複数のサービスアカウントに有効期間の短い認証情報を作成する

このページでは、サービスアカウントの委任チェーンに基づいて、サービスアカウントに有効期間の短い認証情報を作成する方法について説明します。この方法は、タスクの実行に必要な権限を持つトークンを取得するために、一連のトークン生成呼び出しを発行する必要がある場合に使用できます。

有効期間の短い認証情報を取得したら、それを使用してサービスアカウントの権限を借用できます。

1 回のトークン生成呼び出しで必要な権限を含むトークンを生成できる場合は、そのサービスアカウントに有効期間の短い認証情報を直接作成する必要があります。

有効期間の短い認証情報の作成について

作成するトークンの種類に応じて、有効期間の短い認証情報を使用して Google API、サードパーティ製 API、または ID トークンを必要とするアプリケーションの呼び出しを認証できます。有効期間の短い認証情報は存続期間が限定されています（数時間程度）。また、自動的に更新されることはありません。有効期間の短いサービスアカウント認証情報は、信頼できるサービスアカウントに対してリソースへのアクセスを制限する必要がある場合に便利です。また、サービスアカウントキーなど、長期間有効な認証情報よりもリスクが低くなります。

サービスアカウントには、次の種類の有効期間の短い認証情報を作成できます。

OAuth 2.0 アクセストークン

ほとんどの Google API で、認証にアクセストークンを利用できます。サービスアカウントのアクセストークンを生成すると、そのアクセストークンには更新トークンが含まれません。つまり、トークンの有効期限が切れると、トークンの作成プロセスを繰り返して新しいトークンを生成する必要があります。

詳細については、アクセストークンをご覧ください。
OpenID Connect（OIDC）ID トークン

ID トークンは、OpenID Connect（OIDC）仕様に準拠しています。ID トークンは一部のサービスとアプリケーションで使用できます。

詳細については、ID トークンと Cloud Run または Cloud Functions でホストされているアプリケーションの認証をご覧ください。
自己署名 JSON Web Token（JWT）

自己署名 JWT を使用すると、承認サーバーからアクセストークンを取得しなくても、一部の Google API に対する認証を行うことができます。API Gateway を使用してデプロイされた API では、これらが必要です。
自己署名バイナリ blob

自己署名 blob は、通常は認証目的で任意のバイナリデータを安全に送信する必要がある場合に便利です。

委任リクエストフロー

委任リクエストフローを使用すると、複数の直接リクエストを順番に行う代わりに、1 つのリクエストを使用して直接リクエストを連結できます。このフローでは、サービスアカウント認証情報のリクエストが委任チェーン内の 1 つ以上のサービスアカウントに委任されてから、最終的なサービスアカウントの認証情報が生成されます。生成された認証情報は最終的なサービスアカウントのみを表します。委任チェーンの中間サービスアカウントを表すものではありません。

委任チェーン内の各サービスアカウントには、リクエストを渡すことができるように、チェーン内の次のサービスアカウントに必要な権限を付与されている必要があります。

1 つのサービスアカウントに必要な権限がすべて付与されている場合は、サービスアカウントから有効期間の短い認証情報を作成するで説明されている簡単なフローを使用する必要があります。

始める前に

IAM and Service Account Credentials API を有効にします。
API を有効にする
IAM サービスアカウントを理解します。
まだ有効にしていない場合は、クイックスタートの手順に沿って請求と IAM API を有効にします。
委任チェーンで使用するサービスアカウントを特定します。

新しいサービスアカウントを作成し、必要に応じて委任チェーンに追加できます。

必要な権限を提供する

委任リクエストには、呼び出し元、委任チェーン内の 1 つ以上のサービスアカウント、認証情報が作成されたサービスアカウント、という 3 つ以上の ID が含まれます。このフローで、次の ID があるとします。

サービスアカウント 1（SA_1）。有効期間が短い認証情報をリクエストする呼び出し元。
サービスアカウント 2（SA_2）: 最初のリクエストを SA_3 に委任する仲介サービスアカウント。このアカウントはリクエストのみを渡します。SA_1 または SA_3 に追加のアクセス権は付与しません。
サービスアカウント 3（SA_3）: 認証情報が作成される権限が制限されたアカウント。

委任を許可するには、各アカウントでチェーン内の前のアカウントにサービスアカウントトークン作成者のロール（roles/iam.serviceAccountTokenCreator）を付与する必要があります。

この例では、SA_1 に SA_2 のサービスアカウントトークン作成者のロール（roles/iam.serviceAccountTokenCreator）を付与する必要があります。これは、リソースとして扱われる SA_2 サービスアカウントの例です。SA_2 にロールを付与する場合は、他のリソースを更新する場合と同様に許可ポリシーを更新します。

