このページでは、アプリケーションのデフォルト認証情報（ADC）が認証情報を探す場所について説明します。ADC の仕組みを理解することで、ADC で使用されている認証情報と、その認証情報の検出方法を理解できます。
Application Default Credentials (ADC) は、アプリケーション環境に基づいて認証情報を自動的に検索するために、認証ライブラリが使用する手法です。認証ライブラリは、これらの認証情報を Cloud クライアント ライブラリと Google API クライアント ライブラリで使用可能にします。ADC を使用すると、アプリケーションが Google Cloud サービスと API に対して認証を行う方法を変更せずに、開発環境または本番環境でコードを実行できます。
ローカル ADC ファイルの生成方法など、ADC に認証情報を指定する方法については、アプリケーションのデフォルト認証情報を設定するをご覧ください。
検索の順序
ADC は次の場所で認証情報を検索します。
GOOGLE_APPLICATION_CREDENTIALS環境変数gcloud auth application-default loginコマンドを使用して作成された認証情報ファイル- 接続済みのサービス アカウント（メタデータ サーバーから返されます）
ADC が認証情報を確認する場所の順序は、各場所の相対的な優劣とは関係ありません。ADC に認証情報を指定する最適な方法については、アプリケーションのデフォルト認証情報を設定するをご覧ください。
GOOGLE_APPLICATION_CREDENTIALS 環境変数
GOOGLE_APPLICATION_CREDENTIALS 環境変数を使用して、認証情報の JSON ファイルの場所を指定できます。この JSON ファイルは、次のいずれかのタイプのファイルになります。
Workforce Identity 連携の認証情報構成ファイル
Workforce Identity 連携を使用すると、外部 ID プロバイダ（IdP）を使用して、 Google Cloudリソースにアクセスするユーザーを認証および認可できます。詳細については、Identity and Access Management（IAM）ドキュメントの Workforce Identity 連携をご覧ください。
Workload Identity 連携の認証情報構成ファイル
Workload Identity 連携を使用すると、外部 IdP を使用してワークロードの認証と認可を行い、Google Cloud リソースへのアクセスを許可できます。詳細については、Identity and Access Management（IAM）のドキュメントのクライアント ライブラリ、gcloud CLI、または Terraform を使用した認証をご覧ください。
サービス アカウント キー
サービス アカウント キーはセキュリティ上のリスクをもたらすため、推奨されません。他の認証情報ファイル形式とは異なり、不正使用されたサービス アカウント キーは不正な行為者によって追加情報なしに使用される可能性があります。詳細については、サービス アカウント キーの使用と管理のベスト プラクティスをご覧ください。
gcloud auth application-default login コマンドを使用して作成された認証情報ファイル
gcloud auth application-default login コマンドを実行して、ADC に認証情報を提供できます。このコマンドは、提供した認証情報（通常はユーザー アカウントから、またはサービス アカウントの権限借用から）を含む JSON ファイルを、ファイル システム上の既知の場所に作成します。オペレーティング システムによって場所が異なります。
- Linux / macOS:
$HOME/.config/gcloud/application_default_credentials.json - Windows:
%APPDATA%\gcloud\application_default_credentials.json
gcloud CLI で ADC に提供する認証情報は、gcloud CLI が Google Cloudの認証に使用する認証情報とは異なります。この 2 つの認証情報の詳細については、gcloud CLI 認証構成と ADC 構成をご覧ください。
デフォルトでは、ユーザーの認証情報で作成されたローカル ADC ファイルから生成されたアクセス トークンには、クラウド全体のスコープ https://www.googleapis.com/auth/cloud-platform が含まれます。スコープを明示的に指定するには、gcloud auth application-default login コマンドで –-scopes フラグを使用します。
Google ドライブなど、 Google Cloud以外のサービスのスコープを追加するには、–-client-id-file フラグを使用することで OAuth クライアント ID を作成して gcloud auth application-default login コマンドに渡し、-–scopes フラグにスコープを指定します。
接続されたサービス アカウント
Google Cloud サービスの多くは、 Google Cloud API にアクセスするための認証情報を提供するサービス アカウントを追加できます。ADC が GOOGLE_APPLICATION_CREDENTIALS 環境変数、またはローカル ADC 認証情報の既知の場所で使用できる認証情報を検出しない場合は、ADC はメタデータ サーバーを使用して、コードが実行されているサービスの認証情報を取得します。
Google Cloudの本番環境内で認証情報を見つける場合、接続されたサービス アカウントの認証情報を使用することが推奨の方法です。接続されたサービス アカウントを使用する手順は次のとおりです。
- ユーザーが管理するサービス アカウントを作成します。
- そのサービス アカウントに最小権限の IAM ロールを付与します。
- コードが実行されているリソースにサービス アカウントを接続します。
サービス アカウントの作成方法については、サービス アカウントの作成と管理をご覧ください。サービス アカウントの接続方法については、サービス アカウントをリソースに接続するをご覧ください。サービス アカウントに必要な IAM ロールの決定については、事前定義ロールの選択をご覧ください。
次のステップ
- ADC に認証情報を指定する最適な方法を確認する。
- Cloud クライアント ライブラリを使用して認証する。
- 認証方法を確認する。
- クライアント ライブラリについて学習する。