Associate Cloud Engineer（Google Cloud） 無料問題 2 / 10 ・ 分野4: アクセスとセキュリティの構成
AWS 上に開発・ステージング・本番の3つの環境があり、それぞれのワークロードから Google Cloud のリソースにアクセスさせたい。Workload Identity Federation の概要のページが勧める workload identity pool の作り方はどれか。
- pool は1つにまとめ、環境ごとに別の pool プロバイダを並べて区別する
- Google Cloud の外の3つの環境それぞれに、新しい pool を作る
- pool は1つにまとめ、環境の区別はサービス アカウント キーの発行先で行う
- 環境ごとに Google Cloud の組織を分け、各組織に pool を1つずつ置く
正解と解説を見る
正解: B
正解の理由
workload identity pool は外部の ID を管理するためのものである。ページは一般に、Google Cloud のリソースにアクセスする必要がある Google Cloud 以外の環境（開発・ステージング・本番など）ごとに、新しい pool を作るよう勧めている。pool プロバイダは、Google Cloud と ID プロバイダ（AWS、Microsoft Entra ID、GitHub、GitLab、Kubernetes のクラスタ、Okta、AD FS、Terraform など）の関係を表す。
違う選択肢
「pool は1つにまとめ、環境ごとに別の pool プロバイダを並べて区別する」… プロバイダは Google Cloud と ID プロバイダ（AWS など）の関係を表すものである。ページが環境ごとに分けるよう勧めているのは pool のほうである。
「pool は1つにまとめ、環境の区別はサービス アカウント キーの発行先で行う」… Workload Identity Federation は、サービス アカウント キーの管理とセキュリティの負担をなくすための仕組みである。キーで環境を分ける設計は趣旨に反する。
「環境ごとに Google Cloud の組織を分け、各組織に pool を1つずつ置く」… ページが勧めているのは、Google Cloud の外の環境ごとに pool を作ることで、組織を分けることではない。
仕組み
Workload Identity Federation は OAuth 2.0 のトークン交換の仕様に従う。ID プロバイダの資格情報を Security Token Service に渡すと、資格情報の ID が確かめられ、代わりに連携トークンが返る。サービス アカウント キーを使わずに、オンプレミスやマルチクラウドのワークロードに Google Cloud のリソースへのアクセスを与えられる。