Cloud Run で Workforce Identity と IAP を利用して Microsoft Entra アカウントで認証する
はじめに こんにちは！クラウドエースの SRE 部に所属している小田です。 今回は、Microsoft Entra テナント（旧 Azure AD）を外部 Identify Provider（以下、IdP）として Workforce Identity 連携を行い、Microsoft Entra アカウントで Cloud Run のアプリケーションに Identity-Aware Proxy（以下、IAP）認証を行う方法についてのご紹介です。 2024 年 5 月 6 日にプレビューとなったばかりの機能で、私自身とても気になっていたので試してみました。 対象読者 Microsoft Entra アカウントで IAP 認証を行いたい人 Workforce Identity で Microsoft Entra テナントと連携したい人 何が嬉しいのか 従来、IAP で外部の IdP ユーザーで認証
Workforce Identity Federation を利用する
はじめに アプリケーションモダナイゼーションスペシャリストの関本と申します。 今回は、Google Cloud Japan Advent Calendar の 8 日目の投稿として、アプリケーションモダナイゼーションとあまり関係がない、Workforce Identity Federation についてご紹介します。 TL;DR Workforce Identity Federation を利用すると Cloud Identity を利用せずに他の IdP(Microsoft Entra ID などの外部 ID プロバイダー) の ID で Google Cloud を利用できます。 Workforce Identity Federation とは？ Google Cloud の外部(他のクラウドや Kubernetes など)で実行されているアプリケーションが、Service Accou
Workload Identity Federationを図で理解する - Carpe Diem
概要 GCPのWorkload Identity連携はサービスアカウントで秘密鍵を作らずともGCPリソースへのアクセス権を他の環境（オンプレ、別パブリッククラウド）に付与することができます。 これにより AWSからGCPリソースにアクセスする GitHub ActionsからGCRにDocker imageをpushする CircleCIでGKEのデプロイを行う といった連携が鍵なしで実現できます。 ただ実装だけだとイメージしづらいので今回は図示してみました。 Workload Identity Federation Workload Identity連携における登場人物は以下です。 左のWorkloadsがGCPリソースにアクセスしたいアプリケーションに当たります。 準備 Workload Identity Poolの作成とサービスアカウントの作成 まずはWorkload Identit
サービスアカウントの権限を借用して Terraform を実行する方法 - G-gen Tech Blog
G-gen の武井です。 Infrastructure as Code (IaC) を実現する Terraform を Google Cloud (旧称 GCP) で実行する際、ユーザーアカウントの権限ではなく、サービスアカウントの権限を借用して実行する方法を紹介します 。 Terraform Terraform が依存する IAM 権限 概要 IAM 権限の付与 サービスアカウントを利用した Terraform の実行 図説 権限借用のイメージ 権限借用のメリット 設定方法 概要 環境 事前準備 プロジェクトの作成 プロジェクトの請求先アカウントの紐づけ tfstate ファイル格納バケットの作成 Terraform 用サービスアカウントの作成 Terraform 用サービスアカウントに IAM ロールを付与 手順 roles/iam.serviceAccountTokenCreator
Cloud Loggingの概念と仕組みをしっかり解説 - G-gen Tech Blog
G-genの杉村です。Cloud Logging は Google Cloud (旧称 GCP) 上のシステム等が生成したログを収集・保管・管理する仕組みです。基本的な概念や仕組みを解説していきます。 Cloud Logging 概要 Cloud Logging とは 対象のログ ログの保存先 料金 Cloud Logging の料金 最初から存在するログバケットの料金 ストレージ料金の課金開始 取り込み料金の節約 Cloud Logging が扱う4種類のログ 1. Google Cloudサービスが生成するログ 2. ユーザーが生成するログ 3. セキュリティログ 4. マルチクラウドとハイブリッド クラウドのログ ログの閲覧 閲覧方法 クエリ言語 インデックス ログルーティングとログの保存 ログルーティングとは シンクとは 初期設定で存在するシンク 書き込み ID プロジェクトをまた
GCP と OAuth2
はじめにGCP のサービスにプログラムからアクセスするためには必ず認証・認可が必要ですが、以下のような様々なコマンドや概念が出てくるので少しとっつきにくい印象があります。 gcloud auth logingcloud auth application-default loginService AccountApplication Default Credentialsこれらの概念は認証・認可のベースとなっている OAuth2 の文脈で眺めてみると全体像が理解しやすくなるので、本記事でまとめてみたいと思います。 GCP での認証・認可GCP の認証・認可は一部(*)を除いて全て OAuth2 ベースでやり取りされています。(* API Key) OAuth2 は三者間の手続きです。 3-Legged OAuth2Client が Resource Owner の代わりに Resource
