Cloud API とライブラリの管理

Cloud APIs を使用すると、Google Cloud プロダクトとサービスにプログラムからアクセスできます。これらの API では、クライアントライブラリ経由で呼び出し可能な、シンプルな JSON REST インターフェースが公開されています。

Cloud Code を使用すると、統合された Google Cloud サービスのこのリストと対応するクライアントライブラリとドキュメントにアクセスできます。また、Cloud APIs を閲覧して有効化し、プロジェクトに Cloud クライアントライブラリを追加できます。これらのすべてを IDE から実行できます。

Cloud APIs の閲覧

IDE 内で利用可能なすべての Google Cloud APIs を確認する手順は次のとおりです。

アクティビティバーから Cloud Code - Cloud APIs アイコンをクリックします。
Google Cloud APIs Explorer のツリーを展開して、使用可能なすべての API を表示します。Explorer はカテゴリ別に Cloud APIs をグループ化します。

ツリービューエクスプローラに表示される Cloud APIs の一覧を示すスクリーンショット。

API をクリックすると、サービス名、ステータス、対応するクライアントライブラリのインストール手順、関連ドキュメントなどの詳細が表示されます。

Cloud APIs の有効化

API の詳細ページを使用してプロジェクトの Cloud API をすばやく有効にするには、次の手順に従います。

Cloud APIs の詳細ビューで、Cloud APIs を有効にするプロジェクトを選択します。

選択した Cloud APIs の詳細を示すスクリーンショット

[API を有効にする] ボタンをクリックします。
API が有効になると、この変更を確認するメッセージが表示されます。

プロジェクトにクライアントライブラリを追加する

Cloud Code を使用して Cloud APIs を探索し有効にする方法とは別に、言語固有のクライアントライブラリをプロジェクトに追加する方法もあります。これにはインストールが必要です。API の詳細ページに、言語別のインストール手順が記載されています。

Cloud APIs に対応するクライアントライブラリのインストール手順を示すスクリーンショット

認証の設定

必要な API を有効にして必要なクライアントライブラリを追加したら、アプリケーションの認証を正常に完了するためにアプリケーションを構成する必要があります。構成は、開発の種類と実行するプラットフォームによって異なります。

関連する認証手順を完了すると、アプリケーションが認証され、デプロイの準備が整います。

ローカルでの開発

ローカルマシン

IDE から Google Cloud にログインした場合は、Cloud Code には、アプリケーションのデフォルト認証情報（ADC）が確実に設定されています。
IDE の外部で Google Cloud に（gcloud コマンドラインツールなどから）ログインした場合は、gcloud auth login --update-adc を実行して ADC を設定する必要があります。これにより、Google Cloud クライアントライブラリで、認証に使用する ADC を検出できるようにもなります。

minikube

IDE から Google Cloud にログインした場合は、Cloud Code には、アプリケーションのデフォルト認証情報（ADC）が確実に設定されています。
IDE の外部で Google Cloud に（gcloud コマンドラインツールなどから）ログインした場合は、gcloud auth login --update-adc を実行して ADC を設定する必要があります。これにより、minikube で認証に使用する ADC を検出できます。
minikube start --addons gcp-auth で minikube を起動します。これにより、ADC が Pod にマウントされます。Google Cloud 用の詳細な minikube 認証ガイドについては、minikube gcp-auth ドキュメントをご覧ください。

その他のローカル K8s クラスタ

IDE から Google Cloud にログインした場合は、Cloud Code には、アプリケーションのデフォルト認証情報（ADC）が確実に設定されています。
IDE の外部で Google Cloud に（gcloud コマンドラインツールなどから）ログインした場合は、gcloud auth login --update-adc を実行して ADC を設定する必要があります。

