Cloud API とライブラリの管理

Cloud APIs を使用すると、Google Cloud プロダクトとサービスにプログラムからアクセスできます。これらの API では、クライアント ライブラリ経由で呼び出し可能な、シンプルな JSON REST インターフェースが公開されています。

Cloud Code を使用すると、統合された Google Cloud サービスのこのリストと対応するクライアント ライブラリとドキュメントにアクセスできます。また、Cloud APIs を閲覧して有効化し、プロジェクトに Cloud クライアント ライブラリを追加できます。これらのすべてを IDE から実行できます。

Cloud APIs の閲覧

IDE 内で利用可能なすべての Google Cloud APIs を確認する手順は次のとおりです。

  1. アクティビティ バーから Cloud Code - Cloud APIs アイコン Cloud Code - Cloud APIs アイコン をクリックします。
  2. Google Cloud APIs Explorer のツリーを展開して、使用可能なすべての API を表示します。Explorer はカテゴリ別に Cloud APIs をグループ化します。

    3. ツリービュー エクスプローラに表示される Cloud APIs の一覧を示すスクリーンショット。

  3. API をクリックすると、サービス名、ステータス、対応するクライアント ライブラリのインストール手順、関連ドキュメントなどの詳細が表示されます。

Cloud APIs の有効化

API の詳細ページを使用してプロジェクトの Cloud API をすばやく有効にするには、次の手順に従います。

  1. Cloud APIs の詳細ビューで、Cloud APIs を有効にするプロジェクトを選択します。

    2. 選択した Cloud APIs の詳細を示すスクリーンショット

  2. [API を有効にする] ボタンをクリックします。

    API が有効になると、この変更を確認するメッセージが表示されます。

プロジェクトにクライアント ライブラリを追加する

Cloud Code を使用して Cloud APIs を探索し有効にする方法とは別に、言語固有のクライアント ライブラリをプロジェクトに追加する方法もあります。これにはインストールが必要です。API の詳細ページに、言語別のインストール手順が記載されています。

Cloud APIs に対応するクライアント ライブラリのインストール手順を示すスクリーンショット

認証の設定

必要な API を有効にして必要なクライアント ライブラリを追加したら、アプリケーションの認証を正常に完了するためにアプリケーションを構成する必要があります。構成は、開発の種類と実行するプラットフォームによって異なります。

関連する認証手順を完了すると、アプリケーションが認証され、デプロイの準備が整います。

ローカルでの開発

ローカルマシン

  1. IDE から Google Cloud にログインした場合は、Cloud Code には、アプリケーションのデフォルト認証情報（ADC）が確実に設定されています。
    IDE の外部で Google Cloud に（gcloud コマンドライン ツールなどから）ログインした場合は、gcloud auth login --update-adc を実行して ADC を設定する必要があります。これにより、Google Cloud クライアント ライブラリで、認証に使用する ADC を検出できるようにもなります。

minikube

  1. IDE から Google Cloud にログインした場合は、Cloud Code には、アプリケーションのデフォルト認証情報（ADC）が確実に設定されています。
    IDE の外部で Google Cloud に（gcloud コマンドライン ツールなどから）ログインした場合は、gcloud auth login --update-adc を実行して ADC を設定する必要があります。これにより、minikube で認証に使用する ADC を検出できます。
  2. minikube start --addons gcp-auth で minikube を起動します。これにより、ADC が Pod にマウントされます。Google Cloud 用の詳細な minikube 認証ガイドについては、minikube gcp-auth ドキュメントをご覧ください。

その他のローカル K8s クラスタ

  1. IDE から Google Cloud にログインした場合は、Cloud Code には、アプリケーションのデフォルト認証情報（ADC）が確実に設定されています。
    IDE の外部で Google Cloud に（gcloud コマンドライン ツールなどから）ログインした場合は、gcloud auth login --update-adc を実行して ADC を設定する必要があります。
  2. デプロイ マニフェストを編集して Kubernetes Pod にローカルの ~/.config/gcloud ディレクトリをマウントします。これにより、Google Cloud クライアント ライブラリで認証情報を検出できるようになります。 また、Google Cloud プロジェクト ID を GOOGLE_CLOUD_PROJECT という名前の環境変数に設定する必要もあります。Kubernetes Pod の構成例: 
    apiVersion: v1
kind: Pod
metadata:
  name: my-app
  labels:
    name: my-app
spec:
  containers:
  - name: my-app
    image: gcr.io/google-containers/busybox
    ports:
      - containerPort: 8080
    env:
    - name: GOOGLE_CLOUD_PROJECT
      value: my-project-id
    volumeMounts:
      - mountPath: /root/.config/gcloud
        name: gcloud-volume
  volumes:
    - name: gcloud-volume
      hostPath:
        path: /path/to/home/.config/gcloud

Cloud Run

  1. IDE から Google Cloud にログインした場合は、Cloud Code には、アプリケーションのデフォルト認証情報（ADC）が確実に設定されています。
    IDE の外部で Google Cloud に（gcloud コマンドライン ツールなどから）ログインした場合は、gcloud auth login --update-adc を実行して ADC を設定する必要があります。これにより、Cloud Run のローカルでシミュレートされた環境で、認証に使用する ADC を検出できます。

