8 利用の全体の流れ

8.1 利用の流れ

ガバメントクラウドの利用を検討しているシステムの管理者およびその委託を受けている事業者は、まずGCAS（オンボーディングツール）へユーザー登録を行う。GCAS（オンボーディングツール）は、ガバメントクラウドの各種ガイドを参照できる他、利用申請や問い合わせを行うためのサービスとして、ガバメントクラウドより提供される。

ガバメントクラウド利用組織は、各システムの予算取りのタイミングで、GCASシステム情報登録へ、CSP見積もりツールの見積もり結果もしくはそのリンク、アーキテクチャ構成その他のガバメントクラウドの利用前提確認に必要な情報を登録する。

開発構築事業者の調達の段階では、予算要求時からCSP見積もりやアーキテクチャ構成その他情報の更新を必要に応じて実施する。

開発構築プロジェクト実行段階では、GCASシステム情報登録を最終化し、必要な環境の払い出し申請を行う。払い出された環境でガバメントクラウドからガイドされる初期設定を実施し、その後その環境にてシステム構築を行う。

システム運用段階では、各種ダッシュボードを活用しながら、サービスのサイズや利用の最適化を行い、中長期的にはアーキテクチャ変更も含めて最適化していく。

GCASの利用にはインターネット接続が必須である。なお、GCASを利用するに当たり、GCASの整備、運用管理、サービス提供、利用及び調整に関する必要な事項については、GCASアカウントを取得の上、GCASガイド(メンバー専用ページ)で公開されているドキュメントを参照すること。

図 8‑1 利用の流れ

8.2 ユーザー登録

GCAS（オンボーディングツール）の利用開始の手続きとして、GCAS利用者本人が利用申請と初期設定を行う。GCASの利用にはインターネット接続が必須である。
なお、事業者は各府省庁又は地方公共団体等との間で守秘義務契約を締結した後に申請が可能となる。
GCASアカウントに紐づく情報の変更がある場合にも本項の記載に準じて行うこと。
アカウントの管理は利用システム単位で管理者が行い、定期的に棚卸を行うこと。異動等に伴うアカウント削除、権限の変更等の手続きについては、GCASアカウント取得後、GCASガイド(メンバー専用ページ)で公開されているドキュメントを参照すること。

(1) 利用申請

利用者本人が、GCAS機能を利用し、GCASアカウントの利用申請を行う。利用申請の際に、認証アプリケーションをインストールしたスマートフォンを使用してマイナンバーカードによる本人確認を行う必要がある。スマートフォンが認証アプリケーションに対応していない等により、認証アプリケーションを利用できない場合は、PC上で「デジタル庁GPKI電子署名アプリ」を用いて本人確認を行うこと。「デジタル庁GPKI電子署名アプリ」について、不明な点等がある場合、必ずガバメントクラウドチームまで問合せを実施すること。
なお、利用機関GCAS責任者が申請する場合は、マイナンバーカードによる本人確認に加えて、職責の確認のため、ガバメントクラウドチームが用意する電子署名を付与した所定の様式の添付が必要となる。申請後、承認者により申請が承認されるとGCASアカウントが発行され、申請者にGCASアカウント情報がメールで通知される。
国の行政機関と、地方公共団体等における詳細なGCASアカウント申請方法と所定の様式については、GCASガイド(メンバー専用ページ)で公開されているドキュメントを参照すること。

なお、利用申請の際に登録した職場メールアドレスは、今後GCASアカウントに紐づくメールのやり取りに利用されるため、常用されるものを選択すること。なお、GCASアカウント自体（Googleアカウント自体）が保有するGメールアドレス・Gメール機能はセキュリティの観点より利用を制限している。

(2) 初期設定

利用申請の承認後、利用者本人にアカウント発行通知が送付されるので、通知に記載されているアカウント情報をもとに初期パスワードの変更と多要素認証の設定を実施する。GCASのアカウント払い出し後の具体的な初期設定手順については、「(3) GCAS認証方法」を参照。アカウント払い出し後、2週間以内に多要素認証を設定しなければ、GCASアカウントが自動でロックされる。多要素認証の未設定によるGCASアカウントロックの解除手順については、「(4) 2段階認証ロックの解除方法」を参照。ログインできない、パスワードロック等、不具合があればガバメントクラウド管理組織から指定される所定の連絡先へ問合せを行うこと。