AWS Lambda からサービスアカウントで Google APIs を叩くまでにやったこと | DevelopersIO
コンサルティング部の西野です。 AWS Lambda からサービスアカウントを使用して Google APIs を叩く機会がありましたので、その手順を紹介します。 やりたいこと G Suite ドメイン内のユーザーによって Google Drive 上に保存されたファイルの名称を AWS Lambda 経由で取得することをゴールとします。 構成図 server-to-server (Lambda to Google API) で API をコールするためサービスアカウントを用いる Using OAuth 2.0 for Server to Server Applications AWS リージョンはアジアパシフィック（東京）/ ap-northeast-1 を使用 API コール用のサービスアカウントキーを SSM Parameter Store に SecureString として保存す
AWS の IAM ロールと GCP のサービスアカウントを紐付けて鍵なしでアクセスする方法 | yuu26-memo
GCP には Workload Identity 連携 と呼ばれる機能があります。 現時点ではβ版です。 ブログを書いている間に GA してました。 この機能を活用することで、GCP 上のサービスアカウントを AWS IAM と紐付けることができ、サービスアカウントの鍵を使うことなく GCP へアクセス可能になります。 AWS から BigQuery へデータを送るためにサービスアカウントの鍵を渡すケースは多いと思いますが、今後はその必要がなくなるかもしれません。 登場する概念Workload Identity プールと、Workload Identity プロバイダという2つの概念を最初に抑えておくと理解しやすくなります。(なりました) Workload Identity プール外部 ID と連携するときに使う好きな名前をつけて作れるこの中に ID プロバイダを登録するWorkload
GCP を利用したセキュリティ要件対応 : VPC Service Controls を試してみた (その 1 : 概念の確認)
TLDR「BigQuery IP 制限」でこの記事にたどり着いた方、この記事はあなたのための記事です :)VPC Service Controls を利用することで、 BigQuery や GCS に対する IP 制限だけでなく、データエクスポートの制限なども含めた統合的なセキュリティを、簡単に実装できますこの記事は Part 3 あるうちの Part 1 です (Part 2, Part 3) オンプレミスとの混在環境や、すでにあるオンプレを前提としたセキュリティポリシー、あるいはコンプライアンスなどに対応する際には様々なセキュリティ要件が存在すると思います。 そのような対応に Google Cloud Platform (GCP) 上で利用できる機能の一つが VPC Service Controls (以下、VPC SC)です。VPC SC は 2019 年 1 月 21 日現在、GC
GCP を利用したセキュリティ要件対応 : VPC Service Controls を試してみた (その 2 : サービス境界線を構成する)
前回は GCP のマネージドサービスをさらに高度に保護する VPC Service Controls （以下、 VPC SC ）の概念について紹介しました。今回はこちらを触ってサービス境界線を構成してみたいと思います。 VPC Service Controls 利用前の準備VPC Service Controls を利用するためには以下の要件を満たしている必要があります。 GCP で組織を利用しているGCP の組織オーナーより、明示的に VPC SC 関連の権限を付与してもらうGCP で組織を利用しているGCP の組織を利用していない場合、利用を開始する必要があります。以下のドキュメントをもとに、 G Suite もしくは Cloud Identity を利用して組織リソースを作成してください。
ElasticsearchとGCPのTCP Keepaliveではまった話
今回はGCP上にElasticsearchクラスタを組もうとしてはまった話をします。ちゃんとドキュメント読めと言われればそこまでなんだけど、ミドルウェアが間に入ってて気づくのに遅れてしまった…。 TL;DR GCEのファイヤーウォールはinactiveコネクションを10分で切断するので、Elasticsearchのクラスタを構築する場合はnet.ipv4.tcp_keepalive_timeの設定を変える必要があるよ。 安定しないクラスタ 事の発端はGCEインスタンスで構築していたElasticsearchのクラスタが、一定間隔でノード間の疎通に失敗して切断・再接続を繰り返していました。 OS: CentOS 7.2 Elasticsearch: 2.3.1 [INFO ][discovery.gce ] [elasticsearch-1] master_left [{elasticsea
マネージドNATサービス GCP Cloud NAT がリリースされました - 本日も乙
