この記事について
この記事は、生成AIを活用した自動生成フローで作成しています。
アプリケーションが実行環境に応じた資格情報を共通の探索順序で取得できるGoogle Cloudの認証方式です。
情報確認基準日：2026-09-19
まず結論
アプリケーションが実行環境に応じた資格情報を共通の探索順序で取得できるGoogle Cloudの認証方式です。
| 観点 | 要点 |
|---|---|
| Principal | 誰がアクセスするか |
| Credential | どう本人・Workloadを証明するか |
| Role | 何を許可するか |
| 運用 | 長期秘密情報を減らす |
flowchart LR P[Principal] --> Auth[認証] Auth --> IAM[IAM] Role[Role / Permission] --> IAM IAM --> Resource[Google Cloud Resource]
実務でのポイント
人間ユーザー、Service Account、外部Workload、外部IdPユーザーを区別し、用途に合う認証方式を選びます。長期鍵を安易に配布しない設計が重要です。
セキュリティ
Refresh TokenやService Account鍵など長期資格情報を公開リポジトリへ保存しません。最小権限、短命資格情報、監査ログを組み合わせます。
公式情報
次に何をすればよい？
現在のPrincipalと資格情報を棚卸しし、不要な長期鍵を減らせるか公式ガイドに沿って検討します。
個別一次情報の深掘り
Application Default Credentials（ADC）はGoogle authentication libraryがcredentialを共通の探索順序で見つける仕組みです。local developmentとGoogle Cloud runtimeで同じcodeを使いやすくしますが、credential fileをrepositoryへ保存する仕組みではありません。
Google公式一次情報
Papanda TRY：ADCの探索順を目で見る
環境変数・local ADC・Google Cloud runtimeなど、ADCがcredentialを探す考え方をブラウザカードで順番表示します。credentialファイルそのものは読み込まず、「コードへ鍵パスを直書きしない」ことを学ぶDaily Codeにします。
結局どういうサービス？
アプリケーションが実行環境に応じた資格情報を共通の探索順序で取得できるGoogle Cloudの認証方式です。
補強監査メモ
認証・ID・API基盤の記事では、人間のユーザー認可とワークロードの認証を混同しないことを最優先にします。OAuth 2.0、API key、Service Account、Access/Refresh Token、ADCは同じ「鍵」の別名ではなく、目的・主体・寿命・保管方法が異なります。
実務チェック
誰がPrincipalか（人・サービス・外部ID）を先に決める。
必要最小限のscope / role / permissionを選ぶ。
長期秘密鍵をコードや公開GitHubへ置かない。
tokenをログへ出さない。
本番では公式の推奨認証方式とローテーション/失効手順を確認する。
401/403は「認証できない」と「権限が足りない」を分けて切り分ける。
Microsoft経験者への読み替え
Microsoft Entra IDのアプリ登録、OAuth/OIDC、managed identity、RBAC等の経験は概念理解に役立ちますが、Google側のPrincipal、Service Account、IAM Role、ADC、scopeは対応関係を個別に確認します。