(3) GCAS認証方法

GCASのアカウント払い出し後の具体的な初期設定手順を解説する。

• ユーザー登録が完了次第、各アカウントのIDと初期パスワードが発行される。
• 利用者は、ブラウザから https://www.google.com/open_in_newOpens in new tab へアクセスし、「ログイン」をクリックすることで、Googleアカウントへのログインが行える。初回ログイン時には、初期パスワードを任意のパスワードに変更する。
• ログイン成功後、ブラウザから https://myaccount.google.com/open_in_newOpens in new tab へアクセスし、Googleマイアカウント画面を開く。個人所有のGoogleアカウント等ではなく、GCASのGoogleアカウントでログインできていることを確認する。
• IDとパスワードに加えて多要素認証を実現するため、Googleアカウント＞セキュリティをクリックし2段階認証プロセスの有効化ページへ遷移する(図 8‑2)。「2段階認証プロセスを有効にする」はこの時点では選択しない(電話番号の登録が求められるため。電話番号登録のリスクは後述する)。

図 8‑2 2段階認証プロセスの有効化ページ

　

• 2段階認証プロセス設定画面の「2つ目の手順」において、GCASにおける管理者権限の保有者または本番相当環境アクセス者は「パスキーとセキュリティキー」を選択し、セキュリティキーの設定を行う。それ以外の利用者は「認証システム」、「Googleからのメッセージ」または「パスキーとセキュリティキー」を選択可能である。
• 「パスキーとセキュリティキー」の登録では、事前に調達したFIDO規格対応のハードウェアトークンを利用する（ガバメントクラウドでは端末の特定が困難なパスキーの利用を禁止する）。なお、ハードウェアトークンは第三者が入手・悪用できないよう、適切に管理する。以降の手順はGoogle社の画面仕様の変更に依存して表示内容や手順が変わる可能性があるため参考情報とすること。前述の通り「パスキーとセキュリティキー」を選択後、遷移した画面でUSBポートにハードウェアトークンを挿しこみ、ボタンまたは金色のディスク部分をタップする(図8‑3)。

　

図 8‑3 パスキーとセキュリティキーの設定画面

　

• セキュリティキーへのアクセスの許可が求められるため「許可する」を選択する(図8-4)。セキュリティキーへのアクセス許可後、2段階認証プロセスの有効化が求められるため、「続行」を選択する(図8-5)。2段階認証プロセスは、図8-2の画面上で「2段階認証プロセスを有効化する」を選択して有効化する。有効化後、図8-6の画面が表示される。

　

図 8-4 パスキーとセキュリティキーの設定画面

図 8-5 2段階認証プロセスの有効化を求める画面

図 8-6 2段階認証プロセスの有効化後の画面

　

• 2段階認証プロセスでは、さらに次に挙げる追加の認証方式を設定可能である。パスワードを紛失した場合に備えて、複数の認証方式の設定を推奨する（GCASにおける管理者権限の保有者または本番相当環境アクセス者を除く）。
  • 認証システム（スマートフォンにおいてGoogle Authenticatorアプリなどを利用する方式）
  • Googleからのメッセージ
  • バックアップコード
  • 電話番号
• 「認証システム」は、スマートフォンにおいてGoogle Authenticatorアプリなどを利用する方式である。他の方式より簡便に利用可能である。
• 「Googleからのメッセージ」は、利用者のAndroidスマートフォン上でGCASのGoogleアカウントへのログインまたはiPhone上でGoogle社提供のアプリを利用して同アカウントへのログインすることで、以後、GCAS用のGoogleアカウントへのログイン時にメッセージが通知され、スマートフォン上で要求されるログイン許可操作を2要素目の認証として利用する方式である。この設定のために、事前にスマートフォン上でGCASのGoogleアカウントを利用してログインを済ませておく。「Googleからのメッセージ」をクリック後、ログイン操作を行ったスマートフォンの型式が表示される。「続行」をクリックし登録する。iPhone上で利用可能なアプリは以下の通りだが、複数のアカウントを管理可能なSmart Lock アプリを推奨する。
  • Smart Lock アプリ、Gmail アプリ、Google フォト アプリ 写真、YouTube アプリ
• 「認証システム」や「Googleからのメッセージ」の設定後、2段階認証プロセスを有効にしていない場合は有効化を求める確認画面が表示されるので、図8-2の画面上で「2段階認証プロセスを有効化する」を選択して有効化する。この2段階認証プロセスの設定をもって、GCASのユーザー認証とする。
• なお、「電話番号の設定」が可能だが、ガバメントクラウドではSIMスワッピングなど昨今のSMS認証（設定画面では「コードまたは音声メッセージ」と表現される）に関するセキュリティ上の脅威増大を考慮し、通常の認証では利用を制限する（令和7年度以降に利用制限の強制を予定）。ただし、「Googleからのメッセージ」や「認証システムアプリ」でスマートフォンのアプリ利用が困難な利用組織においては、暫定的な運用として公用携帯または個人携帯の電話番号設定を許容する。その際、通話または通信が確実に行えることを確認し、当該電話を本人が利用可能であることを担保すること。なお、取得したワンタイムのコードがスマートフォンのロック画面上に表示されないよう通知設定を行うことを強く推奨する。
  • [iPhoneドキュメントの通知の設定を変更する]
    https://support.apple.com/ja-jp/guide/iphone/iph7c3d96bab/17.0/ios/17.0open_in_newOpens in new tab
  • [Androidドキュメント:スマートフォンのロック画面での通知の表示方法を管理する]
    https://support.google.com/android/answer/9079661?hl=jaopen_in_newOpens in new tab

