背景

Google Cloud Platform (GCP) 上でデプロイ環境を構築する際、通常はサービスアカウントキーを使用して Terraform などのインフラストラクチャ管理ツールを認証します。セキュリティを向上させ、鍵の管理を簡素化するために、Workload Identity を使用してサービスアカウントキーの発行を回避する方法があります。Workload Identityを使ってSAキー無しでTerraform cloud からのデプロイ環境をつくってみます。

事前準備

GCPとTerraform Cloudのセットアップが必要になります。詳細は割愛しますが、以下の流れで事前準備を行います。

GCPアカウントのセットアップ

GCPアカウントを持っていない場合、GCP公式ウェブサイトでアカウントを作成します。
プロジェクトを作成し、必要なAPIやサービスを有効にします。
Google Cloud SDKをインストールして、コマンドラインからGCPにアクセスできるようにします。

Terraform Cloudへのアクセス

1.Terraform Cloudのアカウントを作成またはログインします。アカウントがない場合は、Terraform Cloudのウェブサイトから登録できます。
2.Terraform Cloudのワークスペースを作成し、プロジェクトに関連付けます。

手順

以下は、Terraform Cloud を使用して GCP 上で Workload Identity をセットアップし、サービスアカウントキーなしでデプロイ環境を構築する基本的な手順です。

Google CloudでWorkload Identityプールとプールプロバイダを作成する。

Google	OIDC
google.subject	assertion.sub
attribute.terraform_full_workspace	assertion.terraform_full_workspace
attribute.terraform_workspace_id	assertion.terraform_workspace_id

検証のため今回は属性条件を入力してないが、terraformのOrganization idやworkspace名などでCEL条件を入力することで認証を制限する。

作成したプロバイダが表示される。

サービスアカウントの作成と権限付与

サービスアカウントを作成して、以下コマンドにて、IAMバインディングを追加します。

gcloud iam service-accounts add-iam-policy-binding [id]@[プロジェクトID].iam.gserviceaccount.com \
 --role="roles/iam.workloadIdentityUser" \
 --member="principalSet://iam.googleapis.com/projects/[プロジェクト番号]/locations/global/workloadIdentityPools/[プールID]/attribute.terraform_workspace_id/[terraformのworkspace ID]"

コマンド実行後、プールの詳細の接続済みサービスアカウントに表示されます。

Terraform Cloud のセットアップと実行

Terraform Cloud のWorkspace の Variables で3つの変数を定義する。

key	value
TFC_GCP_PROVIDER_AUTH	true
TFC_GCP_RUN_SERVICE_ACCOUNT_EMAIL	[サービスアカウント]
TFC_GCP_WORKLOAD_PROVIDER_NAME	[Workload Identityプロバイダ名(1)(2)]

(*1) 形式はprojects/[プロジェクト番号]/locations/global/workloadIdentityPools/[プールID]/providers/[プロバイダID]
(*2) Sensitiveにチェックをいれる

2.　Terraform コードを作成し、Terraform Cloud を使用してデプロイを実行します。Terraform は Workload Identity を介して GCP にアクセスし、サービスアカウントキーを使用せずにデプロイを行います。デプロイが成功するとTerraform Cloud上で以下のように表示されます。