool"

# 2. OIDC プロバイダーの登録（Okta の例）
gcloud iam workforce-pools providers create-oidc okta-provider   --workforce-pool=my-workforce-pool   --location=global   --display-name="Okta OIDC"   --issuer-uri="https://myorg.okta.com/oauth2/default"   --client-id="MY_CLIENT_ID"   --attribute-mapping="google.subject=assertion.sub,google.groups=assertion.groups,attribute.department=assertion.department"

# 3. 外部ユーザーグループに IAM ロールを付与
gcloud projects add-iam-policy-binding PROJECT_ID   --member="principalSet://iam.googleapis.com/locations/global/workforcePools/my-workforce-pool/attribute.department/engineering"   --role="roles/viewer"

# 予算の作成（3段階のアラート閾値）
gcloud billing budgets create   --billing-account=BILLING_ACCOUNT_ID   --display-name="Monthly Prod Budget"   --budget-amount=100000JPY   --threshold-rule=percent=50   --threshold-rule=percent=90   --threshold-rule=percent=100   --filter-projects=projects/my-prod-project

# 予算一覧の確認
gcloud billing budgets list   --billing-account=BILLING_ACCOUNT_ID

-- プロジェクト別の月次コストを集計
SELECT
  project.id AS project_id,
  FORMAT_DATE('%Y-%m', DATE(usage_start_time)) AS month,
  SUM(cost) AS total_cost,
  currency
FROM
  `my_project.billing_export.gcp_billing_export_v1_XXXXXXXX`
WHERE
  DATE(usage_start_time) >= DATE_SUB(CURRENT_DATE(), INTERVAL 3 MONTH)
GROUP BY
  project_id, month, currency
ORDER BY
  month DESC, total_cost DESC;

-- チーム別ラベルによるコスト分析
SELECT
  labels.value AS team,
  SUM(cost) AS total_cost
FROM
  `billing_export.gcp_billing_export_v1_XXXXXXXX`,
  UNNEST(labels) AS labels
WHERE
  labels.key = 'team'
  AND DATE(usage_start_time) >= DATE_TRUNC(CURRENT_DATE(), MONTH)
GROUP BY team
ORDER BY total_cost DESC;