google auth library javaダウンロード - google auth library javaソースコードのダウンロード

Google認証ライブラリ

Java 用のオープンソース認証クライアントライブラリ。

APIドキュメント

このプロジェクトは 3 つの成果物で構成されています。

google-auth-library-credentials : Google 認証情報の基本クラスとインターフェースが含まれています
google-auth-library-appengine : App Engine 認証情報が含まれます。このアーティファクトは App Engine SDK に依存します。
google-auth-library-oauth2-http : さまざまな認証情報と、認証情報を作成してアプリケーションのデフォルト認証情報を取得するためのユーティリティメソッドが含まれています

目次：

クイックスタート
google-auth-library-oauth2-http
- アプリケーションのデフォルト認証情報
- 偽装された認証情報
- Workload Identity フェデレーション
  - AWS からのリソースへのアクセス
  - Azure からのリソースへのアクセス
  - OIDC ID プロバイダーからのリソースへのアクセス
  - 実行可能ファイルから取得された認証情報を使用したリソースへのアクセス
  - OIDC または SAML のカスタムサプライヤーを使用したリソースへのアクセス
  - AWS のカスタムサプライヤーを使用したリソースへのアクセス
  - 構成可能なトークンの有効期間
- Workforce Identity フェデレーション
  - OIDC または SAML 2.0 ID プロバイダーを使用したリソースへのアクセス
  - 外部アカウントの承認されたユーザー従業員資格情報を使用したリソースへのアクセス
  - 実行可能ファイルから取得された認証情報を使用したリソースへのアクセス
  - OIDC または SAML のカスタムサプライヤーを使用したリソースへのアクセス
- 資格情報アクセス境界によるダウンスコープ
- プロキシの構成
- google-http-client での資格情報の使用
- JWT トークンの検証
google-auth-library-credentials
google-auth-library-appengine
CI ステータス
貢献する
ライセンス

クイックスタート

Maven を使用している場合は、これを pom.xml ファイルに追加します (必要に応じて、 google-auth-library-oauth2-http google-auth-library-credentialsおよびgoogle-auth-library-appengineのいずれかに置き換えることができることに注意してください)アプリケーションが必要とするもの):

< dependency >
  < groupId >com.google.authgroupId >
  < artifactId >google-auth-library-oauth2-httpartifactId >
  < version >1.19.0version >
dependency >

Gradle を使用している場合は、これを依存関係に追加してください

implementation ' com.google.auth:google-auth-library-oauth2-http:1.19.0 '

SBT を使用している場合は、これを依存関係に追加してください

libraryDependencies + = " com.google.auth " % " google-auth-library-oauth2-http " % " 1.19.0 "

google-auth-library-oauth2-http

アプリケーションのデフォルト認証情報

このライブラリは、Java 用のアプリケーションのデフォルト認証情報の実装を提供します。アプリケーションのデフォルト認証情報は、Google API の呼び出しに使用する認証認証情報を取得する簡単な方法を提供します。

これらは、呼び出しがユーザーとは独立してアプリケーションに対して同じ ID と認可レベルを持つ必要がある場合に最適です。これは、特に Google Cloud Platform を使用するアプリケーションを構築する場合に、Cloud API への呼び出しを承認するための推奨されるアプローチです。

アプリケーションのデフォルト認証情報は、Amazon Web Services (AWS)、Microsoft Azure、または OpenID Connect (OIDC) をサポートする ID プロバイダーなどの Google Cloud 以外のプラットフォームから Google Cloud リソースにアクセスするための Workload Identity フェデレーションもサポートしています。 Workload Identity フェデレーションは、サービスアカウントの秘密鍵をローカルにダウンロード、管理、保存する必要がなくなるため、Google Cloud 以外の環境に推奨されます。「Workload Identity Federation」を参照してください。

アプリケーションのデフォルト認証情報の取得

アプリケーションのデフォルト認証情報を取得するには、 GoogleCredentials.getApplicationDefault()またはGoogleCredentials.getApplicationDefault(HttpTransportFactory)を使用します。これらのメソッドは、アプリケーション全体の識別と認可に使用されるアプリケーションのデフォルト認証情報を返します。アプリケーションのデフォルト認証情報を見つけるために、以下が (順番に) 検索されます。