先日、GCPでNATインスタンスを構築する記事 を書いたばかりですが、なんとマネージドNATサービス Cloud NATがベータ版でリリースされました。 cloud.google.com リリースされたのでドキュメントを読んで気にあるポイントを整理 & 実際に試してみました。 GCP Cloud NATがアツい理由 NATに設定するIPアドレスについて 自動割り当て 手動割り当て ポート数と接続数の制限 タイムアウト 帯域幅 Googleサービスへのアクセスについて 価格 Cloud NATを使ってみる Cloud Routerの作成 Cloud NATの作成 特定のサブネットだけに限定したい場合 静的IPアドレスによる手動割り当てする場合 Cloud NAT経由でGCEインスタンスを利用する。 参考URL GCP Cloud NATがアツい理由 マネージドNATサービスは他のクラウドサー
How to connect Google Cloud SQL from Cloud Functions?
I am trying to use Cloud Functions for Firebase to build an API that talks with a Google Cloud SQL (PostgreSQL) instance. I am using HTTP(S) trigger. When I white-list my desktop's IP address, I can connect to the Cloud SQL with the function's node.js code from my local machine. But when I deploy, I can't connect, and I can't figure out the HOST IP address of Firebase Function's server, to white-l
HTTP(S) Load Balancing Concepts | Load Balancing | Google Cloud
フィードバックを送信 外部アプリケーション ロードバランサの概要 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 このドキュメントでは、外部アプリケーション ロードバランサの構成方法を理解するために必要なコンセプトについて説明します。 外部アプリケーション ロードバランサは、プロキシベースのレイヤ 7 ロードバランサであり、単一の外部 IP アドレスの背後でサービスを実行し、スケーリングできます。外部アプリケーション ロードバランサは、さまざまな Google Cloud プラットフォーム（Compute Engine、Google Kubernetes Engine（GKE）、Cloud Storage など）でホストされているバックエンドや、インターネットまたはハイブリッド接続を介して接続された外部バックエンドに、HTTP / HTTPS のトラフィッ
Google IP address ranges for outbound mail servers - Google Workspace Admin Help
When setting up email for your domain, you might need the IP addresses for Google Workspace mail servers. For example, SPF authentication for your domain might require Google server IP addresses. Google has a global mail server network that grows dynamically to support demand. This means Google Workspace mail servers have a large range of IP addresses, and the addresses change often. Get the curre
instance groupのRolling Updateでinstance templateを更新 #gcpja |
クラウドインフラ構築記 現在AWSの構築支援に携わっております。今注視しているのは、GKE、BigQuery、Google Dataflowなどサービスを展開しているGoolge Cloud Platformです。 instance groupを使う場合、instance templateが必要になり、なんらかでinstance templateの更新が必要になった場合、インスタンスの再立ち上げなり必要になります。今回試したのが、無停止でインスタンスの更新を行えるRolling Updateになります。 https://cloud.google.com/compute/docs/instance-groups/manager/ 変更前のインスタンステンプレートを作成します。 gcloud compute instance-templates create demo-instance-tem
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
LocalでApplication Default Credentialsを利用している時にG Suite APIやFirebase APIを実行するとgoogleapi: Error 403: Request had insufficient authentication scopes. になる · Issue #124 · gcpug/nouhau
Sources and sinks | Cloud Storage Transfer Service Documentation | Google Cloud
Data Catalog: データの検出 | Google Cloud
Google Issue Tracker