Cloud API とライブラリの管理

Cloud APIs を使用すると、Google Cloud プロダクトとサービスにプログラムからアクセスできます。これらの API では、クライアントライブラリ経由で呼び出し可能な、シンプルな JSON REST インターフェースが公開されています。

Cloud Code を使用すると、統合された Google Cloud サービスのこのリストと対応するクライアントライブラリとドキュメントにアクセスできます。また、Cloud APIs を閲覧して有効化し、プロジェクトに Cloud クライアントライブラリを追加できます。これらのすべてを IDE から実行できます。

Cloud APIs の閲覧

IDE 内で利用可能なすべての Google Cloud APIs を確認する手順は次のとおりです。

アクティビティバーから Cloud Code - Cloud APIs アイコンをクリックします。
Google Cloud APIs Explorer のツリーを展開して、使用可能なすべての API を表示します。Explorer はカテゴリ別に Cloud APIs をグループ化します。

ツリービューエクスプローラに表示される Cloud APIs の一覧を示すスクリーンショット。

API をクリックすると、サービス名、ステータス、対応するクライアントライブラリのインストール手順、関連ドキュメントなどの詳細が表示されます。

Cloud APIs の有効化

また、API の詳細ページを使用すると、プロジェクトの Cloud APIs をすばやく有効にできます。手順は次のとおりです。

Cloud APIs の詳細ビューで、Cloud APIs を有効にするプロジェクトを選択します。

選択した Cloud APIs の詳細を示すスクリーンショット

[Enable API] ボタンをクリックします。
API が有効になると、この変更を確認するメッセージが表示されます。

プロジェクトにクライアントライブラリを追加する

Cloud Code を使用して Cloud APIs を探索し有効にする方法とは別に、言語固有のクライアントライブラリをプロジェクトに追加する方法もあります。これにはインストールが必要です。API の詳細ページに、言語別のインストール手順が記載されています。

Cloud APIs に対応するクライアントライブラリのインストール手順を示すスクリーンショット

認証の設定

必要な API を有効にして必要なクライアントライブラリを追加したら、アプリケーションの認証を正常に完了するためにアプリケーションを構成する必要があります。構成は、開発の種類と実行するプラットフォームによって異なります。

関連する認証手順を完了すると、アプリケーションが認証され、デプロイの準備が整います。

ローカルでの開発

ローカルマシン

IDE から Google Cloud にログインした場合は、Cloud Code には、アプリケーションのデフォルト認証情報（ADC）が確実に設定されています。
IDE の外部で Google Cloud に（gcloud コマンドラインツールなどから）ログインした場合は、gcloud auth login --update-adc を実行して ADC を設定する必要があります。これにより、Google Cloud クライアントライブラリで、認証に使用する ADC を検出できるようにもなります。

minikube

IDE から Google Cloud にログインした場合は、Cloud Code には、アプリケーションのデフォルト認証情報（ADC）が確実に設定されています。
IDE の外部で Google Cloud に（gcloud コマンドラインツールなどから）ログインした場合は、gcloud auth login --update-adc を実行して ADC を設定する必要があります。これにより、minikube で認証に使用する ADC を検出できます。
minikube start --addons gcp-auth で minikube を起動します。これにより、ADC が Pod にマウントされます。Google Cloud 用の詳細な minikube 認証ガイドについては、minikube gcp-auth ドキュメントをご覧ください。

その他のローカル K8s クラスタ

IDE から Google Cloud にログインした場合は、Cloud Code には、アプリケーションのデフォルト認証情報（ADC）が確実に設定されています。
IDE の外部で Google Cloud に（gcloud コマンドラインツールなどから）ログインした場合は、gcloud auth login --update-adc を実行して ADC を設定する必要があります。

デプロイマニフェストを編集して Kubernetes Pod にローカルの ~/.config/gcloud ディレクトリをマウントします。これにより、Google Cloud クライアントライブラリで認証情報を検出できるようになります。また、Google Cloud プロジェクト ID を GOOGLE_CLOUD_PROJECT という名前の環境変数に設定する必要もあります。Kubernetes Pod の構成例:

apiVersion: v1
kind: Pod
metadata:
  name: my-app
  labels:
    name: my-app
spec:
  containers:
  - name: my-app
    image: gcr.io/google-containers/busybox
    ports:
      - containerPort: 8080
    env:
    - name: GOOGLE_CLOUD_PROJECT
      value: my-project-id
    volumeMounts:
      - mountPath: /root/.config/gcloud
        name: gcloud-volume
  volumes:
    - name: gcloud-volume
      hostPath:
        path: /path/to/home/.config/gcloud

Cloud Run

IDE から Google Cloud にログインした場合は、Cloud Code には、アプリケーションのデフォルト認証情報（ADC）が確実に設定されています。
IDE の外部で Google Cloud に（gcloud コマンドラインツールなどから）ログインした場合は、gcloud auth login --update-adc を実行して ADC を設定する必要があります。これにより、Cloud Run のローカルでシミュレートされた環境で、認証に使用する ADC を検出できます。

