## 目次

1. [Workload Identityとは](#1)
2. [GKEでのWorkload Identityの基本](#2)
   - 2-1. GKEクラスタの設定
   - 2-2. IAMとKubernetesサービスアカウントの統合
3. [IAMポリシー設定](#3)
   - 3-1. 必要なIAMロールの割り当て
   - 3-2. サービスアカウントのバインディング
4. [セキュア設計のベストプラクティス](#4)
   - 4-1. 最小権限の原則
   - 4-2. サービスアカウントごとの役割分担
5. [Workload Identity利用時の注意点](#5)
6. [具体的な実装手順](#6)
7. [まとめ](#7)

## 1. Workload Identityとは <a name="1"></a>

Workload Identityは、Google Kubernetes Engine（GKE）で実行されるコンテナが、Google CloudのIAMポリシーに従ってGoogle Cloudリソースにアクセスできるようにするための機能です。これにより、コンテナ上に認証情報を直接配置することなく、安全にリソースへアクセスできる環境を提供します。

## 2. GKEでのWorkload Identityの基本 <a name="2"></a>

Googleは、Workload Identityを用いることで、Kubernetes（K8s）サービスアカウントとGoogleのIAMサービスアカウントを連携させ、KubernetesポッドがGoogle Cloudリソースにアクセスできるようにします。

### 2-1. GKEクラスタの設定

Workload Identityを有効にするためには、GKEクラスタで適切な設定を行う必要があります。以下にその手順を示します。

![img](/mosaic-code.jpg)

### 2-2. IAMとKubernetesサービスアカウントの統合

IAMサービスアカウントとKubernetesサービスアカウントを統合させることで、ポッドがGCPリソースにアクセスできます。

![img](/mosaic-code.jpg)

## 3. IAMポリシー設定 <a name="3"></a>

IAMポリシーの設定は、GKEワークロードで安全にリソースへアクセスするための重要なステップです。

### 3-1. 必要なIAMロールの割り当て

目的に応じて、アクセスが必要なリソースに対して最小限のIAMロールを割り当てます。

![img](/mosaic-code.jpg)

### 3-2. サービスアカウントのバインディング

IAMサービスアカウントとKubernetesサービスアカウントの関連付けが完了したら、ワークロードに必要なポリシーを付与します。

## 4. セキュア設計のベストプラクティス <a name="4"></a>

### 4-1. 最小権限の原則

全てのサービスアカウントは必要最低限の権限のみを持つように設定します。権限を必要以上に付与しないことで、セキュリティリスクを大幅に軽減できます。

### 4-2. サービスアカウントごとの役割分担

サービスアカウントは可能な限り分割し、それぞれが特定のリソースまたは環境にのみアクセスできるようにします。

## 5. Workload Identity利用時の注意点 <a name="5"></a>

- **リソース制約**: 過剰なリソースのバインディングを避ける。
- **リージョン対応**: リソースやワークロードがどのリージョンに設定されるのかを意識し、設定を行う。

## 6. 具体的な実装手順 <a name="6"></a>

1. GKEクラスタ上でWorkload Identityを有効化する。
2. 必要なKubernetesポッド上で適切なKubernetesサービスアカウントを指定。
3. そのアカウントに対応するIAMサービスアカウントのポリシーを設定。
4. IAMとKubernetesサービスアカウントの関連付けを実行。

## 7. まとめ <a name="7"></a>

GKE上でWorkload Identityを活用することで、IAMポリシーとの統合を通じ、コンテナからの安全なクラウドリソースアクセスが可能になります。これにより、シークレット管理の手間を軽減しつつ、最小権限のポリシー設計が可能です。セキュアなアクセス制御を実現するには、ポリシーの管理とワークロードの調整を慎重に行う必要があります。 [cv:issue_marketplace_engineer]

## 目次

1. [Workload Identityとは](#1)
2. [GKEでのWorkload Identityの基本](#2)
   - 2-1. GKEクラスタの設定
   - 2-2. IAMとKubernetesサービスアカウントの統合
3. [IAMポリシー設定](#3)
   - 3-1. 必要なIAMロールの割り当て
   - 3-2. サービスアカウントのバインディング
4. [セキュア設計のベストプラクティス](#4)
   - 4-1. 最小権限の原則
   - 4-2. サービスアカウントごとの役割分担
5. [Workload Identity利用時の注意点](#5)
6. [具体的な実装手順](#6)
7. [まとめ](#7)

