サービスアカウント

サービスアカウントは、個々の人ではなく、人間ではないエンティティを表すユーザーアカウントです。サービスアカウントを使用して、自動化されたアクションを実行したり、データにアクセスしたり、スケジュールされたプロセスを実行したりできます。サービスアカウントは、チームのメンバーシップの変更に関わらず認証情報が安定している必要があるパイプラインやサードパーティの統合でよく使用されます。

サービスアカウントは、パーソナルアクセストークンで認証するします。これらはパッケージとコンテナレジストリと対話したり、Gitオペレーションを実行したり、APIにアクセスしたりできます。

サービスアカウントには、次の特徴があります:

• これらはシートを使用しません。
• これらは請求対象ユーザーでもinternal usersでもありません。
• これらは常にexternal usersとしてマークされます。
• これらはUIを介してGitLabにサインインできません。
• これらはLDAPなどのサービスを介して管理できません。
• これらは、サブグループやプロジェクトによってプロビジョニングされた場合、トップレベルグループや他のサービスアカウントを作成できません。
• これらは、通常のユーザーとしてではなく、サービスアカウントとしてグループおよびプロジェクトのメンバーシップリストに表示されます。
• カスタムメールアドレスを追加しない限り、これらは通知メールを受け取りません。
• これらはGitLabのトライアルバージョンで利用できます。GitLab.comでは、トップレベルグループのオーナーが最初に本人確認を行う必要があります。

サービスアカウントAPIを通じてサービスアカウントを管理することもできます。

作成できるサービスアカウントの数は、サブスクリプションとオファリングによって異なります:

• PremiumとUltimateでは、すべてのオファリングで無制限のサービスアカウントを作成できます。
• GitLab Freeでは、オファリングによって制限が異なります:
  • GitLab.comでは、トップレベルグループごとに最大100のサービスアカウントを作成できます。これには、サブグループまたはプロジェクトで作成されたサービスアカウントが含まれます。
  • GitLab Self-Managed Enterprise Edition (EE)では、インスタンス全体で最大100のサービスアカウントを作成できます。
  • GitLab Self-Managed GitLab CEでは、サービスアカウントを作成できません。

サービスアカウントのタイプ

サービスアカウントには3つのタイプがあり、それぞれ異なるスコープと前提条件があります:

サービスアカウントの表示と管理

サービスアカウントページには、グループ、プロジェクト、またはインスタンス内のサービスアカウントに関する情報が表示されます。各グループ、プロジェクト、およびSelf-Managedインスタンスには、個別のサービスアカウントページがあります。これらのページから、次のことができます。

• グループまたはインスタンスのすべてのサービスアカウントを表示する。
• サービスアカウントを削除する
• サービスアカウントの名前またはユーザー名を編集する。
• サービスアカウントのパーソナルアクセストークンを管理する。

サービスアカウントを作成する

GitLab.comでは、トップレベルグループのOwnersのみがサービスアカウントを作成できます。

デフォルトでは、GitLab Self-ManagedおよびGitLab Dedicatedでは、管理者の管理者のみがどちらのタイプのサービスアカウントも作成できます。ただし、インスタンスを設定して、トップレベルグループのOwnersがグループサービスアカウントを作成できるようにすることができます。

作成できるサービスアカウントの数は、サブスクリプションとオファリングによって異なります:

• PremiumとUltimateでは、すべてのオファリングで無制限のサービスアカウントを作成できます。
• GitLab Freeでは、オファリングによって制限が異なります:
  • GitLab.comでは、トップレベルグループごとに最大100のサービスアカウントを作成できます。これには、サブグループまたはプロジェクトで作成されたサービスアカウントが含まれます。
  • GitLab Self-Managed Enterprise Edition (EE)では、インスタンス全体で最大100のサービスアカウントを作成できます。
  • GitLab Self-Managed GitLab CEでは、サービスアカウントを作成できません。