このフローの例では、仲介サービスアカウントは 1 つだけです。複数のサービスアカウントを介してアクセスを委任するには、チェーン内のその他のサービスアカウントにもこのロールを割り当てる必要があります。

次に、SA_2 には SA_3 のサービスアカウントトークン作成者のロール（roles/iam.serviceAccountTokenCreator）も付与する必要があります。これにより、SA_2 は SA_3 の有効期間が短い認証情報を作成できます。

次の手順では、REST API を使用してロールを付与します。Google Cloud コンソールまたは gcloud CLI も使用できます。

API

まず、SA_2（仲介サービスアカウント）の許可ポリシーを取得します。

serviceAccounts.getIamPolicy メソッドで、サービスアカウントの許可ポリシーを取得します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: Google Cloud プロジェクト ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。
SA_2: サービスアカウント 2 の名前。
POLICY_VERSION: 返されるポリシーバージョン。リクエストでは、最新のポリシーバージョン（ポリシーバージョン 3）を指定する必要があります。詳細については、ポリシーの取得時にポリシーバージョンを指定するをご覧ください。

HTTP メソッドと URL:

POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_2@PROJECT_ID.iam.gserviceaccount.com:getIamPolicy

リクエストの本文（JSON）:

{
  "options": {
    "requestedPolicyVersion": POLICY_VERSION
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_2@PROJECT_ID.iam.gserviceaccount.com:getIamPolicy"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_2@PROJECT_ID.iam.gserviceaccount.com:getIamPolicy" | Select-Object -Expand Content

API Explorer（ブラウザ）

リクエスト本文をコピーして、メソッドのリファレンスページを開きます。ページの右側に [API Explorer] パネルが開きます。このツールを操作してリクエストを送信できます。このツールにリクエスト本文を貼り付け、その他の必須フィールドに入力して、[Execute] をクリックします。

次のような JSON レスポンスが返されます。

{
  "version": 1,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/serviceAccountAdmin",
      "members": [
        "user:admin@example.com"
      ]
    }
  ]
}

サービスアカウントにロールを付与していない場合、レスポンスには etag 値のみが含まれます。この etag 値を次のステップに含めます。

次に、許可ポリシーを変更して SA_1 にサービスアカウントトークン作成者のロール（roles/iam.serviceAccountTokenCreator）を付与します。

たとえば、前の手順のサンプルレスポンスを変更するには、次のコードを追加します。

{
  "version": 1,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/serviceAccountAdmin",
      "members": [
        "user:admin@example.com"
      ]
    },
    {
      "role": "roles/iam.serviceAccountTokenCreator",
      "members": [
        "serviceAccount:SA_1@PROJECT_ID.iam.gserviceaccount.com"
      ]
    }
  ]
}

次に、SA_2 に対する更新された許可ポリシーを書き込みます。

serviceAccounts.setIamPolicy メソッドは、サービスアカウントに更新後の許可ポリシーを設定します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: Google Cloud プロジェクト ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。
SA_2: サービスアカウント 2 の名前。

POLICY: 設定するポリシーの JSON 表現。ポリシーの形式については、ポリシーリファレンスをご覧ください。

たとえば、前の手順で示した許可ポリシーを設定するには、POLICY を次のコードに置き換えます。

{
  "version": 1,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/serviceAccountAdmin",
      "members": [
        "user:admin@example.com"
      ]
    },
    {
      "role": "roles/iam.serviceAccountTokenCreator",
      "members": [
        "serviceAccount:SA_1@PROJECT_ID.iam.gserviceaccount.com"
      ]
    }
  ]
}

HTTP メソッドと URL:

POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_2@PROJECT_ID.iam.gserviceaccount.com:setIamPolicy

リクエストの本文（JSON）:

{
  "policy": POLICY
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_2@PROJECT_ID.iam.gserviceaccount.com:setIamPolicy"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_2@PROJECT_ID.iam.gserviceaccount.com:setIamPolicy" | Select-Object -Expand Content

API Explorer（ブラウザ）

レスポンスには、更新された許可ポリシーが含まれます。

次に、SA_3（認証情報が作成されるサービスアカウント）の許可ポリシーを取得します。

serviceAccounts.getIamPolicy メソッドで、サービスアカウントの許可ポリシーを取得します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: Google Cloud プロジェクト ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。
SA_3: サービスアカウント 3 の名前。
POLICY_VERSION: 返されるポリシーバージョン。リクエストでは、最新のポリシーバージョン（ポリシーバージョン 3）を指定する必要があります。詳細については、ポリシーの取得時にポリシーバージョンを指定するをご覧ください。

