Workload Identity 連携によるトークンを使用した認証

このドキュメントでは、Workload Identity 連携でトークンを使用して Google Cloud を認証する方法について説明します。Workload Identity 連携を使用すると、サービスアカウントキーを使用せずに、オンプレミスまたはマルチクラウドの SAP ワークロードに Google Cloud リソースへのアクセス権を付与できます。Workload Identity 連携は、アマゾンウェブサービス（AWS）や、OpenID Connect（OIDC）をサポートする任意の ID プロバイダ（IdP）（Microsoft Azure など）、SAML 2.0 で使用できます。

Workload Identity 連携は、OAuth 2.0 トークン交換の仕様に従います。IdP からセキュリティトークンサービスに認証情報を提供します。このサービスは、認証情報の ID を検証し、連携トークンを返します。このトークンを使用すると、サービスアカウントの権限を借用し、有効期間の短い OAuth 2.0 アクセストークンを取得できます。有効期間の短いアクセストークンを使用すると、サービスアカウントがアクセスできる Google Cloud APIs を呼び出すことができます。

Workload Identity 連携によるトークン認証の場合、おおまかな構成手順は次のとおりです。

外部 IdP を準備します。
Google Cloud で Workload Identity 連携を構成します。
Google Cloud でサービスアカウントを作成します。
Google Cloud で、外部ワークロードにサービスアカウントの権限借用を許可します。
ABAP SDK for Google Cloud で、IdP からセキュリティトークンを取得する ABAP コードを実装します。
ABAP SDK for Google Cloud でクライアントキーを構成します。

すべての Google Cloud プロダクトが Workload Identity 連携をサポートしているわけではありません。Workload Identity 連携を使用して認証を設定する前に、サポートされているプロダクトと制限事項を確認してください。詳細については、Workforce Identity 連携: サポート対象のプロダクトと制限事項をご覧ください。

外部 IdP を準備する

SAP ワークロードが Google OAuth 2.0 セキュリティトークンと交換できる認証情報を取得できるように、IdP を準備する必要があります。

外部 IdP を準備するには、IdP に応じて次の操作を行います。

IdP として AWS または Azure を使用している場合は、外部 IdP を準備するの説明に従います。
他の IdP を使用している場合は、外部 IdP を準備するの説明に従います。

Workload Identity 連携を構成する

Google Cloud で、Workload Identity プールとプロバイダを構成します。

ID プールを構成します。ID プールは、外部 ID を管理できるエンティティです。また、Workload Identity プールプロバイダも構成します。これは、Google Cloud と IdP の関係を記述するエンティティです。

Workload Identity 連携を構成するには、外部 IdP に応じて次の操作を行います。

IdP として AWS または Azure を使用している場合は、Workload Identity プールとプロバイダを作成するの説明に従います。
他の IdP を使用している場合は、Workload Identity プールとプロバイダを作成するの説明に従います。

次の情報をメモします。

プロジェクト番号: Workload Identity プールを作成した Google Cloud プロジェクトのプロジェクト番号。
プール ID: Workload Identity プールを識別する一意の ID。
プロバイダ ID: Workload Identity プールプロバイダを識別する ID。

これらの情報は、ABAP SDK クライアントキーの構成に必要です。

サービスアカウントを作成する

Google Cloud コンソールで、Google Cloud APIs にアクセスするための専用の IAM サービスアカウントを作成します。このサービスアカウントは、SDK で使用予定の Google Cloud APIs を含む Google Cloud プロジェクトのプリンシパルである必要があります。

Google Cloud コンソールで、IAM Service Account Credentials API、Security Token Service API、SDK を使用してアクセスするその他のサポート対象の API を有効にします。

API ライブラリに移動

Google Cloud APIs を有効にする方法については、API を有効にするをご覧ください。
ワークロードを表すサービスアカウントを作成します。
API 機能にアクセスするために必要な IAM ロールをサービスアカウントに付与します。Google Cloud APIs のロールの要件については、該当する API ドキュメントをご覧ください。また、最小権限の原則に従ってください。API 固有の事前定義ロールの詳細については、Google Cloud API の IAM ロールを確認するをご覧ください。

外部ワークロードにサービスアカウントの権限借用を許可する

外部ワークロードにサービスアカウントの権限借用を許可するには、外部 IdP に応じて次の操作を行います。

IdP として AWS または Azure を使用している場合は、外部ワークロードがサービスアカウントの権限を借用できるようにするの説明に従います。
他の IdP を使用している場合は、外部ワークロードにサービスアカウントの権限借用を許可するの説明に従います。