サービスアカウントを作成するには:

1. サービスアカウントページに移動します。
2. サービスアカウントの追加を選択します。
3. サービスアカウントの名前を入力します。ユーザー名は、名前に基づいて自動的に生成されます。必要に応じて、ユーザー名を変更できます。
4. サービスアカウントの作成を選択します。

サービスアカウントを編集する

サービスアカウントの名前またはユーザー名を編集できます。

サービスアカウントを編集するには:

1. サービスアカウントページに移動します。
2. サービスアカウントを特定します。
3. 縦方向の省略記号（ ） > 編集を選択します。
4. サービスアカウントの名前またはユーザー名を編集します。
5. 変更を保存を選択します。

グループまたはプロジェクトにサービスアカウントを追加する

サービスアカウントは、グループまたはプロジェクトのメンバーとして追加するまでアクセスが制限されます。任意の数のサービスアカウントをグループまたはプロジェクトに追加でき、各サービスアカウントは、各グループ、サブグループ、またはプロジェクトで異なるロールを持つことができます。

サービスアカウントのアクセスは、サービスアカウントのタイプによって異なります:

• インスタンスサービスアカウント: インスタンス上の任意のグループまたはプロジェクトに招待できます。
• グループサービスアカウント: 作成されたグループ、またはその子孫のサブグループやプロジェクトに招待できます。
• プロジェクトサービスアカウント: 作成されたプロジェクトのみに招待できます。

グループが別のグループと共有されると、サービスアカウントを含むそのグループのすべてのメンバーが共有グループにアクセスできます。

サービスアカウントをグループとプロジェクトに割り当てるには、次の方法を使用します:

• GitLab UI:
  • ユーザーをグループに追加。
  • ユーザーをプロジェクトに追加。
• API:
  • グループメンバーAPI。
  • プロジェクトメンバーAPI。

サービスアカウントでプロジェクトをフォークする

サービスアカウントは、プロジェクトフォークAPIを通じてプロジェクトをフォークすることができますが、個人のネームスペースにフォークすることはできません。サービスアカウントでフォークする場合、ターゲットグループのネームスペースを指定する必要があります。

前提条件:

• サービスアカウントにはデベロッパーロールがあり、ターゲットグループのメンバーです。
• サービスアカウントのパーソナルアクセストークンに対してapiスコープがオンになっています。

サービスアカウントを使用してプロジェクトをフォークするには:

1. フォークが作成されるターゲットグループを特定します。

2. サービスアカウントが適切な権限を持つそのグループのメンバーであることを確認します。

3. namespace_idまたはnamespace_pathのいずれかを使用して、プロジェクトフォークAPIを使用します:

    curl --request POST --header "PRIVATE-TOKEN: <service_account_token>" \
      --data "namespace_path=target-group" \
      "https://gitlab.example.com/api/v4/projects/<project_id>/fork"

サービスアカウントを削除する

サービスアカウントを削除すると、そのアカウントによる貢献は保持され、所有権はゴーストユーザーに転送されます。これらのコントリビュートには、マージリクエスト、イシュー、プロジェクト、グループなどのアクティビティが含まれます。

サービスアカウントを削除するには:

1. サービスアカウントページに移動します。
2. サービスアカウントを特定します。
3. 縦方向の省略記号（ ） > アカウントの削除を選択します。
4. サービスアカウントの名前を入力します。
5. ユーザーを削除を選択します。

サービスアカウントと、アカウントによって行われたコントリビュートを削除することもできます。これらのコントリビュートには、マージリクエスト、イシュー、グループ、プロジェクトなどのアクティビティが含まれます。

1. サービスアカウントページに移動します。
2. サービスアカウントを特定します。
3. 縦方向の省略記号（ ） > アカウントとコントリビュートの削除を選択します。
4. サービスアカウントの名前を入力します。
5. ユーザーとコントリビュートを削除を選択します。