リモート開発

Google Kubernetes Engine

プロジェクトのスコープに応じて、GKE での Google Cloud サービスの認証方法を選択できます。

  • （開発のみ）
    1. 次の設定で GKE クラスタを作成します。
      • GKE のデフォルトで使用されるサービス アカウント（Compute Engine のデフォルト サービス アカウント）を使用していること、そのサービス アカウントを使用していること、および [アクセス スコープ] が [すべての Cloud APIs への完全アクセス権を許可] に設定されていることを確認してください（この 2 つの設定を行うには、[ノードプール] > [セキュリティ] と進んでください）。
        Compute Engine サービス アカウントはノードにデプロイされているすべてのワークロードで共有されるので、この方法は権限をオーバープロビジョニングし、開発目的でのみ使用する必要があります。
      • クラスタで Workload Identity が有効になっていないことを確認します（[クラスタ] > [セキュリティ] セクションにて）。
    2. サービス アカウントに必要なロールを割り当てます。
  • （本番環境に推奨）
    1. Workload Identity を使用して GKE クラスタとアプリケーションを構成し、GKE で Google Cloud サービスを認証します。これにより、Kubernetes サービス アカウントが Google サービス アカウントに関連付けられます。
    2. Kubernetes Deployment YAML ファイル内の .spec.serviceAccountName フィールドを設定して、Kubernetes サービス アカウントを参照するように Kubernetes Deployment を構成します。
      Cloud Code テンプレートから作成されたアプリの場合、このファイルは kubernetes-manifests フォルダにあります。
    3. アクセスしようとしている Google Cloud サービスに追加のロールが必要な場合は、アプリの開発に使用している Google サービス アカウントにそれらのロールを付与します。

Cloud Run

  1. Cloud Run アプリケーションをデプロイするための新しい専用のサービス アカウントを作成するには、[サービス アカウント] ページに移動して、Secret が保存されているプロジェクトを選択します。

    [サービス アカウント] ページに移動

  2. [サービス アカウントを作成] をクリックします。
  3. [サービス アカウントの作成] ダイアログで、わかりやすいサービス アカウント名を指定します。
  4. [サービス アカウント ID] を一意のわかりやすい値に変更してから、[作成] をクリックします。
  5. アクセスしようとしている Google Cloud サービスに追加のロールが必要な場合は、付与し、[続行] をクリックして、[完了] をクリックします。
  6. デプロイ構成にサービス アカウントを追加するには:
    1. Cloud Code のステータスバーで [Cloud Run: Deploy] を選択します。
    2. Cloud Run Deployment UI にある [Revision Settings] の [Service Account] フィールドに、サービス アカウントを指定します。
    Cloud Run で展開された詳細なリビジョン設定セクション: service-account-name@project-name.iam.gserviceaccount.com という形式のサービス アカウント名が入力されている [Deploy and Service Account] フィールド

Cloud Run

プロジェクトのスコープに応じて、GKE での Google Cloud サービスの認証方法を選択できます。

  • （開発のみ）
    1. 次の設定で GKE クラスタを作成します。
      • GKE のデフォルトで使用されるサービス アカウント（Compute Engine のデフォルト サービス アカウント）を使用していること、および [アクセス スコープ] が [すべての Cloud APIs への完全アクセス権を許可] に設定されていることを確認してください（この 2 つの設定を行うには、[ノードプール] > [セキュリティ] と進んでください）。
        Compute Engine サービス アカウントはノードにデプロイされているすべてのワークロードで共有されるので、この方法は権限をオーバープロビジョニングし、開発目的でのみ使用する必要があります。
      • クラスタで Workload Identity が有効になっていないことを確認します（[クラスタ] > [セキュリティ] セクションにて）。
    2. サービス アカウントに必要なロールを割り当てます。
  • （本番環境に推奨）
    1. Workload Identity を使用して GKE クラスタとアプリケーションを構成し、GKE で Google Cloud サービスを認証します。これにより、Kubernetes サービス アカウントが Google サービス アカウントに関連付けられます。
    2. デプロイ構成にサービス アカウントを追加するには:
      1. Cloud Code のステータスバーで [Cloud Run: Deploy] を選択します。
      2. Cloud Run Deployment UI にある [Revision Settings] の [Service Account] フィールドに、サービス アカウントを指定します。
      Cloud Run で展開された詳細なリビジョン設定セクション: service-account-name@project-name.iam.gserviceaccount.com という形式の Kubernetes サービス アカウント名が入力されている [Deploy and Service Account] フィールド
    3. アクセスしようとしている Google Cloud サービスに追加のロールが必要な場合は、アプリの開発に使用している Google サービス アカウントにそれらのロールを付与します。

Secret Manager 権限を有効にしたリモート開発

認証にサービス アカウントを使用してリモートで開発しており、アプリケーションが Secret を使用している場合は、リモート開発の手順に追加していくつかの手順を行う必要があります。これらの手順では、Google サービス アカウントに特定の Secret Manager の Secret にアクセスに必要なロールを割り当てます。

  1. [Secret Manager] ビュー Secret Manager のアイコン を開き、コード内でアクセスする Secret を選択します。

    2 つの Secret が一覧表示されている Cloud Code の Secret Manager

  2. Secret を右クリックし、[Cloud Console で権限を編集] を選択します。 これにより、その Secret の Secret Manager 構成ページがウェブブラウザで開きます。

    Secret Manager パネルで Secret を右クリックします。

  3. Cloud Console で、[権限] をクリックし、[追加] をクリックします。

  4. [新しいプリンシパル] フィールドに、サービス アカウントの名前を入力します。

  5. [ロールを選択] フィールドで、[Secret Manager のシークレット アクセサー] ロールを選択します。

  6. [保存] をクリックします。

    これで、サービス アカウントにこの特定の Secret にアクセスするための権限が付与されました。

サポートの利用

フィードバックを送信するには、GitHub で問題を報告します。または、Stack Overflow で質問します。