IdP からセキュリティトークンを取得する ABAP コードを実装する

ABAP SDK for Google Cloud には、抽象クラス /GOOG/CL_AUTH_WIF_BASE が用意されています。このクラスには、Security Token Service から OAuth 2.0 セキュリティトークンを取得するロジックと、IAM Service Account Credentials API から OAuth 2.0 アクセストークンを取得するロジックが含まれています。デベロッパーは、抽象クラス /GOOG/CL_AUTH_WIF_BASE を継承する子クラスを名前空間に作成する必要があります。

Workload Identity 連携を使用して ABAP SDK for Google Cloud から Cloud Run functions を呼び出すには、SDK で提供される別の抽象クラス /GOOG/CL_AUTH_WIF_ID_TOKEN を使用します。Workload Identity 連携を使用して認証を設定する場合、抽象クラス /GOOG/CL_AUTH_WIF_ID_TOKEN を継承する子クラスを名前空間にもう 1 つ作成する必要があります。この子クラスは、Cloud Run 関数を呼び出すためのクライアントキーの構成時に [認可クラス] フィールドで指定します。

必ず、子クラスでメソッド GET_EXT_IDP_TOKEN を実装し、IdP からセキュリティトークンを取得するロジックを記述してください。次のフィールドに入力します。

CV_TOKEN: IdP から取得したトークン（string 形式）。
CV_TOKEN_TYPE: IdP から取得したセキュリティトークンのタイプ。サポートされているトークンタイプは次のとおりです。
- urn:ietf:params:oauth:token-type:jwt
- urn:ietf:params:oauth:token-type:id_token
- urn:ietf:params:aws:token-type:aws4_request
- urn:ietf:params:oauth:token-type:access_token
- urn:ietf:params:oauth:token-type:saml2

CV_TOKEN と CV_TOKEN_TYPE に入力された値は、抽象クラス /GOOG/CL_AUTH_WIF_BASE のメソッドで使用され、API 呼び出しで使用される最終的な OAuth 2.0 トークンを交換して取得します。

次の例は、AWS や Azure などの他のクラウドプロバイダ向けの GET_EXT_IDP_TOKEN メソッドの実装例を示しています。

AWS

class ZCL_AUTH_WIF_AWS definition
  public
  inheriting from /GOOG/CL_AUTH_WIF_BASE
  final
  create public .

public section.

  types:
    BEGIN OF t_header_field,
      key type string,
      value TYPE string,
    END OF t_header_field .
  types:
    tt_header_field type STANDARD TABLE OF t_header_field WITH DEFAULT KEY .
  types:
    BEGIN OF t_token_request,
     url type string,
     method type string,
     headers type tt_header_field,
   END OF t_token_request .
protected section.

  methods GET_EXT_IDP_TOKEN
    redefinition .
private section.
ENDCLASS.



CLASS ZCL_AUTH_WIF_AWS IMPLEMENTATION.


METHOD get_ext_idp_token.
**********************************************************************
*  Copyright 2024 Google LLC                                         *
*                                                                    *
*  Licensed under the Apache License, Version 2.0 (the "License");   *
*  you may not use this file except in compliance with the License.  *
*  You may obtain a copy of the License at                           *
*      https://www.apache.org/licenses/LICENSE-2.0                   *
*  Unless required by applicable law or agreed to in writing,        *
*  software distributed under the License is distributed on an       *
*  "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND,      *
*  either express or implied.                                        *
*  See the License for the specific language governing permissions   *
*  and limitations under the License.                                *
**********************************************************************

  DATA: ls_key       TYPE /goog/client_key.

  /goog/cl_utility=>get_client_key( EXPORTING iv_keyname    = iv_keyname
                                        IMPORTING es_client_key = ls_key ).


  DATA: lv_awsdate TYPE string.

  DATA: lv_date         TYPE dats,
        lv_time         TYPE tims,
        lv_timestamp    TYPE timestampl,
        lv_tz_utc       TYPE timezone VALUE 'UTC',
        lv_awsts        TYPE string,
        lv_timechar(32) TYPE c.

  GET TIME STAMP FIELD lv_timestamp.

