ID トークンを取得する

このページでは、Google によって署名された OpenID Connect（OIDC）ID トークンを取得する方法について説明します。

次の認証ユースケースでは、Google によって署名された ID トークンが必要です。

ID トークンの内容と存続期間について詳しくは、ID トークンをご覧ください。

ID トークンは、aud クレームの値で指定される特定のサービスまたはアプリケーションで使用できます。このページでは、「ターゲットサービス」という用語を使用して、ID トークンを使用して認証できるサービスまたはアプリケーションを表します。

ID トークンを取得したら、ターゲットサービスに対するリクエストの Authorization ヘッダーにそのトークンを含めます。

ID トークンの取得方法

ID トークンを取得するには、さまざまな方法があります。このページでは、次の方法について説明します。

メタデータサーバーから ID トークンを取得する
接続サービスを使用して ID トークンを生成する
サービスアカウントの権限を借用して ID トークンを生成する
Cloud Run と Cloud Run functions で開発用の汎用 ID トークンを生成する

Google Cloud でホストされていないアプリケーションで ID トークンを受け入れる必要がある場合は、多くの場合でこれらの方法を使用できますが、アプリケーションに必要な ID トークンのクレームを決定する必要があります。

メタデータサーバーから ID トークンを取得する

通常、サービスアカウントを接続できるリソースでコードが実行されている場合、関連付けられたサービスのメタデータサーバーから ID トークンが提供されます。メタデータサーバーが、接続されているサービスアカウントの ID トークンを生成します。メタデータサーバーからユーザー認証情報に基づく ID トークンを取得することはできません。

コードが次の Google Cloud サービスで実行されている場合、メタデータサーバーから ID トークンを取得できます。

メタデータサーバーから ID トークンを取得するには、次の例のように、サービスアカウントの ID エンドポイントをクエリします。

curl

AUDIENCE は、ターゲットサービスの URI に置き換えます（例: http://www.example.com）。

curl -H "Metadata-Flavor: Google" \
  'http://metadata/computeMetadata/v1/instance/service-accounts/default/identity?audience=AUDIENCE'

PowerShell

AUDIENCE は、ターゲットサービスの URI に置き換えます（例: http://www.example.com）。

$value = (Invoke-RestMethod `
  -Headers @{'Metadata-Flavor' = 'Google'} `
  -Uri "http://metadata/computeMetadata/v1/instance/service-accounts/default/identity?audience=AUDIENCE")
$value

Java

このコードサンプルを実行するには、Java 用 Auth クライアントライブラリをインストールする必要があります。


import com.google.auth.oauth2.GoogleCredentials;
import com.google.auth.oauth2.IdTokenCredentials;
import com.google.auth.oauth2.IdTokenProvider;
import com.google.auth.oauth2.IdTokenProvider.Option;
import java.io.IOException;
import java.security.GeneralSecurityException;
import java.util.Arrays;

public class IdTokenFromMetadataServer {

  public static void main(String[] args) throws IOException, GeneralSecurityException {
    // TODO(Developer): Replace the below variables before running the code.

    // The url or target audience to obtain the ID token for.
    String url = "https://example.com";

    getIdTokenFromMetadataServer(url);
  }

  // Use the Google Cloud metadata server to create an identity token and add it to the
  // HTTP request as part of an Authorization header.
  public static void getIdTokenFromMetadataServer(String url) throws IOException {
    // Construct the GoogleCredentials object which obtains the default configuration from your
    // working environment.
    GoogleCredentials googleCredentials = GoogleCredentials.getApplicationDefault();

    IdTokenCredentials idTokenCredentials =
        IdTokenCredentials.newBuilder()
            .setIdTokenProvider((IdTokenProvider) googleCredentials)
            .setTargetAudience(url)
            // Setting the ID token options.
            .setOptions(Arrays.asList(Option.FORMAT_FULL, Option.LICENSES_TRUE))
            .build();

    // Get the ID token.
    // Once you've obtained the ID token, you can use it to make an authenticated call to the
    // target audience.
    String idToken = idTokenCredentials.refreshAccessToken().getTokenValue();
    System.out.println("Generated ID token.");
  }
}

Go

import (
	"context"
	"fmt"
	"io"

