マネージドワークロード ID の概要

マネージドワークロード ID を使用すると、厳密に証明された ID を Google Kubernetes Engine（GKE）と Compute Engine のワークロードにバインドできます。

Google Cloud は、Certificate Authority Service から発行された X.509 の認証情報とトラストアンカーをプロビジョニングします。認証情報とトラストアンカーを使用すると、相互 TLS（mTLS）認証でワークロード間の認証を確実に行うことができます。

GKE 用マネージドワークロード ID は、プレビュー版で利用できます。Compute Engine のマネージドワークロード ID は、リクエストに応じてプレビュー版で利用できます。Compute Engine 用マネージドワークロード ID（プレビュー版）へのアクセスをリクエストする。

SPIFFE の相互運用性

動的かつ異なる環境間の相互運用性を実現するため、マネージドワークロード ID は Secure Production Identity Framework For Everyone（SPIFFE）に準拠しています。SPIFFE は、ワークロード間の通信を識別、認証、保護するためのフレームワークと一連の標準が定義されています。SPIFFE ワークロードは、一意の SPIFFE ID で識別されます。 Google Cloudでは、SPIFFE ID の形式は次のとおりです。

Compute Engine ワークロード:

spiffe://POOL_ID.global.PROJECT_NUMBER.workload.id.goog/ns/NAMESPACE_ID/sa/MANAGED_IDENTITY_ID
GKE ワークロード:

spiffe://PROJECT_ID.svc.id.goog/ns/KUBERNETES_NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT

リソース階層

このセクションでは、マネージドワークロード ID リソースについて説明します。

Workload Identity プール

マネージドワークロード ID は Workload Identity プール内に定義されます。このプールは、プール内のすべての ID の信頼境界として機能します。ワークロード ID プールは、マネージドワークロード ID の SPIFFE 識別子の信頼ドメインコンポーネントを形成します。組織内の論理環境（開発、ステージング、本番環境など）ごとに新しいプールを作成することをおすすめします。

名前空間

Workload Identity プール内では、マネージドワークロード ID が名前空間と呼ばれる管理境界に編成されます。名前空間は、関連するワークロード ID を整理し、アクセス権を付与するのに役立ちます。

証明書ポリシー

Compute Engine のマネージドワークロード ID では、証明書ポリシーを構成する必要があります。

GKE 用マネージドワークロード ID は、証明書ポリシーを管理します。

ワークロード証明書ポリシーを使用すると、検証可能なワークロードの属性（プロジェクト ID やリソース名など）に基づいてマネージドワークロード ID の認証情報を発行できるワークロードを定義できます。ワークロード証明書ポリシーにより、信頼できるワークロードのみがマネージド ID を使用できるようになります。

次のステップ

使ってみる

Google Cloudを初めて使用する場合は、アカウントを作成して、実際のシナリオでの Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

無料で開始