　
選択した方法で確認コードがモバイル端末等に送信されるので、ブラウザのコードの入力欄に入力する。その際、フィッシングサイトではない正しいサイトへのアクセスであることをブラウザのURL欄の左のアイコンをクリックし（Chromeを想定）、URLの文字列(https://(任意の文字列).google.com/ から始まるURL)や証明書等で確認すること。

　

• 令和6年5月現在、国の行政機関ではアカウントリカバリの際、ガバメントクラウド管理組織による対応が必要になる。地方公共団体等ではGCAS管理者または本番相当環境アクセス者はアカウントリカバリの際、ガバメントクラウド管理組織による対応が必要になるが、それ以外の利用者はパスワードを忘れた場合のアカウントリカバリを自身で実施可能である。
• 2週間以内に2段階認証の設定を行わなかった場合、ロックがかかるようになっている。その場合、国の行政機関においては、各府省庁と事業者のPMO又はPJMOの管理者権限を保有する者へ、地方公共団体等においては、利用機関GCAS責任者又は開発運用委託業者管理グループGCAS責任者へ状況を連携し、ロックの解除を依頼すること。連携を受けた者は「(4) 2段階認証ロックの解除方法」を参照し、ロックの解除を実施すること。機能が実装されていない時点もしくは機能にアクセスできない場合は、「(2) 初期設定」に記載の連絡先へ問合せを行うこと。なお、90日以上利用されていないアカウントは、ガバメントクラウド管理組織で無効化する。無効化されたアカウントを再度利用する場合は、責任者が「(2) 初期設定」に記載の連絡先へ問合せを行うこと。
• 初期設定後の対応として、GCASアカウントの権限や所属するグループを追加、変更する場合、GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているドキュメントを参照すること。

　

(4) 2段階認証ロックの解除方法

GCASアカウント作成後、2週間以内に2段階認証を設定しない場合、GCASアカウントが自動でロックされる。
GCASアカウントがロック状態になった場合、該当GCASアカウントでGoogleにログインすることができない状態になり、ログイン後に行う2段階認証の設定も不可能になる。そのため、一時的に該当GCASアカウントのロックを解除し、2段階認証なしでログイン可能な状態にする。
2段階認証ロック解除は、国の行政機関においては、各府省庁と事業者のPMO又はPJMOで管理者権限を保有する者、地方公共団体等においては、利用機関GCAS責任者又は開発運用委託業者管理グループGCAS責任者が実施できる。
2段階認証ロック解除は一定期間のみ有効であり、規定の時間を過ぎると再度2段階認証ロックが有効になるので、2段階認証ロック解除後は速やかに2段階認証設定を行なうよう利用者に促すこと。また、2段階認証ロック解除はユーザー毎に一定回数のみ解除可能であり、規定回数（3回）を超えて2段階認証ロック解除操作を行なった場合、GCASアカウントがロックされるので、なるべく1回目の2段階認証ロック解除時に2段階認証設定を行う様、利用者に促すこと。
2段階認証ロック解除の操作方法を以下に示す。