HTTP メソッドと URL:

POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_3@PROJECT_ID.iam.gserviceaccount.com:getIamPolicy

リクエストの本文（JSON）:

{
  "options": {
    "requestedPolicyVersion": POLICY_VERSION
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_3@PROJECT_ID.iam.gserviceaccount.com:getIamPolicy"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_3@PROJECT_ID.iam.gserviceaccount.com:getIamPolicy" | Select-Object -Expand Content

API Explorer（ブラウザ）

次のような JSON レスポンスが返されます。

{
  "version": 1,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/serviceAccountAdmin",
      "members": [
        "user:admin@example.com"
      ]
    }
  ]
}

サービスアカウントにロールを割り当てていない場合、レスポンスには etag 値のみが含まれます。この etag 値を次のステップに含めます。

次に、許可ポリシーを変更して SA_2 にサービスアカウントトークン作成者のロール（roles/iam.serviceAccountTokenCreator）を付与します。

たとえば、前の手順のサンプルレスポンスを変更するには、次のコードを追加します。

{
  "version": 1,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/serviceAccountAdmin",
      "members": [
        "user:admin@example.com"
      ]
    },
    {
      "role": "roles/iam.serviceAccountTokenCreator",
      "members": [
        "serviceAccount:SA_2@PROJECT_ID.iam.gserviceaccount.com"
      ]
    }
  ]
}

最後に、更新された許可ポリシーを作成します。

serviceAccounts.setIamPolicy メソッドは、サービスアカウントに更新後の許可ポリシーを設定します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: Google Cloud プロジェクト ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。
SA_3: サービスアカウント 3 の名前。

POLICY: 設定するポリシーの JSON 表現。ポリシーの形式については、ポリシーリファレンスをご覧ください。

たとえば、前の手順で示した許可ポリシーを設定するには、POLICY を次のコードに置き換えます。

{
  "version": 1,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/serviceAccountAdmin",
      "members": [
        "user:admin@example.com"
      ]
    },
    {
      "role": "roles/iam.serviceAccountTokenCreator",
      "members": [
        "serviceAccount:SA_2@PROJECT_ID.iam.gserviceaccount.com"
      ]
    }
  ]
}

HTTP メソッドと URL:

POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_3@PROJECT_ID.iam.gserviceaccount.com:setIamPolicy

リクエストの本文（JSON）:

{
  "policy": POLICY
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_3@PROJECT_ID.iam.gserviceaccount.com:setIamPolicy"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_3@PROJECT_ID.iam.gserviceaccount.com:setIamPolicy" | Select-Object -Expand Content

API Explorer（ブラウザ）

レスポンスには、更新された許可ポリシーが含まれます。

有効期間の短い認証情報をリクエストする

各 ID に適切なロールを付与した後、目的のサービスアカウントの有効期間が短い認証情報をリクエストできます。サポートされている認証情報タイプは、次のとおりです。

OAuth 2.0 アクセストークン
OpenID Connect ID トークン
自己署名 JSON ウェブトークン（JWT）
自己署名バイナリオブジェクト（blob）

これらのリクエストの委任チェーンを指定する方法については、このページの委任チェーンの指定をご覧ください。

OAuth 2.0 アクセストークンを生成する

デフォルトでは、OAuth 2.0 アクセストークンは最大 1 時間（3,600 秒）有効です。ただし、これらのトークンの最大有効期間は 12 時間（43,200 秒）まで延長できます。これを行うには、トークンの有効時間を延長する必要があるサービスアカウントを指定して、constraints/iam.allowServiceAccountCredentialLifetimeExtension リスト型制約が含まれる組織のポリシーに、指定したサービスアカウントを追加します。そうすると、それらのサービスアカウント用にトークンを作成するときに最大 43,200 秒の有効期間を指定できます。

サービスアカウントの OAuth 2.0 アクセストークンを生成するには、次の手順に従います。

API

Service Account Credentials API の serviceAccounts.generateAccessToken メソッドによって、サービスアカウントの OAuth 2.0 アクセストークンが生成されます。

リクエストのデータを使用する前に、次のように置き換えます。

SA_NAME: トークンを作成するサービスアカウントの名前。
PROJECT_ID: Google Cloud プロジェクト ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。
DELEGATES: 委任されたリクエストフローを使用している場合は、このページの委任チェーンの指定をご覧ください。委任がない直接リクエストフローを使用している場合は、リクエスト本文の delegates フィールドを省略します。
LIFETIME: アクセストークンが期限切れになるまでの秒数。例: 300s

