Google CloudのWorkload Identity Federationを設定する

概要

Workload Identity Federation (WIF) は、AWSなどの外部のIDプロバイダーから一時的な認証情報を取得し、Google Cloudのリソースにアクセスするための認証方式です。
Google CloudでWIFを設定することで、TROCCOにサービスアカウントのJSON Keyを保存することなく、Google Cloudのリソースにアクセスできるようになります。

接続情報の作成については、接続情報 - Google BigQueryを参照ください。

本ページでは、AWS環境からGoogle BigQueryにアクセスするためのWIFの設定手順を説明します。
なお、Workload Identity Federation機能自体は、他のIDプロバイダーでも利用可能です。

事前準備: 外部ID（External ID）の発行

TROCCOは、WIF認証を使用するBigQuery接続情報ごとに固有の外部IDを自動生成します。
この外部IDは、AWS STSのセッション名に含まれ、Google Cloud側でアクセス制御に使用します。

外部IDを使用することで、特定の接続情報からのアクセスのみを許可するなど、細かいアクセス制御が可能になります。

外部IDは接続情報の設定画面で取得できます。のちのステップの入力値の一部に利用します。

ステップ1: Workload Identityプールの作成

Workload Identity Poolとは、外部のIDプロバイダーからのアクセスを管理するためのリソースです。
AWSプロバイダーを通じて、事前に作成したAWSの認証情報をGoogle Cloudで認識します。

Google Cloud Console にログインします。
プロジェクトを選択し、ナビゲーションメニューから IAMと管理 > Workload Identity 連携に移動します。
プールを作成をクリックします。
プールの名前と説明を入力し、続行をクリックします。
プールにプロバイダを追加するで、以下の情報を入力します。
- プロバイダの選択: AWSを選択します。
- プロバイダ名: 任意の名称を入力します。
- AWSアカウントID: 545668264778
保存をクリックし、プールを作成します。

ステップ2: Workload Identityプールへの権限付与

Google Cloud側での設定方法は、以下の2つのパターンがあります。

パターン1: サービスアカウント権限の借用
パターン2: データセット・テーブルにプリンシパルを追加

パターン1: サービスアカウント権限の借用

このパターンでは、AWSからGoogle Cloudのサービスアカウント権限を借用し、そのサービスアカウントの権限でBigQueryにアクセスします。

サービスアカウントの作成

WIF認証に利用するサービスアカウントを作成します。既存のサービスアカウントを利用する場合は、作成は不要です。
作成手順はGoogle CloudのJSON Keyを取得するを参照ください。

また、サービスアカウントに付与するロールについては接続情報 - Google BigQueryを参照ください。

Workload Identityプールの権限設定

Google Cloud ConsoleでWorkload Identity 連携を開きます。
作成したWorkload Identityプールをクリックし、アクセスを許可をクリックします。
サービスアカウントの権限借用を使用してアクセス権を付与するを選択します。
権限を借用するサービスアカウントを選択します。
プリンシパルに以下の値を設定します。
- 属性名: subject
- 属性値: arn:aws:sts::545668264778:assumed-role/trocco-google-cloud-workload-identity/trc-{外部ID}
保存をクリックします。
プロバイダを選択し構成をダウンロードをクリックすると、構成ファイルがダウンロードされます。

パターン2: データセット・テーブルにプリンシパルを追加

このパターンでは、AWSから直接Google Cloudの権限でBigQueryにアクセスします。

IAM権限設定

TROCCOからアクセスしたいBigQueryのデータセット・テーブルを開きます。
共有 > 権限を管理 をクリックします。
プリンシパルを追加をクリックし、以下の情報を入力します。
- 新しいプリンシパル: principal://iam.googleapis.com/projects/{プロジェクトナンバー}/locations/global/workloadIdentityPools/{プールID}/subject/arn:aws:sts::545668264778:assumed-role/trocco-google-cloud-workload-identity/trc-{外部ID}
必要なロールを選択します。接続情報 - Google BigQueryを参照ください。
保存をクリックします。

構成ファイルのダウンロード

Google Cloud Consoleで Workload Identity 連携に移動します。
設定したWorkload Identityプールをクリックし、アクセスを許可をクリックします。
フェデレーション ID を使用してアクセス権を付与するを選択し、設定をダウンロードをクリックします。
プロバイダを選択し構成をダウンロードをクリックします。

ステップ3: TROCCO側の設定

BigQueryの接続情報作成時にWorkload Identity Federationで作成を選択し、ダウンロードした構成ファイルの内容を入力します。
詳しくは、接続情報 - Google BigQueryを参照ください。

Documentation Index