フェデレーション資格情報を設定する

概要

このページでは、サービスアカウントにフェデレーション資格情報を登録する手順を説明します。仕組みは Workload Identity Federation とはを先にお読みください。

フェデレーション資格情報タブを開く

サービスアカウント から対象アカウントの詳細画面を開き、「フェデレーション資格情報」 タブを選択し、「資格情報を作成」 をクリックします。

「資格情報を作成」ボタンをクリック

資格情報を作成する

資格情報を入力します。

項目	説明
表示名	用途が分かる名前（例: `Google Cloud Run Functions（import-assets-service）`）
発行者 URL	接続元 OIDC プロバイダーの Issuer URL
サブジェクトフィルタ	信頼するワークロードの `sub` クレームの条件
オーディエンス	トークンの `aud` クレームの期待値
属性条件	（任意）追加の絞り込み条件

資格情報の作成フォーム — 発行者URL・サブジェクトフィルタ・オーディエンスの入力欄

接続元を設定してテストする

接続元システム側で、ID トークンを取得して CRISIS へ提示する処理を設定します。具体的な実装方法とコード例は Developer Portal を参照してください。

設定後、接続元からテスト実行し、認証が成功することと、監査ログにサービスアカウントとしての操作が記録されることを確認します。

条件は最小限の範囲に

サブジェクトフィルタと属性条件は、自組織の特定のリポジトリ・プロジェクト・環境だけを許可するように必ず絞り込んでください。条件が緩いと、第三者のワークロードがサービスアカウントとして認証できてしまう恐れがあります。

不要になった資格情報は、一覧の操作メニューから削除します。削除すると、その資格情報経由の認証は即時できなくなります。ただし、発行済の短命アクセストークンは有効期限まで引き続き有効な点に注意してください。即時にアクセスを停止するには、サービスアカウントを無効化する必要があります。