リモート開発

Google Kubernetes Engine

プロジェクトのスコープに応じて、GKE での Google Cloud サービスの認証方法を選択できます。

（開発のみ）
1. 次の設定で GKE クラスタを作成します。
  - GKE でデフォルトで使用されるサービスアカウント（Compute Engine のデフォルトサービスアカウント）を使用していること、および [アクセススコープ] が [すべての Cloud APIs への完全アクセス権を許可] に設定されていることを確認してください（この 2 つの設定を行うには、[ノードプール] > [セキュリティ] と進んでください）。
    Compute Engine サービスアカウントはノードにデプロイされているすべてのワークロードで共有されるので、この方法は権限をオーバープロビジョニングし、開発目的でのみ使用する必要があります。
  - クラスタで Workload Identity が有効になっていないことを確認します（[クラスタ] > [セキュリティ] セクションにて）。
2. サービスアカウントに必要なロールを割り当てます。
  - Secret にアクセスする場合は、Secret Manager 固有の手順に従って、サービスアカウントに必要なロールを設定します。
  - Compute Engine のデフォルトのサービスアカウントが使用されている場合は、適切な IAM ロールがすでに適用されている可能性があります。
  - ロールについてのガイドでは、IAM ロールのタイプと、ID に付与できる事前定義ロールの一覧について説明しています。
（本番環境に推奨）
1. Workload Identity を使用して GKE クラスタとアプリケーションを構成し、GKE で Google Cloud サービスを認証します。これにより、Kubernetes サービスアカウントが Google サービスアカウントに関連付けられます。
2. Kubernetes Deployment YAML ファイル内の .spec.serviceAccountName フィールドを設定して、Kubernetes サービスアカウントを参照するように Kubernetes Deployment を構成します。
  Cloud Code テンプレートから作成されたアプリの場合、このファイルは kubernetes-manifests フォルダにあります。
3. アクセスしようとしている Google Cloud サービスに追加のロールが必要な場合は、アプリの開発に使用している Google サービスアカウントにそれらのロールを付与します。
  - Secret にアクセスする場合は、Secret Manager 固有の手順に従って、サービスアカウントに必要なロールを設定します。
  - ロールについてのガイドでは、IAM ロールのタイプと、ID に付与できる事前定義ロールの一覧について説明しています。

Cloud Run

[サービスアカウント] ページから、Cloud Run アプリケーションをデプロイするための新しい一意のサービスアカウントを作成します。Secret が保存されているプロジェクトと同じプロジェクトを選択するようにしてください。
[サービスアカウント] ページに移動
アクセスしようとしている Google Cloud サービスに追加のロールが必要な場合は、アプリの開発に使用している Google サービスアカウントにそれらのロールを付与します。それには、Secret を右クリックして [Cloud Console で権限を編集] を選択します。
ロールについてのガイドでは、IAM ロールのタイプと、ID に付与できる事前定義ロールの一覧について説明しています。
デプロイ構成にサービスアカウントを追加します。これを行うには、Cloud Code ステータスバーを使用して、[Cloud Run: Deploy] を選択します。Cloud Run Deployment UI の [リビジョン設定] で、[サービスアカウント] フィールドにサービスアカウントを入力します。

Cloud Run

プロジェクトのスコープに応じて、GKE での Google Cloud サービスの認証方法を選択できます。

（開発のみ）
1. 次の設定で GKE クラスタを作成します。
  - GKE でデフォルトで使用されるサービスアカウント（Compute Engine のデフォルトサービスアカウント）を使用していること、および [アクセススコープ] が [すべての Cloud APIs への完全アクセス権を許可] に設定されていることを確認してください（この 2 つの設定を行うには、[ノードプール] > [セキュリティ] と進んでください）。
    Compute Engine サービスアカウントはノードにデプロイされているすべてのワークロードで共有されるので、この方法は権限をオーバープロビジョニングし、開発目的でのみ使用する必要があります。
  - クラスタで Workload Identity が有効になっていないことを確認します（[クラスタ] > [セキュリティ] セクションにて）。
2. サービスアカウントに必要なロールを割り当てます。
  - Secret にアクセスする場合は、Secret Manager 固有の手順に従って、サービスアカウントに必要なロールを設定します。
  - Compute Engine のデフォルトのサービスアカウントが使用されている場合は、適切な IAM ロールがすでに適用されている可能性があります。
  - ロールについてのガイドでは、IAM ロールのタイプと、ID に付与できる事前定義ロールの一覧について説明しています。
（本番環境に推奨）
1. Workload Identity を使用して GKE クラスタとアプリケーションを構成し、GKE で Google Cloud サービスを認証します。これにより、Kubernetes サービスアカウントが Google サービスアカウントに関連付けられます。
2. デプロイ構成にサービスアカウントを追加します。これを行うには、Cloud Code ステータスバーを使用して、[Cloud Run: Deploy] を選択します。Cloud Run Deployment UI の [リビジョン設定] で、[サービスアカウント] フィールドに Kubernetes サービスアカウントを入力します。
3. アクセスしようとしている Google Cloud サービスに追加のロールが必要な場合は、アプリの開発に使用している Google サービスアカウントにそれらのロールを付与します。
  - Secret にアクセスする場合は、Secret Manager 固有の手順に従って、サービスアカウントに必要なロールを設定します。
  - ロールについてのガイドでは、IAM ロールのタイプと、ID に付与できる事前定義ロールの一覧について説明しています。

Secret Manager 権限を有効にしたリモート開発

認証にサービスアカウントを使用してリモートで開発しており、アプリケーションが Secret を使用している場合は、リモート開発の手順に追加していくつかの手順を行う必要があります。これらの手順では、Google サービスアカウントに特定の Secret Manager の Secret にアクセスに必要なロールを割り当てます。

[Secret Manager] ビューを開き、コード内でアクセスする Secret を選択します。
Secret を右クリックし、[Cloud Console で権限を編集] を選択します。これにより、その Secret の Secret Manager 構成ページがウェブブラウザで開きます。
Cloud Console の情報パネルで、[メンバーを追加] を選択します。
サービスアカウントに、Secret Manager Secret アクセサーのロールを割り当てます。

これで、サービスアカウントにこの特定の Secret にアクセスするための権限が付与されました。