デフォルトでは、トークンの最大有効期間は 1 時間（3,600 秒）です。これらのトークンの最大有効期間を 12 時間（43,200 秒）まで延長するには、constraints/iam.allowServiceAccountCredentialLifetimeExtension リスト型制約が含まれる組織のポリシーにサービスアカウントを追加します。

HTTP メソッドと URL:

POST https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com:generateAccessToken

リクエストの本文（JSON）:

{
  "delegates": [
    DELEGATES
  ],
  "scope": [
    "https://www.googleapis.com/auth/cloud-platform"
  ],
  "lifetime": "LIFETIME"
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com:generateAccessToken"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com:generateAccessToken" | Select-Object -Expand Content

API Explorer（ブラウザ）

generateAccessToken リクエストが成功した場合、レスポンスの本文には OAuth 2.0 アクセストークンと有効期限が含まれます。expireTime に達するまで、サービスアカウントの代わりに accessToken をリクエストの認証に使用できます。

{
  "accessToken": "eyJ0eXAi...NiJ9",
  "expireTime": "2020-04-07T15:01:23.045123456Z"
}

OpenID Connect ID トークンを生成する

OpenID Connect ID トークンは、1 時間（3,600 秒間）有効です。サービスアカウントの ID トークンを生成するには、次の手順に従います。

API

Service Account Credentials API の serviceAccounts.generateIdToken メソッドによって、サービスアカウントの OIDC ID トークンが生成されます。

リクエストのデータを使用する前に、次のように置き換えます。

PRIV_SA: 有効期間の短いトークンが作成される権限保持サービスアカウントのメールアドレス。
AUDIENCE_NAME: トークンのオーディエンス。通常は、トークンのアクセスに使用されるアプリケーションまたはサービスの URL です。

HTTP メソッドと URL:

POST https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/PRIV_SA:generateIdToken

リクエストの本文（JSON）:

{
  "audience": "AUDIENCE_NAME",
  "includeEmail": "true"
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/PRIV_SA:generateIdToken"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/PRIV_SA:generateIdToken" | Select-Object -Expand Content

API Explorer（ブラウザ）

generateId リクエストが成功した場合、レスポンス本文には 1 時間有効な ID トークンが含まれます。サービスアカウントの代わりに token をリクエストの認証に使用できます。

{
  "token": "eyJ0eXAi...NiJ9"
}

自己署名 JSON Web Token（JWT）を作成する

自己署名 JSON ウェブトークン（JWT）は、次のようなさまざまなシナリオにおいて有用です。

Google の認証ガイドに従って Google API の呼び出しを認証する。
App Engine アプリケーションなど、Google Cloud または Google 以外のサービス間で安全に通信する。このシナリオでは、1 つのアプリケーションが、認証目的で別のアプリケーションによって確認できるトークンに署名できます。
ユーザー、アカウント、デバイスに関する任意のクレームを含む JWT に署名することにより、サービスアカウントを ID プロバイダとして扱う。

サービスアカウントの自己署名 JWT を生成するには、次の手順を行います。

API

Service Account Credentials API の serviceAccounts.signJwt メソッドでは、サービスアカウントのシステムで管理する秘密鍵を使用して JWT に署名します。

リクエストのデータを使用する前に、次のように置き換えます。

SA_NAME: トークンを作成するサービスアカウントの名前。
PROJECT_ID: Google Cloud プロジェクト ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。
DELEGATES: 委任されたリクエストフローを使用している場合は、このページの委任チェーンの指定をご覧ください。委任がない直接リクエストフローを使用している場合は、リクエスト本文の delegates フィールドを省略します。
JWT_PAYLOAD: 署名する JWT ペイロード。これは JWT クレームセットを含む JSON オブジェクトです。ご希望のユースケースに必要なクレームを含め、呼び出すサービスの検証要件を満たしてください。Google API を呼び出す場合は、クレーム要件について Google の認証ガイドをご覧ください。

exp（有効期限）クレームは、今後 12 時間以内にする必要があります。Google API を呼び出す場合は、exp クレームは 1 時間以内に設定する必要があります。

次の例のペイロードには、Google API を呼び出すクレームが含まれています。ここで、EXP は有効期限を表す整数タイムスタンプです。
```
{ \"iss\": \"SA_NAME@PROJECT_ID.iam.gserviceaccount.com\", \"sub\": \"SA_NAME@PROJECT_ID.iam.gserviceaccount.com\", \"aud\": \"https://firestore.googleapis.com/\", \"iat\": 1529350000, \"exp\": EXP }
```

