この記事について
この記事は、生成AIを活用した自動生成フローで作成しています。
外部ワークロードが長期Service Account鍵を保存せず、外部IdPの資格情報を使ってGoogle Cloudへアクセスするための仕組みです。
情報確認基準日：2026-09-19
まず結論
外部ワークロードが長期Service Account鍵を保存せず、外部IdPの資格情報を使ってGoogle Cloudへアクセスするための仕組みです。
| 観点 | 要点 |
|---|---|
| Principal | 誰がアクセスするか |
| Credential | どう本人・Workloadを証明するか |
| Role | 何を許可するか |
| 運用 | 長期秘密情報を減らす |
flowchart LR P[Principal] --> Auth[認証] Auth --> IAM[IAM] Role[Role / Permission] --> IAM IAM --> Resource[Google Cloud Resource]
実務でのポイント
人間ユーザー、Service Account、外部Workload、外部IdPユーザーを区別し、用途に合う認証方式を選びます。長期鍵を安易に配布しない設計が重要です。
セキュリティ
Refresh TokenやService Account鍵など長期資格情報を公開リポジトリへ保存しません。最小権限、短命資格情報、監査ログを組み合わせます。
公式情報
次に何をすればよい？
現在のPrincipalと資格情報を棚卸しし、不要な長期鍵を減らせるか公式ガイドに沿って検討します。
個別一次情報の深掘り
Workload Identity Federationは外部workloadが長期Service Account keyを保存せず、外部IdPのcredentialをGoogle Cloudの短期credentialへ交換してaccessする仕組みです。AWS/Azure/OIDC等とのtrust設定、attribute mapping、IAMを最小権限で設計します。
Google公式一次情報
Papanda TRY：長期JSON keyあり/なしを比較
架空CI/CD構成を「JSON keyを保存」「OIDC→Workload Identity Federation→短期credential」の2列で表示します。秘密値は一切使わず、どこに長期secretが残るかを可視化します。
結局どういうサービス？
外部ワークロードが長期Service Account鍵を保存せず、外部IdPの資格情報を使ってGoogle Cloudへアクセスするための仕組みです。
補強監査メモ
この領域は「認証情報をファイルで配る」設計から、短期資格情報・フェデレーション・標準ライブラリへ寄せる流れを意識して整理します。RESTを直接呼ぶ場合とClient Libraryを使う場合でも、最終的な権限はIAMやOAuth scope等で制御されます。
実務チェック
Principal（誰/何が呼ぶか）を特定する。
長期JSON keyを本当に必要とするか確認する。
外部環境ならWorkload/Workforce Identity Federationを検討する。
ADCやClient Libraryで認証処理を共通化できるか確認する。
REST直叩きではHTTP status、pagination、retry、quotaを明示的に扱う。
credential、token、個人識別子を公開GitHubやログへ残さない。
Microsoft経験者への読み替え
Managed Identity、federated credential、RBAC、SDK利用と似た設計観点があります。ただしGoogle IAMのRole/Permission、ADC、各APIのscopeをGoogle公式仕様で個別確認します。