  CONVERT TIME STAMP lv_timestamp TIME ZONE lv_tz_utc INTO DATE lv_date TIME lv_time.
  MOVE lv_timestamp TO lv_timechar.
  CONDENSE lv_timechar.

  lv_awsdate = lv_date(4) &&
               lv_date+4(2) &&
               lv_date+6(2) &&
               'T' &&
               lv_time(2) &&
               lv_time+2(2) &&
               lv_time+4(2) &&
               'Z'.

  TRANSLATE lv_awsdate TO UPPER CASE.

  DATA: lv_lf TYPE string.
  DATA: lv_secret_key TYPE string.
  DATA: lv_accesskey TYPE string.
  DATA: lv_datepart TYPE string.
  DATA: lv_service TYPE string.
  DATA: lv_method TYPE string.

  lv_lf = cl_abap_char_utilities=>newline.
  lv_accesskey = '<Populate AWS Access Key>'.
  lv_secret_key = '<Populate AWS Secret Access Key>'.
  lv_datepart = lv_awsdate(8).
  lv_service = 'sts'.
  lv_method = 'GET'.


  DATA: lv_canonical_query_params TYPE string.
  DATA: lv_host TYPE string.
  DATA: lv_region TYPE string.
  DATA: lv_canonical_resource_path TYPE string.

  lv_canonical_query_params = 'Action=GetCallerIdentity&Version=2011-06-15'.
  lv_host = 'sts.amazonaws.com'.
  lv_region = '<Populate your AWS Region>'.   "Example: 'us-east-1'
  lv_canonical_resource_path = '/'.

  DATA: lv_canonical_header_names TYPE string.
  DATA: lv_canonical_headers TYPE string.

  lv_canonical_header_names = 'host;x-amz-date'.
  lv_canonical_headers = 'host:' && lv_host && lv_lf && 'x-amz-date:' && lv_awsdate && lv_lf.

  DATA: lv_canonical_request TYPE string.

  CONCATENATE lv_method lv_lf
              lv_canonical_resource_path lv_lf
              lv_canonical_query_params lv_lf
              lv_canonical_headers lv_lf
              lv_canonical_header_names
              INTO lv_canonical_request.

  DATA: lv_canonical_request_hash TYPE string.

  TRY.
      cl_abap_message_digest=>calculate_hash_for_char(
       EXPORTING
         if_algorithm = 'SHA-256'
         if_data = lv_canonical_request
       IMPORTING
         ef_hashstring = lv_canonical_request_hash ).
    CATCH cx_abap_message_digest.
      "Handle error
      RETURN.
  ENDTRY.

  TRANSLATE lv_canonical_request_hash TO LOWER CASE.

  DATA: lv_algorithm TYPE string.

  lv_algorithm = 'AWS4-HMAC-SHA256'.

  DATA: lv_credential_scope TYPE string.

  CONCATENATE lv_datepart '/' lv_region '/' lv_service '/' 'aws4_request' INTO lv_credential_scope.

  DATA: lv_string_to_sign TYPE string.

  CONCATENATE lv_algorithm lv_lf
              lv_awsdate lv_lf
              lv_credential_scope lv_lf
              lv_canonical_request_hash
              INTO lv_string_to_sign.

  DATA: lv_awskey TYPE string.

  CONCATENATE 'AWS4' lv_secret_key INTO lv_awskey.

  DATA: lv_ksecret TYPE xstring.

  TRY.
      lv_ksecret = cl_abap_hmac=>string_to_xstring( lv_awskey ).
    CATCH cx_abap_message_digest .
      "Handle error
      RETURN.
  ENDTRY.

  DATA: lv_kdate  TYPE xstring.
  TRY.
      cl_abap_hmac=>calculate_hmac_for_char(
        EXPORTING
           if_algorithm = 'SHA256'
           if_key = lv_ksecret
           if_data = lv_datepart
        IMPORTING
           ef_hmacxstring = lv_kdate ).
    CATCH cx_abap_message_digest. "
      "Handle error
      RETURN.
  ENDTRY.

  DATA: lv_kregion TYPE xstring.
  TRY.
      cl_abap_hmac=>calculate_hmac_for_char(
        EXPORTING
           if_algorithm = 'SHA256'
           if_key = lv_kdate
           if_data = lv_region
        IMPORTING
             ef_hmacxstring = lv_kregion ).
    CATCH cx_abap_message_digest.
      "Handle error
      RETURN.
  ENDTRY.

  DATA: lv_kservice TYPE xstring.
  TRY.
      cl_abap_hmac=>calculate_hmac_for_char(
         EXPORTING
           if_algorithm = 'SHA256'
           if_key = lv_kregion
           if_data = lv_service
           IMPORTING
             ef_hmacxstring = lv_kservice ).
    CATCH cx_abap_message_digest.
      "Handle error
      RETURN.
  ENDTRY.