HTTP メソッドと URL:

POST https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com:signJwt

リクエストの本文（JSON）:

{
  "delegates": [
    DELEGATES
  ],
  "payload": "JWT_PAYLOAD"
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com:signJwt"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com:signJwt" | Select-Object -Expand Content

API Explorer（ブラウザ）

signJwt リクエストが成功した場合、レスポンスの本文には、署名付きの JWT と JWT の署名に使用された署名鍵 ID が含まれています。サービスアカウントの代わりに、signedJwt 値を署名なしトークンとして使用してリクエストを直接認証できます。トークンは、リクエストで指定された有効期限まで有効です。

{
  "keyId": "42ba1e...fc0a",
  "signedJwt": "eyJ0eXAi...NiJ9"
}

自己署名 blob を作成する

自己署名 blob は、通常は認証目的で任意のバイナリデータを安全に送信する必要がある場合に便利です。たとえば、カスタムプロトコル / トークンタイプ（JWT ではなく）を使用する場合は、ダウンストリームサービスで使用するためにそのデータを署名付き blob に含めることができます。

サービスアカウントの自己署名 blob を生成するには、次の手順に沿って操作します。

API

Service Account Credentials API の serviceAccounts.signBlob メソッドでは、サービスアカウントのシステムで管理する秘密鍵を使用して blob に署名します。

リクエストのデータを使用する前に、次のように置き換えます。

SA_NAME: トークンを作成するサービスアカウントの名前。
PROJECT_ID: Google Cloud プロジェクト ID。プロジェクト ID は英数字からなる文字列です（例: my-project）。
DELEGATES: 委任されたリクエストフローを使用している場合は、このページの委任チェーンの指定をご覧ください。委任がない直接リクエストフローを使用している場合は、リクエスト本文の delegates フィールドを省略します。
BLOB_PAYLOAD: base64 でエンコードされたバイトの文字列。例: VGhlIHF1aWNrIGJyb3duIGZveCBqdW1wZWQgb3ZlciB0aGUgbGF6eSBkb2cu。

HTTP メソッドと URL:

POST https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com:signBlob

リクエストの本文（JSON）:

{
  "delegates": [
    DELEGATES
  ],
  "payload": "BLOB_PAYLOAD"
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com:signBlob"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com:signBlob" | Select-Object -Expand Content

API Explorer（ブラウザ）

signBlob リクエストが成功した場合、レスポンスの本文には、署名 blob と blob の署名に使用された署名鍵 ID が含まれています。サービスアカウントの代わりに、signedBlob 値を署名なしトークンとして使用してリクエストを直接認証できます。トークンは、サービスアカウントのシステムで管理する秘密鍵が期限切れになるまで有効です。この鍵の ID はレスポンスの keyId フィールドの値です。

{
  "keyId": "42ba1e...fc0a",
  "signedBlob": "eyJ0eXAi...NiJ9"
}

委任チェーンを指定する

委任されたリクエストフローを使用して有効期間の短いサービスアカウント認証情報を作成する場合、各 API のリクエストの本文で次の形式のサービスアカウントの委任チェーンを正しい順序で指定する必要があります。

projects/-/serviceAccounts/SA_ID

SA_ID は、サービスアカウントの一意の数値 ID またはサービスアカウントのメールアドレスで置き換えます。

たとえば、SA_1（発信者）から SA_2（委任）、SA_3（委任）、SA_4 の順につながる委任チェーンの場合、delegates[] フィールドには SA_2 と SA_3 が次の順序で含まれます。

{
  "delegates": [
    "projects/-/serviceAccounts/SA_2@PROJECT_ID.iam.gserviceaccount.com",
    "projects/-/serviceAccounts/SA_3@PROJECT_ID.iam.gserviceaccount.com"
  ]
}

呼び出し元と認証情報が作成されるサービスアカウントは、委任チェーンに含まれません。

複数のサービス アカウントに有効期間の短い認証情報を作成する

有効期間の短い認証情報の作成について

委任リクエスト フロー

始める前に

必要な権限を提供する

API

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

有効期間の短い認証情報をリクエストする

OAuth 2.0 アクセス トークンを生成する

API

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

OpenID Connect ID トークンを生成する

API

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

自己署名 JSON Web Token（JWT）を作成する

API

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

自己署名 blob を作成する

API

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

API Explorer（ブラウザ）

委任チェーンを指定する

複数のサービスアカウントに有効期間の短い認証情報を作成する

委任リクエストフロー

OAuth 2.0 アクセストークンを生成する