Google Cloud 認証ライブラリを使用してワークロードを認証する

このドキュメントでは、Workload Identity 連携 を Google Cloud 認証ライブラリ（auth ライブラリ）で使用して、 AWS、Microsoft Azure、OpenID Connect（OIDC）または SAML 2.0 をサポートするプロバイダなどのサードパーティ ID プロバイダからワークロードを認証する方法について説明します。

Workload Identity 連携を使用すると、 Google CloudGoogle Cloud の外部で実行されているアプリケーションがサービス アカウント キーを使用せずにリソースに アクセス できます。Google 認証ライブラリは、外部認証情報を 有効期間の短い Google Cloud アクセス トークンと交換することで、これを実現します。

認証用の外部認証情報は、次の方法で取得できます。

• 一般的な設定の標準メカニズム。
• 独自のコードを記述する必要がある複雑なワークフロー用の カスタム認証情報サプライヤ。

始める前に

1. 必要な API を有効にします。

   API を有効にするために必要なロール

   API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を介してこの権限が付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を介してこの権限を取得できます。ロールを付与する方法について学習する。

   API を有効にする

2. ID プロバイダとの Workload Identity 連携を構成します。

   • AWS または Azure VM
   • OIDC または SAML

標準の認証情報メカニズムを使用して認証する

一般的にサポートされているサードパーティ ID プロバイダの場合は、 Google Cloud 認証ライブラリの組み込み機能を使用して、 認証情報構成ファイルを生成することでワークロードを認証できます。このファイルは、認証ライブラリが外部プロバイダから ID を連携するために必要な情報を提供します。

通常、GOOGLE_APPLICATION_CREDENTIALS 環境変数を使用して読み込まれる認証情報構成ファイルは、次のいずれかの方法でサードパーティのサブジェクト トークンを取得するように認証ライブラリに指示できます。

• ファイル提供: ライブラリは、ローカル ファイルからサブジェクト トークンを読み取ります。 別のプロセスで、このファイルに有効期限が切れていない有効なトークンが含まれていることを確認する必要があります。
• URL 提供: ライブラリは、指定されたローカル URL エンドポイントにリクエストを送信してサブジェクト トークンを取得します。
• 実行可能ファイル提供: ライブラリは、構成された実行可能コマンドを実行します。 実行可能ファイルの標準出力には、サブジェクト トークンが含まれている必要があります。

1. 特定のプロバイダの認証情報構成ファイルを生成します。

   • AWS
   • Azure

   • OIDC または SAML ID プロバイダ

     このページには、次の手順が記載されています。

     • ファイル提供の認証情報
     • URL 提供の認証情報
     • 実行可能ファイル提供の認証情報

2. 認証情報構成ファイルを使用して認証します。

   Google Cloud クライアント ライブラリが 認証情報構成ファイルを自動的に検出して使用できるようにするには、GOOGLE_APPLICATION_CREDENTIALS 環境変数を生成された JSON ファイルのパスに設定します。

   シェルで環境変数をエクスポートします: bash export GOOGLE_APPLICATION_CREDENTIALS=/path/to/your/config.json

   環境変数を設定すると、クライアント ライブラリが認証フローを処理します。

次のコードサンプルは、認証済み API Google Cloud に対して呼び出しを行う方法を示しています。

// Imports the Google Cloud client library.
const {Storage} = require('@google-cloud/storage');

// Instantiates a client. If you don't specify credentials when constructing
// the client, the client library will look for credentials in the
// environment.
const storage = new Storage();
// Makes an authenticated API request.
async function listBuckets() {
  try {
    const results = await storage.getBuckets();

    const [buckets] = results;

    console.log('Buckets:');
    buckets.forEach(bucket => {
      console.log(bucket.name);
    });
  } catch (err) {
    console.error('ERROR:', err);
  }
}
listBuckets();

def implicit():
    from google.cloud import storage

    # If you don't specify credentials when constructing the client, the
    # client library will look for credentials in the environment.
    storage_client = storage.Client()

    # Make an authenticated API request
    buckets = list(storage_client.list_buckets())
    print(buckets)

static void authImplicit() {
  // If you don't specify credentials when constructing the client, the client library will
  // look for credentials via the environment variable GOOGLE_APPLICATION_CREDENTIALS.
  Storage