GOOGLE_APPLICATION_CREDENTIALS環境変数が指す認証情報ファイル
Google Cloud SDK gcloud auth application-default loginコマンドによって提供される認証情報
Google App Engineの組み込み認証情報
Google Cloud Shellの組み込み認証情報
Google Compute Engine の組み込み認証情報
- 環境変数NO_GCE_CHECK=trueを設定して、このチェックをスキップします。
- 環境変数GCE_METADATA_HOST=を設定して、GCE メタデータサーバーのアドレスをカスタマイズします。

明示的な資格情報のロード

サービスアカウント JSON キーから資格情報を取得するにはGoogleCredentials.fromStream(InputStream)またはGoogleCredentials.fromStream(InputStream, HttpTransportFactory)を使用します。アクセストークンが使用可能になる前に、資格情報を更新する必要があることに注意してください。

 GoogleCredentials credentials = GoogleCredentials . fromStream ( new FileInputStream ( "/path/to/credentials.json" ));
credentials . refreshIfExpired ();
AccessToken token = credentials . getAccessToken ();
// OR
AccessToken token = credentials . refreshAccessToken ();

偽装された認証情報

ユーザーまたはサービスアカウントに発行された資格情報が別のアカウントになりすますことを許可します。 ImpersonatedCredentials を使用するソースプロジェクトでは、「IAMCredentials」API を有効にする必要があります。また、ターゲットサービスアカウントは、元のプリンシパルに「サービスアカウントトークン作成者」IAM ロールを付与する必要があります。

 String credPath = "/path/to/svc_account.json" ;
ServiceAccountCredentials sourceCredentials = ServiceAccountCredentials
     . fromStream ( new FileInputStream ( credPath ));
sourceCredentials = ( ServiceAccountCredentials ) sourceCredentials
    . createScoped ( Arrays . asList ( "https://www.googleapis.com/auth/iam" ));

ImpersonatedCredentials targetCredentials = ImpersonatedCredentials . create ( sourceCredentials ,
    "[email protected]" , null ,
    Arrays . asList ( "https://www.googleapis.com/auth/devstorage.read_only" ), 300 );

Storage storage_service = StorageOptions . newBuilder (). setProjectId ( "project-id" )
    . setCredentials ( targetCredentials ). build (). getService ();

for ( Bucket b : storage_service . list (). iterateAll ())
    System . out . println ( b );

Workload Identity フェデレーション

Workload Identity フェデレーションを使用すると、アプリケーションはアマゾンウェブサービス (AWS)、Microsoft Azure、または OpenID Connect (OIDC) をサポートする ID プロバイダーから Google Cloud リソースにアクセスできます。

従来、Google Cloud の外部で実行されるアプリケーションは、サービスアカウントキーを使用して Google Cloud リソースにアクセスしてきました。 ID フェデレーションを使用すると、ワークロードがサービスアカウントになりすますことができます。これにより、外部ワークロードが Google Cloud リソースに直接アクセスできるようになり、サービスアカウントキーに関連するメンテナンスとセキュリティの負担が軽減されます。

AWS からのリソースへのアクセス

アマゾンウェブサービス (AWS) から Google Cloud リソースにアクセスするには、次の要件が必要です。

Workload Identity プールを作成する必要があります。
AWS を Workload Identity プールに ID プロバイダーとして追加する必要があります (Google 組織のポリシーで AWS からのフェデレーションを許可する必要があります)。
サービスアカウントになりすますためのアクセス許可を外部 ID に付与する必要があります。

AWS から Workload Identity フェデレーションを構成する方法の詳細な手順に従ってください。

サービスアカウントを偽装するように AWS プロバイダーを構成した後、認証情報構成ファイルを生成する必要があります。サービスアカウント資格情報ファイルとは異なり、生成された資格情報構成ファイルには、外部サブジェクトトークンを取得してサービスアカウントアクセストークンと交換する方法をライブラリに指示する非機密メタデータが含まれています。構成ファイルは、gcloud CLI を使用して生成できます。

AWS Workload Identity 構成を生成するには、次のコマンドを実行します。

 # Generate an AWS configuration file.
gcloud iam workload-identity-pools create-cred-config 
    projects/ $PROJECT_NUMBER /locations/global/workloadIdentityPools/ $POOL_ID /providers/ $AWS_PROVIDER_ID 
    --service-account $SERVICE_ACCOUNT_EMAIL 
    --aws 
    --output-file /path/to/generated/config.json