	"golang.org/x/oauth2/google"
	"google.golang.org/api/idtoken"
	"google.golang.org/api/option"
)

// getIdTokenFromMetadataServer uses the Google Cloud metadata server environment
// to create an identity token and add it to the HTTP request as part of an Authorization header.
func getIdTokenFromMetadataServer(w io.Writer, url string) error {
	// url := "http://www.example.com"

	ctx := context.Background()

	// Construct the GoogleCredentials object which obtains the default configuration from your
	// working environment.
	credentials, err := google.FindDefaultCredentials(ctx)
	if err != nil {
		return fmt.Errorf("failed to generate default credentials: %w", err)
	}

	ts, err := idtoken.NewTokenSource(ctx, url, option.WithCredentials(credentials))
	if err != nil {
		return fmt.Errorf("failed to create NewTokenSource: %w", err)
	}

	// Get the ID token.
	// Once you've obtained the ID token, you can use it to make an authenticated call
	// to the target audience.
	_, err = ts.Token()
	if err != nil {
		return fmt.Errorf("failed to receive token: %w", err)
	}
	fmt.Fprintf(w, "Generated ID token.\n")

	return nil
}

Node.js

このコードサンプルを実行するには、Node.js 用の Google 認証ライブラリをインストールする必要があります。

/**
 * TODO(developer):
 *  1. Uncomment and replace these variables before running the sample.
 */
// const targetAudience = 'http://www.example.com';

const {GoogleAuth} = require('google-auth-library');

async function getIdTokenFromMetadataServer() {
  const googleAuth = new GoogleAuth();

  const client = await googleAuth.getIdTokenClient(targetAudience);

  // Get the ID token.
  // Once you've obtained the ID token, you can use it to make an authenticated call
  // to the target audience.
  await client.idTokenProvider.fetchIdToken(targetAudience);
  console.log('Generated ID token.');
}

getIdTokenFromMetadataServer();

Python

このコードサンプルを実行するには、Google Auth Python ライブラリをインストールする必要があります。


import google
import google.oauth2.credentials
from google.auth import compute_engine
import google.auth.transport.requests


def idtoken_from_metadata_server(url: str):
    """
    Use the Google Cloud metadata server in the Cloud Run (or AppEngine or Kubernetes etc.,)
    environment to create an identity token and add it to the HTTP request as part of an
    Authorization header.

    Args:
        url: The url or target audience to obtain the ID token for.
            Examples: http://www.example.com
    """

    request = google.auth.transport.requests.Request()
    # Set the target audience.
    # Setting "use_metadata_identity_endpoint" to "True" will make the request use the default application
    # credentials. Optionally, you can also specify a specific service account to use by mentioning
    # the service_account_email.
    credentials = compute_engine.IDTokenCredentials(
        request=request, target_audience=url, use_metadata_identity_endpoint=True
    )

    # Get the ID token.
    # Once you've obtained the ID token, use it to make an authenticated call
    # to the target audience.
    credentials.refresh(request)
    # print(credentials.token)
    print("Generated ID token.")

Ruby

このコードサンプルを実行するには、Ruby 用の Google 認証ライブラリをインストールする必要があります。

require "googleauth"

##
# Uses the Google Cloud metadata server environment to create an identity token
# and add it to the HTTP request as part of an Authorization header.
#
# @param url [String] The url or target audience to obtain the ID token for
#   (e.g. "http://www.example.com")
#
def auth_cloud_idtoken_metadata_server url:
  # Create the GCECredentials client.
  id_client = Google::Auth::GCECredentials.new target_audience: url

  # Get the ID token.
  # Once you've obtained the ID token, you can use it to make an authenticated call
  # to the target audience.
  id_client.fetch_access_token
  puts "Generated ID token."

  id_client.refresh!
end

接続サービスを使用して ID トークンを生成する

一部の Google Cloud サービスは、他のサービスを呼び出す際に役立ちます。これらの接続サービスは、呼び出しが行われるタイミングの判断や、サービスの呼び出しを含むワークフローの管理に有効な場合があります。次のサービスは、ID トークンを必要とするサービスの呼び出しを開始するときに、aud クレームに適切な値が設定された ID トークンを自動的に含めることができます。