デプロイマニフェストを編集して Kubernetes Pod にローカルの ~/.config/gcloud ディレクトリをマウントします。これにより、Google Cloud クライアントライブラリで認証情報を検出できるようになります。また、Google Cloud プロジェクト ID を GOOGLE_CLOUD_PROJECT という名前の環境変数に設定する必要もあります。Kubernetes Pod の構成例:

apiVersion: v1
kind: Pod
metadata:
  name: my-app
  labels:
    name: my-app
spec:
  containers:
  - name: my-app
    image: gcr.io/google-containers/busybox
    ports:
      - containerPort: 8080
    env:
    - name: GOOGLE_CLOUD_PROJECT
      value: my-project-id
    volumeMounts:
      - mountPath: /root/.config/gcloud
        name: gcloud-volume
  volumes:
    - name: gcloud-volume
      hostPath:
        path: /path/to/home/.config/gcloud

Cloud Run

IDE から Google Cloud にログインした場合は、Cloud Code には、アプリケーションのデフォルト認証情報（ADC）が確実に設定されています。
IDE の外部で Google Cloud に（gcloud コマンドラインツールなどから）ログインした場合は、gcloud auth login --update-adc を実行して ADC を設定する必要があります。これにより、Cloud Run のローカルでシミュレートされた環境で、認証に使用する ADC を検出できます。

リモート開発

Google Kubernetes Engine

プロジェクトのスコープに応じて、GKE での Google Cloud サービスの認証方法を選択できます。

（開発のみ）
1. 次の設定で GKE クラスタを作成します。
  - GKE のデフォルトで使用されるサービスアカウント（Compute Engine のデフォルトサービスアカウント）を使用していること、そのサービスアカウントを使用していること、および [アクセススコープ] が [すべての Cloud APIs への完全アクセス権を許可] に設定されていることを確認してください（この 2 つの設定を行うには、[ノードプール] > [セキュリティ] と進んでください）。
    Compute Engine サービスアカウントはノードにデプロイされているすべてのワークロードで共有されるので、この方法は権限をオーバープロビジョニングし、開発目的でのみ使用する必要があります。
  - クラスタで Workload Identity が有効になっていないことを確認します（[クラスタ] > [セキュリティ] セクションにて）。
2. サービスアカウントに必要なロールを割り当てます。
  - Secret にアクセスする場合は、Secret Manager 固有の手順に従って、サービスアカウントに必要なロールを設定します。
  - Compute Engine のデフォルトのサービスアカウントが使用されている場合は、適切な IAM ロールがすでに適用されている可能性があります。
  - ID に付与できる IAM ロールタイプと事前定義ロールの一覧については、ロールについてのガイドをご覧ください。ロールを付与する手順については、リソースへのアクセス権の付与、変更、取り消しをご覧ください。
（本番環境に推奨）
1. Workload Identity を使用して GKE クラスタとアプリケーションを構成し、GKE で Google Cloud サービスを認証します。これにより、Kubernetes サービスアカウントが Google サービスアカウントに関連付けられます。
2. Kubernetes Deployment YAML ファイル内の .spec.serviceAccountName フィールドを設定して、Kubernetes サービスアカウントを参照するように Kubernetes Deployment を構成します。
  Cloud Code テンプレートから作成されたアプリの場合、このファイルは kubernetes-manifests フォルダにあります。
3. アクセスしようとしている Google Cloud サービスに追加のロールが必要な場合は、アプリの開発に使用している Google サービスアカウントにそれらのロールを付与します。
  - Secret にアクセスする場合は、Secret Manager 固有の手順に従って、サービスアカウントに必要なロールを設定します。
  - ID に付与できる IAM ロールタイプと事前定義ロールの一覧については、ロールについてのガイドをご覧ください。ロールを付与する手順については、リソースへのアクセス権の付与、変更、取り消しをご覧ください。

