/tags/githubactions/ Recent content in GitHubActions on LIFELOG Hugo -- gohugo.io ja © 2026 0222-nnn Tue, 11 Aug 2026 00:00:00 +0900 /blog/20260811_terraform_gcp_advanced_wif_github_actions/ Tue, 11 Aug 2026 00:00:00 +0900 /blog/20260811_terraform_gcp_advanced_wif_github_actions/ <h2 class="relative group">概要 <div id="概要" class="anchor"></div> <span class="absolute top-0 w-6 transition-opacity opacity-0 ltr:-left-6 rtl:-right-6 not-prose group-hover:opacity-100"> <a class="group-hover:text-primary-300 dark:group-hover:text-neutral-700" style="text-decoration-line: none !important;" href="#%e6%a6%82%e8%a6%81" aria-label="アンカー">#</a> </span> </h2> <p>GitHub ActionsからGoogle Cloudへ認証する際、Service Account KeyをGitHub Secretsへ置く方法は漏洩の経路になります。長期間有効なJSON Keyは外部システムへ置きたくありません。</p> <p>そこでWorkload Identity Federation（WIF）を使います。GitHub ActionsのOIDC TokenをGoogle Cloudが直接受け入れる仕組みです。Service AccountをImpersonateでき、鍵ファイル自体を作りません。</p> <p>Terraformの基本操作とGitHub Actionsのworkflow構文は前提としています。</p> <p>Service Account Keyの発行は扱いません。Branch/Environment単位の細かいCondition設計や、Private Repositoryでの追加設定も対象外です。</p> <h2 class="relative group">検証すること <div id="検証すること" class="anchor"></div> <span class="absolute top-0 w-6 transition-opacity opacity-0 ltr:-left-6 rtl:-right-6 not-prose group-hover:opacity-100"> <a class="group-hover:text-primary-300 dark:group-hover:text-neutral-700" style="text-decoration-line: none !important;" href="#%e6%a4%9c%e8%a8%bc%e3%81%99%e3%82%8b%e3%81%93%e3%81%a8" aria-label="アンカー">#</a> </span> </h2> <ul> <li>GitHub Actions向けWorkload Identity PoolとProviderを作成できること</li> <li>OIDC ClaimとIAMの両方でRepositoryを限定できること</li> <li>Service Account KeyなしでWorkflowからGoogle Cloudへ認証できること</li> <li>Demo Bucketの読取で権限を確認できること</li> </ul> <h2 class="relative group">前提環境 <div id="前提環境" class="anchor"></div> <span class="absolute top-0 w-6 transition-opacity opacity-0 ltr:-left-6 rtl:-right-6 not-prose group-hover:opacity-100"> <a class="group-hover:text-primary-300 dark:group-hover:text-neutral-700" style="text-decoration-line: none !important;" href="#%e5%89%8d%e6%8f%90%e7%92%b0%e5%a2%83" aria-label="アンカー">#</a> </span> </h2> <ul> <li>Google Cloud CLIとApplication Default Credentials（ADC）、Terraform</li> <li>GitHub Actionsを実行できるGitHub Repository</li> <li>IAM、Service Account、Cloud Storageを操作できるGoogle Cloud Project</li> <li>検証時のバージョン：Terraform 1.14.3、google 7.43.0</li> </ul> <h2 class="relative group">今回の構成 <div id="今回の構成" class="anchor"></div> <span class="absolute top-0 w-6 transition-opacity opacity-0 ltr:-left-6 rtl:-right-6 not-prose group-hover:opacity-100"> <a class="group-hover:text-primary-300 dark:group-hover:text-neutral-700" style="text-decoration-line: none !important;" href="#%e4%bb%8a%e5%9b%9e%e3%81%ae%e6%a7%8b%e6%88%90" aria-label="アンカー">#</a> </span> </h2> <p>Workload Identity Poolは、外部のIDをGoogle Cloudへ受け入れる入口です。Projectの直下に置かれ、Regionには属しません。</p>