  DATA: lv_ksigningkey TYPE xstring.
  TRY.
      cl_abap_hmac=>calculate_hmac_for_char(
         EXPORTING
           if_algorithm = 'SHA256'
           if_key = lv_kservice
           if_data = 'aws4_request'
         IMPORTING
             ef_hmacxstring = lv_ksigningkey ).
    CATCH cx_abap_message_digest.
      "Handle error
      RETURN.
  ENDTRY.

  DATA: lv_stringtosign TYPE string.

  lv_stringtosign = 'AWS4-HMAC-SHA256' && lv_lf &&
                   lv_awsdate && lv_lf &&
                   lv_datepart && '/' &&
                   lv_region && '/' &&
                   lv_service && '/aws4_request' && lv_lf &&
                   lv_canonical_request_hash.

  DATA: lv_ssignature TYPE string.

  TRY.
      cl_abap_hmac=>calculate_hmac_for_char(
         EXPORTING
           if_algorithm = 'SHA256'
           if_key = lv_ksigningkey
           if_data = lv_stringtosign
         IMPORTING
           ef_hmacstring = lv_ssignature ).
    CATCH cx_abap_message_digest.
      "Handle error
      RETURN.
  ENDTRY.

  TRANSLATE lv_ssignature TO LOWER CASE.

  DATA: lv_authorization_header TYPE string.

  lv_authorization_header = 'AWS4-HMAC-SHA256 Credential=' &&
                            lv_accesskey && '/' &&
                            lv_credential_scope &&
                            ', SignedHeaders=' &&
                            lv_canonical_header_names &&
                            ', Signature=' &&
                            lv_ssignature.

  DATA: ls_token_request TYPE t_token_request.

  ls_token_request-url = 'https://sts.amazonaws.com?Action=GetCallerIdentity&Version=2011-06-15'.
  ls_token_request-method = 'POST'.

  DATA: ls_header_field TYPE t_header_field.
  ls_header_field-key = 'Authorization'.
  ls_header_field-value = lv_authorization_header.
  APPEND ls_header_field TO ls_token_request-headers.

  CLEAR: ls_header_field.
  ls_header_field-key = 'host'.
  ls_header_field-value = 'sts.amazonaws.com'.
  APPEND ls_header_field TO ls_token_request-headers.

  CLEAR: ls_header_field.
  ls_header_field-key = 'x-amz-date'.
  ls_header_field-value = lv_awsdate.
  APPEND ls_header_field TO ls_token_request-headers.

  CLEAR: ls_header_field.
  ls_header_field-key = 'x-goog-cloud-target-resource'.
  ls_header_field-value = '//iam.googleapis.com/projects/' &&
                               ls_key-project_id &&
                               '/locations/global/workloadIdentityPools/' &&
                               ls_key-auth_param1 &&
                               '/providers/' &&
                               ls_key-auth_param2.
  APPEND ls_header_field TO ls_token_request-headers.

  cv_token = /ui2/cl_json=>serialize(  ls_token_request ).
  cv_token_type = 'urn:ietf:params:aws:token-type:aws4_request'.

ENDMETHOD.
ENDCLASS.

Azure

class ZCL_AUTH_WIF_AZURE definition
  public
  inheriting from /GOOG/CL_AUTH_WIF_BASE
  final
  create public .

public section.
protected section.

  methods GET_EXT_IDP_TOKEN
    redefinition .
private section.
ENDCLASS.



CLASS ZCL_AUTH_WIF_AZURE IMPLEMENTATION.


  METHOD GET_EXT_IDP_TOKEN.
**********************************************************************
*  Copyright 2024 Google LLC                                         *
*                                                                    *
*  Licensed under the Apache License, Version 2.0 (the "License");   *
*  you may not use this file except in compliance with the License.  *
*  You may obtain a copy of the License at                           *
*      https://www.apache.org/licenses/LICENSE-2.0                   *
*  Unless required by applicable law or agreed to in writing,        *
*  software distributed under the License is distributed on an       *
*  "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND,      *
*  either express or implied.                                        *
*  See the License for the specific language governing permissions   *
*  and limitations under the License.                                *
**********************************************************************

    TYPES:
      BEGIN OF t_azure_resp,
        access_token TYPE string,
      END OF t_azure_resp.