Cloud Run

Cloud Run アプリケーションをデプロイするための新しい専用のサービスアカウントを作成するには、[サービスアカウント] ページに移動して、Secret が保存されているプロジェクトを選択します。
[サービスアカウント] ページに移動
[サービスアカウントを作成] をクリックします。
[サービスアカウントの作成] ダイアログで、わかりやすいサービスアカウント名を指定します。
[サービスアカウント ID] を一意のわかりやすい値に変更してから、[作成] をクリックします。
アクセスしようとしている Google Cloud サービスに追加のロールが必要な場合は、付与し、[続行] をクリックして、[完了] をクリックします。
デプロイ構成にサービスアカウントを追加するには:
1. Cloud Code のステータスバーで [Cloud Run: Deploy] を選択します。
2. Cloud Run Deployment UI にある [Revision Settings] の [Service Account] フィールドに、サービスアカウントを指定します。

Cloud Run

プロジェクトのスコープに応じて、GKE での Google Cloud サービスの認証方法を選択できます。

（開発のみ）
1. 次の設定で GKE クラスタを作成します。
  - GKE のデフォルトで使用されるサービスアカウント（Compute Engine のデフォルトサービスアカウント）を使用していること、そのサービスアカウントを使用していること、および [アクセススコープ] が [すべての Cloud APIs への完全アクセス権を許可] に設定されていることを確認してください（この 2 つの設定を行うには、[ノードプール] > [セキュリティ] と進んでください）。
    Compute Engine サービスアカウントはノードにデプロイされているすべてのワークロードで共有されるので、この方法は権限をオーバープロビジョニングし、開発目的でのみ使用する必要があります。
  - クラスタで Workload Identity が有効になっていないことを確認します（[クラスタ] > [セキュリティ] セクションにて）。
2. サービスアカウントに必要なロールを割り当てます。
  - Secret にアクセスする場合は、Secret Manager 固有の手順に従って、サービスアカウントに必要なロールを設定します。
  - Compute Engine のデフォルトのサービスアカウントが使用されている場合は、適切な IAM ロールがすでに適用されている可能性があります。
  - ID に付与できる IAM ロールタイプと事前定義ロールの一覧については、ロールについてのガイドをご覧ください。ロールを付与する手順については、リソースへのアクセス権の付与、変更、取り消しをご覧ください。
（本番環境に推奨）
1. Workload Identity を使用して GKE クラスタとアプリケーションを構成し、GKE で Google Cloud サービスを認証します。これにより、Kubernetes サービスアカウントが Google サービスアカウントに関連付けられます。
2. デプロイ構成にサービスアカウントを追加するには:
  1. Cloud Code のステータスバーで [Cloud Run: Deploy] を選択します。
  2. Cloud Run Deployment UI にある [Revision Settings] の [Service Account] フィールドに、サービスアカウントを指定します。
3. アクセスしようとしている Google Cloud サービスに追加のロールが必要な場合は、アプリの開発に使用している Google サービスアカウントにそれらのロールを付与します。
  - Secret にアクセスする場合は、Secret Manager 固有の手順に従って、サービスアカウントに必要なロールを設定します。
  - ID に付与できる IAM ロールタイプと事前定義ロールの一覧については、ロールについてのガイドをご覧ください。ロールを付与する手順については、リソースへのアクセス権の付与、変更、取り消しをご覧ください。

Secret Manager 権限を有効にしたリモート開発

認証にサービスアカウントを使用してリモートで開発しており、アプリケーションが Secret を使用している場合は、リモート開発の手順に追加していくつかの手順を行う必要があります。これらの手順では、Google サービスアカウントに特定の Secret Manager の Secret にアクセスに必要なロールを割り当てます。

[Secret Manager] ビューを開き、コード内でアクセスする Secret を選択します。
Secret を右クリックし、[Cloud Console で権限を編集] を選択します。これにより、その Secret の Secret Manager 構成ページがウェブブラウザで開きます。
Cloud Console で [情報パネルを表示] をクリックし、[メンバーを追加] をクリックします。
サービスアカウントに、Secret Manager Secret アクセサーのロールを割り当てます。

これで、サービスアカウントにこの特定の Secret にアクセスするための権限が付与されました。