（国の行政機関）

• GCASシステム登録へアクセスし、2段階認証ロック解除(図8-7参照)をクリックする。

図 8‑7 GCASシステム登録から2段階認証ロック解除ページへ

2段階認証ロック解除対象のGCASアカウントを入力し、”解除ボタン”(図8-8参照)をクリックする。

図 8‑8 2段階認証ロック解除ページ

（地方公共団体等）

• GCASシステム登録へアクセスし、利用機関用サイトへ又は運用管理補助者用サイトへ(図8‑9参照)をクリックする。

図 8‑9 GCASシステム登録から利用機関用サイトへ又は運用管理補助者用サイトへ（図は利用機関GCAS責任者用の画面）

• 利用機関用サイト又は運用管理補助者用サイトへアクセスし、2段階認証ロック解除(図8-10参照)をクリックする。

図 8‑10 利用機関用サイト又は運用管理補助者用サイトから2段階認証ロック解除ページへ（図は利用機関GCAS責任者用の画面）

• 2段階認証ロック解除対象のGCASアカウントを入力し、”解除ボタン”(図8‑11参照)をクリックする。

図 8‑11 2段階認証ロック解除ページ

8.3 見積もり登録＋利用申請

ガバメントクラウド利用システムの管理者は、前年もしくは前々年のプロジェクト予算獲得のタイミングで、GCAS（オンボーディングツール）へクラウド見積もり情報を登録する。この情報を元に、ガバメントクラウドとしての翌年度の予算枠を確保する。クラウドの見積もりは、必ずCSPが提供する見積もりツールを使って見積もる。見積もり登録時には、見積額だけでなく、見積もりツール実行結果もしくはそのリンクの情報も登録する。
情報を登録するには、GCASシステム情報登録に入力することで、デジタル庁に提出する。利用意向・クラウド利用料等調査については、第4四半期にデジタル庁から依頼するので、依頼の約一ヶ月後までに入力すること。
詳細については、GCASアカウントを取得の上、GCASガイドで公開されているドキュメントを参照すること。
なお、デジタル庁からシステム構成のモダナイズ化などの指摘を受けた場合は、GCASシステム情報登録の内容を修正し、デジタル庁に再提出する。
また、調達時の事業者の提案内容によって、採用するCSPやクラウド利用料及び閉域網接続に係る経費、過去策定したアーキテクチャに変動が生じることも考えられるため、必要に応じて再度GCASシステム情報登録の内容を修正し、デジタル庁へ提出する。

8.4 環境申請

プロジェクト開始後、環境が必要な適切なタイミングで、環境の払い出し申請を行う。申請時には、利用開始日も指定可能で、その他環境セットアップに必要な各種情報を登録する。

利用開始日前に、申請された情報に基づき申請された数の環境が払い出され、管理者に初期セットアップガイドとともに連絡が届く。

詳細については、GCASアカウントを取得の上、GCASガイドで公開されているドキュメントを参照すること。

8.5 環境セットアップ

払い出された環境には、利用組織側で必須適用テンプレートを使った初期セットアップが必要である。

初期セットアップ手順はCSPにより異なる。AWSでは、CLIとService Catalogを使用した2種類の適用方法があり、払い出されたAdminユーザーで管理コンソールからCLIもしくはService Catalogにアクセスし、必要な情報を入れて実行する。他CSPでは、必須適用テンプレートを直接デプロイする場合もある。

詳細については、GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているドキュメントを参照すること。

8.6 問合せ方法

ガバメントクラウドに関する質問や不明点等については、原則としてGCAS（オンボーディングツール）を利用してデジタル庁へ問合せを行う。ただし、GCASアカウントを取得する前の利用システムは(2)、(3)の方法で問合せを行うこと。問合せを行う前に、デジタル庁が公開しているドキュメントを参照すること。
(1) GCAS（オンボーディングツール）による問合せ

GCAS（オンボーディングツール）上で問合せを行う。GCASの利用開始に当たっては、デジタル庁にGCASアカウントの申請を行うこと。

(2) 問合せ（国の行政機関）

「ガバメントクラウド問合せ等連絡票」に問合せ内容を記載し、デジタル庁に送付すること。原則として、デジタル庁における問い合わせの確認は開庁日の17時までとする。

(3) 問合せ（地方公共団体等）

地方公共団体等からの問合せは、総務省所管の標準化PMOツールを用いて問合せすること。

以上

前の章へ