## 1. Workload Identityとは <a name="1"></a>

Workload Identityは、Google Kubernetes Engine（GKE）で実行されるコンテナが、Google CloudのIAMポリシーに従ってGoogle Cloudリソースにアクセスできるようにするための機能です。これにより、コンテナ上に認証情報を直接配置することなく、安全にリソースへアクセスできる環境を提供します。

## 2. GKEでのWorkload Identityの基本 <a name="2"></a>

Googleは、Workload Identityを用いることで、Kubernetes（K8s）サービスアカウントとGoogleのIAMサービスアカウントを連携させ、KubernetesポッドがGoogle Cloudリソースにアクセスできるようにします。

### 2-1. GKEクラスタの設定

Workload Identityを有効にするためには、GKEクラスタで適切な設定を行う必要があります。以下にその手順を示します。

```bash
# クラスタ作成の際にWorkload Identityを有効にする
gcloud container clusters create [CLUSTER_NAME] \
    --workload-pool=[PROJECT_ID].svc.id.goog
```

### 2-2. IAMとKubernetesサービスアカウントの統合

IAMサービスアカウントとKubernetesサービスアカウントを統合させることで、ポッドがGCPリソースにアクセスできます。

```bash
# サービスアカウントの作成
gcloud iam service-accounts create [GCP_SA_NAME]

# Kubernetesサービースアカウントの作成
kubectl create serviceaccount [K8S_SA_NAME]

# IAMポリシーの付与
gcloud iam service-accounts add-iam-policy-binding [GCP_SA_NAME]@[PROJECT_ID].iam.gserviceaccount.com \
    --role roles/iam.workloadIdentityUser \
    --member "serviceAccount:[PROJECT_ID].svc.id.goog[[NAMESPACE]/[K8S_SA_NAME]]"
```

## 3. IAMポリシー設定 <a name="3"></a>

IAMポリシーの設定は、GKEワークロードで安全にリソースへアクセスするための重要なステップです。

### 3-1. 必要なIAMロールの割り当て

目的に応じて、アクセスが必要なリソースに対して最小限のIAMロールを割り当てます。

```bash
# 例: Storageオブジェクト閲覧の権限を付与
gcloud projects add-iam-policy-binding [PROJECT_ID] \
    --member "serviceAccount:[GCP_SA_NAME]@[PROJECT_ID].iam.gserviceaccount.com" \
    --role roles/storage.objectViewer
```

### 3-2. サービスアカウントのバインディング

IAMサービスアカウントとKubernetesサービスアカウントの関連付けが完了したら、ワークロードに必要なポリシーを付与します。

## 4. セキュア設計のベストプラクティス <a name="4"></a>

### 4-1. 最小権限の原則

全てのサービスアカウントは必要最低限の権限のみを持つように設定します。権限を必要以上に付与しないことで、セキュリティリスクを大幅に軽減できます。

### 4-2. サービスアカウントごとの役割分担

サービスアカウントは可能な限り分割し、それぞれが特定のリソースまたは環境にのみアクセスできるようにします。

## 5. Workload Identity利用時の注意点 <a name="5"></a>

- **リソース制約**: 過剰なリソースのバインディングを避ける。
- **リージョン対応**: リソースやワークロードがどのリージョンに設定されるのかを意識し、設定を行う。

## 6. 具体的な実装手順 <a name="6"></a>

1. GKEクラスタ上でWorkload Identityを有効化する。
2. 必要なKubernetesポッド上で適切なKubernetesサービスアカウントを指定。
3. そのアカウントに対応するIAMサービスアカウントのポリシーを設定。
4. IAMとKubernetesサービスアカウントの関連付けを実行。

## 7. まとめ <a name="7"></a>

GKE上でWorkload Identityを活用することで、IAMポリシーとの統合を通じ、コンテナからの安全なクラウドリソースアクセスが可能になります。これにより、シークレット管理の手間を軽減しつつ、最小権限のポリシー設計が可能です。セキュアなアクセス制御を実現するには、ポリシーの管理とワークロードの調整を慎重に行う必要があります。 

目次

続きを読むには単価診断を受けてください（30秒）