    DATA: lo_client TYPE REF TO if_http_client.

    DATA: lv_url type string.
    lv_url = 'http://169.254.169.254/metadata/identity/oauth2/token?resource=<APP_ID_URI>&api-version=2018-02-01'.
    "Replace <APP_ID_URI> with the value of Application ID URI of the application that you've configured for workload identity federation.

    cl_http_client=>create_by_url(
       EXPORTING
         url                        = lv_url
       IMPORTING
         client                     = lo_client
       EXCEPTIONS
         argument_not_found         = 1
         plugin_not_active          = 2
         internal_error             = 3
         pse_not_found              = 4
         pse_not_distrib            = 5
         pse_errors                 = 6
         oa2c_set_token_error       = 7
         oa2c_missing_authorization = 8
         oa2c_invalid_config        = 9
         oa2c_invalid_parameters    = 10
         oa2c_invalid_scope         = 11
         oa2c_invalid_grant         = 12
         OTHERS                     = 13 ).

    IF sy-subrc <> 0.
      RETURN.
    ENDIF.

    lo_client->request->set_method( 'GET' ).
    lo_client->request->set_header_field( name = 'Metadata' value = 'true' ).

    lo_client->send(
      EXCEPTIONS
        http_communication_failure = 1
        http_invalid_state         = 2
        http_processing_failed     = 3
        http_invalid_timeout       = 4
        OTHERS                     = 5 ).

    lo_client->propertytype_logon_popup = lo_client->co_disabled.

    lo_client->receive(
      EXCEPTIONS
      http_communication_failure = 1
      http_invalid_state         = 2
      http_processing_failed     = 3 ).

    DATA: lv_json TYPE string.

    lv_json = lo_client->response->get_cdata( ).

    DATA: ls_azure_resp TYPE t_azure_resp.

    /goog/cl_json=>deserialize(
      EXPORTING
        json             = lv_json
      CHANGING
        data             = ls_azure_resp ).
    cv_token = ls_azure_resp-access_token.
    cv_token_type = 'urn:ietf:params:oauth:token-type:jwt'.

  ENDMETHOD.
ENDCLASS.

クライアントキーを構成する

SAP GUI で、トランザクションコード /GOOG/SDK_IMG を実行します。

または、トランザクションコード SPRO を実行して、[SAP Reference IMG] をクリックします。
[ABAP SDK for Google Cloud] > [Basic Settings] > [Configure Client Key] をクリックします。
[New Entries] をクリックします。

次のフィールドに値を入力します。

項目	説明
Google Cloud キー名	クライアントキー構成の名前を指定します。
Google Cloud サービスアカウント名	サービスアカウントを作成するで Google Cloud APIs にアクセスするために作成したサービスアカウントの名前（メールアドレス）を指定します。例: `sap-example-svc-acct@example-project-123456.iam.gserviceaccount.com`。
Google Cloud のスコープ	このフィールドは空白のままにしておきます。
Google Cloud プロジェクト ID	Workload Identity プールを作成した Google Cloud プロジェクトの ID を指定します。
コマンド名	このフィールドは空白のままにしておきます。
認可クラス	子クラスを指定します。このクラスには、クラス `/GOOG/CL_AUTH_WIF_BASE` の実装が含まれています。詳しくは、IdP からセキュリティトークンを取得する ABAP コードを実装するをご覧ください。
トークンのキャッシュ保存	このフィールドは空白のままにしておきます。
トークンの更新期限（秒）	このフィールドは空白のままにしておきます。
認可パラメータ 1	Workload Identity プールの ID を指定します。
認可パラメータ 2	Workload Identity プロバイダ ID を指定します。

エントリを保存します。

サポートを受ける

ABAP SDK for Google Cloud の問題を解決するには、次の操作を行います。

ABAP SDK for Google Cloud トラブルシューティングガイドをご覧ください。
Cloud フォーラムのコミュニティで ABAP SDK for Google Cloud について質問し、ディスカッションに参加します。
入手可能なすべての診断情報を収集し、Cloud カスタマーケアにお問い合わせください。カスタマーケアへのお問い合わせについては、Google Cloud での SAP に関するサポートを受けるをご覧ください。

Workload Identity 連携によるトークンを使用した認証

外部 IdP を準備する

Workload Identity 連携を構成する

サービス アカウントを作成する

外部ワークロードにサービス アカウントの権限借用を許可する

IdP からセキュリティ トークンを取得する ABAP コードを実装する

AWS