APIを通じてサービスアカウントを削除することもできます。

• インスタンスサービスアカウントの場合は、ユーザーAPIを使用します。
• グループサービスアカウントの場合は、サービスアカウントAPIを使用します。

サービスアカウントのパーソナルアクセストークンの表示と管理

パーソナルアクセストークンページには、トップレベルグループまたはインスタンスのサービスアカウントに関連付けられたパーソナルアクセストークンに関する情報が表示されます。これらのページから、次のことができます。

• パーソナルアクセストークンをフィルタリングしたり、ソートしたり、その詳細を表示したりする。
• パーソナルアクセストークンをローテーションする。
• パーソナルアクセストークンを取り消す。

APIを通じてサービスアカウントのパーソナルアクセストークンを管理することもできます。

• インスタンスサービスアカウントの場合は、パーソナルアクセストークンAPIを使用します。
• グループサービスアカウントの場合は、サービスアカウントAPIを使用します。

サービスアカウントのパーソナルアクセストークンページを表示するには:

1. サービスアカウントページに移動します。
2. サービスアカウントを特定します。
3. 縦方向の省略記号（ ） > アクセストークンを管理を選択します。

サービスアカウントのパーソナルアクセストークンを作成する

サービスアカウントを使用するには、パーソナルアクセストークンを作成してリクエストを認証する必要があります。

サービスアカウントのパーソナルアクセストークンを作成するには:

1. サービスアカウントページに移動します。
2. サービスアカウントを特定します。
3. 縦方向の省略記号（ ） > アクセストークンを管理を選択します。
4. 新しいトークンを追加を選択します。
5. トークン名に、トークンの名前を入力します。
6. オプション。トークンの説明に、トークンの説明を入力します。
7. 有効期限に、トークンの有効期限を入力します。
   • トークンは、その日付のUTC午前0時に期限切れになります。有効期限が2024-01-01のトークンは、2024-01-01の00:00:00 UTCに期限切れになります。
   • 有効期限を入力しない場合、有効期限は現在の日付より365日後に自動的に設定されます。
   • デフォルトでは、この日付は現在の日付より最大365日後に設定できます。GitLab 17.6以降では、この制限を400日に延長できます。
8. 必要なスコープを選択します。
9. パーソナルアクセストークンを作成を選択します。

パーソナルアクセストークンをローテーションする

パーソナルアクセストークンをローテーションして、現在のトークンを無効にし、新しい値を生成できます。

サービスアカウントのパーソナルアクセストークンをローテーションするには:

1. サービスアカウントページに移動します。
2. サービスアカウントを特定します。
3. 縦方向の省略記号（ ） > アクセストークンを管理を選択します。
4. アクティブなトークンの横にある縦方向の省略記号 ( ) を選択します。
5. ローテーションを選択します。
6. 確認ダイアログで、ローテーションを選択します。

パーソナルアクセストークンを取り消す

パーソナルアクセストークンをローテーションして、現在のトークンを無効にすることができます。

サービスアカウントのパーソナルアクセストークンを取り消すには:

1. サービスアカウントページに移動します。
2. サービスアカウントを特定します。
3. 縦方向の省略記号（ ） > アクセストークンを管理を選択します。
4. アクティブなトークンの横にある縦方向の省略記号 ( ) を選択します。
5. 取り消しを選択します。
6. 確認ダイアログで、取り消しを選択します。

レート制限

レート制限がサービスアカウントに適用されます。

• GitLab.comでは、GitLab.com固有のレート制限が適用されます。
• GitLab Self-ManagedとGitLab Dedicatedでは、次のレート制限が適用されます。
  • 設定可能なレート制限
  • 設定不可能なレート制限

関連トピック

• 請求対象ユーザー
• 関連レコード
• プロジェクトアクセストークン - ボットユーザー
• グループアクセストークン - ボットユーザー
• 内部ユーザー