この記事について
この記事は、生成AIを活用した自動生成フローで作成しています。
アプリやワークロードが人間のユーザーではなくサービスとしてGoogle Cloudへ認証するために使うアカウントです。
情報確認基準日：2026-09-19
まず結論
アプリやワークロードが人間のユーザーではなくサービスとしてGoogle Cloudへ認証するために使うアカウントです。
| 用語 | 実務で確認すること |
|---|---|
| Identity | 人かワークロードか |
| Credential | 何を秘密として扱うか |
| Scope / Role | 何を許可するか |
| Token | 有効期限と保存方法 |
flowchart LR Principal[ユーザー / Workload] --> Auth[認証] Auth --> Credential[資格情報] Credential --> API[Google API] Scope[Scope / Role] --> API
実務でのポイント
認証と認可を分け、ユーザーOAuthとService Accountも用途を分けます。API Keyだけでユーザーの非公開データへアクセスできる、といった誤解を避けます。
セキュリティ
Access Token、Refresh Token、API Key、client secret、Service Account鍵を公開GitHubへ保存しません。可能な限り短命な資格情報と最小権限を利用します。
公式情報
次に何をすればよい？
利用するAPIの公式認証ガイドで推奨方式を確認し、必要なscope/roleだけを設定します。
個別一次情報の深掘り
Service AccountはapplicationやVM等のworkloadがGoogle Cloud APIへアクセスするために使う非人間identityです。長期JSON keyを安易に配布せず、Google Cloud上ではattached service account、外部環境ではWorkload Identity Federation等のkeyless方式を優先検討します。
Google公式一次情報
Papanda TRY：人間IDとService Accountを見分ける
架空principal一覧JSONをPowerShellで読み、type=user/serviceAccountごとに表へ分けます。次に「長期JSON keyあり」のダミー行だけ警告し、keyless方式を検討するチェック教材にします。
結局どういうサービス？
アプリやワークロードが人間のユーザーではなくサービスとしてGoogle Cloudへ認証するために使うアカウントです。
補強監査メモ
認証・ID・API基盤の記事では、人間のユーザー認可とワークロードの認証を混同しないことを最優先にします。OAuth 2.0、API key、Service Account、Access/Refresh Token、ADCは同じ「鍵」の別名ではなく、目的・主体・寿命・保管方法が異なります。
実務チェック
誰がPrincipalか（人・サービス・外部ID）を先に決める。
必要最小限のscope / role / permissionを選ぶ。
長期秘密鍵をコードや公開GitHubへ置かない。
tokenをログへ出さない。
本番では公式の推奨認証方式とローテーション/失効手順を確認する。
401/403は「認証できない」と「権限が足りない」を分けて切り分ける。
Microsoft経験者への読み替え
Microsoft Entra IDのアプリ登録、OAuth/OIDC、managed identity、RBAC等の経験は概念理解に役立ちますが、Google側のPrincipal、Service Account、IAM Role、ADC、scopeは対応関係を個別に確認します。
