概要

Terraform で Google Cloud のリソース管理をする際に必要となる認証方法について整理しました。

1. ADCによるGoogle認証

Application Default Credentials (ADC) による認証を利用した方法です。

認証には gcloud コマンドを実行します。

gcloud auth application-default login

実行すると、Webブラウザを経由してログインしているGoogleアカウントで認証をしてくれます。
認証後はLinux や macOSでは、$HOME/.config/gcloud/application_default_credentials.json のパスに認証情報が配置されます。

2. Google Cloud上のデフォルトの認証情報を利用

（2つ目にして例外的になってしまいますが）以下の場合はデフォルトで認証情報が設定されるため、認証のための操作は特に不要になります。

Cloud Shell ・ Cloud Code などクラウドベースの開発環境：ログインしたGoogleアカウントのユーザの認証情報が使われる
Compute Engine、App Engine、Cloud Run functions などのワークロードでは任意のサービスアカウントを紐づけるため、そのサービスアカウントの認証情報が使われる

3. サービスアカウントの鍵を利用

サービスアカウントの鍵（JSONファイル）を任意のパスに配置し、そのパスを環境変数GOOGLE_APPLICATION_CREDENTIALS に設定することで、Terraform実行時の認証として利用されます。
鍵の内容を環境変数に代入するのではなく、ファイルのパスとなるため注意です。

export GOOGLE_APPLICATION_CREDENTIALS='/path/to/credential.json'

4. サービスアカウントのアクセストークンを利用

ADCの認証コマンドにオプションをつけ、サービスアカウントとして振る舞うためのアクセストークンを発行する方法です。
権限を借用するためには、対象のサービスアカウントに対する「サービスアカウントトークン作成者 （roles/iam.serviceAccountTokenCreator）」の IAM ロールが必要となります。

認証方法１と似ていますが、鍵を発行せずにサービスアカウントとして認証することができる方法です。

4.1 コマンドでの設定

gcloud auth application-default login --impersonate-service-account SERVICE_ACCT_EMAIL

詳細は以下を参照ください。

4.2 provider ブロックでの設定

Terraform で実行する際には、Provider の設定として記載することができます。

provider "google" {
  # Terraform実行にアクセストークンを利用するように書き換える
  access_token = data.google_service_account_access_token.sa.access_token
}

# Terraform実行用サービスアカウントの権限を借用するアクセストークンを生成する
provider "google" {
  alias = "impersonated"
}
data "google_client_config" "default" {
  provider = google.tokengen
}
data "google_service_account_access_token" "sa" {
  provider               = google.tokengen
  target_service_account = "terraform-service-account@project-id.iam.gserviceaccount.com"
  lifetime               = "300s"
  scopes                 = ["userinfo-email", "cloud-platform"]
}

詳細な設定については、Terraformのリファレンスをご参照ください。

5. Workload Identity Federation

Workload Identity Federation はOpenID Connect（OIDC）やSAMLを使って外部のIDプロバイダを認証することで、サービスアカウントの権限を借用することができる機能です。

この機能を使うと、外部のIDプロバイダ（GitHubやTerraform Cloudなど）の認証で、サービスアカウントの鍵を発行することなく、認証したIDでサービスアカウントの権限を利用できるようになります。

機能や手順についは以下を参照ください。

拙著ですが、以前GitHub ActionsとTerraformを例に設定方法を書いた記事もありますので、そちらも載せておきます。

6. Direct Workload Identity Federation (GitHub Actions)

GitHub Actions で認証をする際に、よく使われるアクションgoogle-github-actions/authの機能として、Direct Workload Identity Federationというものがあります。
こちらは、v2.0.0から追加された機能で、サービスアカウントを経由せず、GitHub Actions OIDC トークンを使って直接 Google Cloud に認証することができるようになります。

google-github-actions/authのREADMEにはPreferredと記載されており、推奨の方法となっています。

設定などについては以下の記事が大変参考になりましたので、詳細はそちらをご参照ください。

まとめ

以上、把握している範囲のTerraform実行時のGoogle Cloudの認証方法をまとめてみました。

個人的な検討フローとしては以下のように考えています。

まず、Terraformの実行環境をGoolge Cloudにまとめられる（方法2）場合は、認証について考えなくてよくなります
次に推奨される設定として、Workload Identity Federationによる鍵を使わない方法（方法5,6）を検討すべきかと思われます
もしOIDCやSAMLなどでIdPが利用できない環境の場合、鍵による認証(方法3)を使うことになるかと思われます
最後に、ローカル環境などから実行する場合や特行頻度が少ない運用であれば、ADCによる認証（方法1）やアクセストークンを利用した認証（方法4）を検討してもいいかもしれません

以上、この記事が誰かの役に立ってくれれば幸いです。