次の変数を置き換える必要がある場合:

$PROJECT_NUMBER : Google Cloud プロジェクト番号。
$POOL_ID : Workload Identity プール ID。
$AWS_PROVIDER_ID : AWS プロバイダー ID。
$SERVICE_ACCOUNT_EMAIL : 偽装するサービスアカウントの電子メール。

これにより、指定された出力ファイルに構成ファイルが生成されます。

AWS IMDSv2 を使用している場合は、追加フラグ--enable-imdsv2 gcloud iam workload-identity-pools create-cred-configコマンドに追加する必要があります。

gcloud iam workload-identity-pools create-cred-config 
    projects/ $PROJECT_NUMBER /locations/global/workloadIdentityPools/ $POOL_ID /providers/ $AWS_PROVIDER_ID 
    --service-account $SERVICE_ACCOUNT_EMAIL 
    --aws 
    --output-file /path/to/generated/config.json 
    --enable-imdsv2

Auth ライブラリを使用して、AWS から Google Cloud リソースを呼び出すことができるようになりました。

Microsoft Azureからリソースにアクセスする

Microsoft Azure から Google Cloud リソースにアクセスするには、次の要件が必要です。

Workload Identity プールを作成する必要があります。
Azure を Workload Identity プールに ID プロバイダーとして追加する必要があります (Google 組織のポリシーで Azure からのフェデレーションを許可する必要があります)。
Azure テナントは ID フェデレーション用に構成する必要があります。
サービスアカウントになりすますためのアクセス許可を外部 ID に付与する必要があります。

Microsoft Azure から Workload Identity フェデレーションを構成する方法の詳細な手順に従ってください。

サービスアカウントを偽装するように Azure プロバイダーを構成した後、資格情報構成ファイルを生成する必要があります。サービスアカウント資格情報ファイルとは異なり、生成された資格情報構成ファイルには、外部サブジェクトトークンを取得してサービスアカウントアクセストークンと交換する方法をライブラリに指示する非機密メタデータが含まれています。構成ファイルは、gcloud CLI を使用して生成できます。

Azure Workload Identity 構成を生成するには、次のコマンドを実行します。

 # Generate an Azure configuration file.
gcloud iam workload-identity-pools create-cred-config 
    projects/ $PROJECT_NUMBER /locations/global/workloadIdentityPools/ $POOL_ID /providers/ $AZURE_PROVIDER_ID 
    --service-account $SERVICE_ACCOUNT_EMAIL 
    --azure 
    --output-file /path/to/generated/config.json

次の変数を置き換える必要がある場合:

$PROJECT_NUMBER : Google Cloud プロジェクト番号。
$POOL_ID : Workload Identity プール ID。
$AZURE_PROVIDER_ID : Azure プロバイダー ID。
$SERVICE_ACCOUNT_EMAIL : 偽装するサービスアカウントの電子メール。

これにより、指定された出力ファイルに構成ファイルが生成されます。

Auth ライブラリを使用して、Azure から Google Cloud リソースを呼び出すことができるようになりました。

OIDC ID プロバイダーからのリソースへのアクセス

OpenID Connect (OIDC) をサポートする ID プロバイダから Google Cloud リソースにアクセスするには、次の要件が必要です。

Workload Identity プールを作成する必要があります。
OIDC ID プロバイダーを Workload Identity プールに追加する必要があります (Google 組織のポリシーで ID プロバイダーからのフェデレーションを許可する必要があります)。
サービスアカウントになりすますためのアクセス許可を外部 ID に付与する必要があります。

OIDC ID プロバイダーから Workload Identity フェデレーションを構成する方法の詳細な手順に従ってください。

サービスアカウントを偽装するように OIDC プロバイダーを構成した後、資格情報構成ファイルを生成する必要があります。サービスアカウント資格情報ファイルとは異なり、生成された資格情報構成ファイルには、外部サブジェクトトークンを取得してサービスアカウントアクセストークンと交換する方法をライブラリに指示する非機密メタデータが含まれています。構成ファイルは、gcloud CLI を使用して生成できます。