Cloud Scheduler: Cloud Scheduler は、エンタープライズクラスのフルマネージド cron ジョブスケジューラです。別のサービスを呼び出すときに、ID トークンまたはアクセストークンのいずれかを含めるように Cloud Scheduler を構成できます。詳細については、HTTP ターゲットでの認証の使用をご覧ください。
Cloud Tasks: Cloud Tasks を使用すると、分散タスクの実行を管理できます。ID トークンまたはアクセストークンのいずれかをサービスの呼び出し時に含めるようにタスクを構成できます。詳細については、認証トークンを使用した HTTP ターゲットタスクの使用をご覧ください。
Pub/Sub: Pub/Sub を使用すると、サービス間で非同期通信を行うことができます。Pub/Sub は、メッセージに ID トークンを含めるように構成できます。詳細については、push サブスクリプションの認証をご覧ください。
Workflows: Workflows は、フルマネージドのオーケストレーションプラットフォームで、定義した順序（ワークフロー）でサービスを実行します。別のサービスを呼び出すときに、ID トークンまたはアクセストークンのいずれかを含めるようにワークフローを定義できます。詳細については、ワークフローから認証済みリクエストを行うをご覧ください。

サービスアカウントの権限を借用して ID トークンを生成する

サービスアカウントの権限を借用することで、プリンシパルは、信頼できるサービスアカウントに有効期間の短い認証情報を生成できます。プリンシパルは、これらの認証情報を使用してサービスアカウントとして認証できます。

プリンシパルがサービスアカウントの権限を借用するには、その前に、そのサービスアカウントの権限借用を可能にする IAM ロールを持っている必要があります。プリンシパル自体が別のサービスアカウントである場合は、必要な権限をそのサービスアカウントに直接付与し、自身の権限を使用したほうが簡単に思われるかもしれません。しかし、自己権限借用というこの構成により、サービスアカウントが永続的に更新できるアクセストークンが作成されるため、セキュリティの脆弱性が生じます。

サービスアカウントの権限借用には、常に 2 つのプリンシパルが関与する必要があります。つまり、呼び出し元を表すプリンシパルと、権限借用の対象となるサービスアカウント（権限保持サービスアカウント）です。

サービスアカウントの権限を借用して ID トークンを生成するには、次の一般的なプロセスを使用します。

手順については、ID トークンを作成するをご覧ください。

権限保持サービスアカウントにするサービスアカウントを作成または特定します。
ターゲットサービスを呼び出すために必要なロールを特定します。ターゲットサービスのサービスアカウントに次のロールを付与します。
- Cloud Run サービスの場合、Cloud Run 起動元ロール（roles/run.invoker）を付与します。
- Cloud Run functions の場合、Cloud Functions 起動元ロール（roles/cloudfunctions.invoker）を付与します。
- その他のターゲットサービスについては、サービスのプロダクトドキュメントをご覧ください。

権限借用を行うプリンシパルを特定し、そのプリンシパルの認証情報を使用するようにアプリケーションのデフォルト認証情報（ADC）を設定します。

開発環境では通常、gcloud CLI を使用して ADC に指定したユーザーアカウントがプリンシパルとなります。ただし、サービスアカウントが接続されているリソースで実行している場合は、接続されているサービスアカウントがプリンシパルになります。
プリンシパルに、サービスアカウントの OpenID Connect ID トークン作成者ロール（roles/iam.serviceAccountOpenIdTokenCreator）を付与します。
IAM Credentials API を使用して、承認されたサービスアカウントの ID トークンを生成します。

Cloud Run と Cloud Run functions で開発用の汎用 ID トークンを生成する

gcloud CLI を使用して、呼び出し元に必要な IAM 権限が付与されている Cloud Run サービスまたは Cloud Run functions で使用可能なユーザー認証情報の ID トークンを取得できます。このトークンは他のアプリケーションでは機能しません。

汎用 ID トークンを生成するには、gcloud auth print-identity-token コマンドを使用します。
```
gcloud auth print-identity-token
```

次のステップ

ID トークンを理解する。
シェルコマンドで Compute Engine メタデータサーバーにクエリを実行する。
認証方法の詳細を確認する。