OIDC プロバイダーの場合、認証ライブラリは、ローカルファイルの場所 (ファイルソースの資格情報) またはローカルサーバー (URL ソースの資格情報) から OIDC トークンを取得できます。

ファイルソースの資格情報ファイルソースの資格情報の場合、有効期限が切れる前に、バックグラウンドプロセスで新しい OIDC トークンを使用してファイルの場所を継続的に更新する必要があります。有効期間が 1 時間のトークンの場合、ファイル内のトークンを 1 時間ごとに更新する必要があります。トークンはプレーンテキストまたは JSON 形式で直接保存できます。

ファイルソースの OIDC 構成を生成するには、次のコマンドを実行します。

 # Generate an OIDC configuration file for file-sourced credentials.
gcloud iam workload-identity-pools create-cred-config 
    projects/ $PROJECT_NUMBER /locations/global/workloadIdentityPools/ $POOL_ID /providers/ $OIDC_PROVIDER_ID 
    --service-account $SERVICE_ACCOUNT_EMAIL 
    --credential-source-file $PATH_TO_OIDC_ID_TOKEN 
    # Optional arguments for file types. Default is "text":
    # --credential-source-type "json" 
    # Optional argument for the field that contains the OIDC credential.
    # This is required for json.
    # --credential-source-field-name "id_token" 
    --output-file /path/to/generated/config.json

次の変数を置き換える必要がある場合:

$PROJECT_NUMBER : Google Cloud プロジェクト番号。
$POOL_ID : Workload Identity プール ID。
$OIDC_PROVIDER_ID : OIDC プロバイダー ID。
$SERVICE_ACCOUNT_EMAIL : 偽装するサービスアカウントの電子メール。
$PATH_TO_OIDC_ID_TOKEN : OIDC トークンの取得に使用されるファイルパス。

これにより、指定された出力ファイルに構成ファイルが生成されます。

URL ソースの資格情報URL ソースの資格情報の場合、ローカルサーバーは、OIDC トークンを返すために GET エンドポイントをホストする必要があります。応答はプレーンテキストまたは JSON で返されます。追加の必須リクエストヘッダーも指定できます。

URL ソースの OIDC ワークロード ID 構成を生成するには、次のコマンドを実行します。

 # Generate an OIDC configuration file for URL-sourced credentials.
gcloud iam workload-identity-pools create-cred-config 
    projects/ $PROJECT_NUMBER /locations/global/workloadIdentityPools/ $POOL_ID /providers/ $OIDC_PROVIDER_ID 
    --service-account $SERVICE_ACCOUNT_EMAIL 
    --credential-source-url $URL_TO_GET_OIDC_TOKEN 
    --credential-source-headers $HEADER_KEY = $HEADER_VALUE 
    # Optional arguments for file types. Default is "text":
    # --credential-source-type "json" 
    # Optional argument for the field that contains the OIDC credential.
    # This is required for json.
    # --credential-source-field-name "id_token" 
    --output-file /path/to/generated/config.json

次の変数を置き換える必要がある場合:

$PROJECT_NUMBER : Google Cloud プロジェクト番号。
$POOL_ID : Workload Identity プール ID。
$OIDC_PROVIDER_ID : OIDC プロバイダー ID。
$SERVICE_ACCOUNT_EMAIL : 偽装するサービスアカウントの電子メール。
$URL_TO_GET_OIDC_TOKEN : OIDC トークンを取得するために呼び出すローカルサーバーエンドポイントの URL。
$HEADER_KEYおよび$HEADER_VALUE : GET リクエストを$URL_TO_GET_OIDC_TOKENに渡す追加のヘッダーキーと値のペア (例: Metadata-Flavor=Google 。

Auth ライブラリを使用して、OIDC プロバイダから Google Cloud リソースを呼び出すことができるようになりました。

OIDC および SAML での実行可能ファイルから取得された認証情報の使用

実行可能ファイルをソースとする認証情報実行可能ファイルをソースとする認証情報の場合、ローカルの実行可能ファイルを使用してサードパーティトークンを取得します。実行可能ファイルは、有効で期限切れでない OIDC ID トークンまたは SAML アサーションを JSON 形式で stdout に提供する処理を行う必要があります。

実行可能ファイルから取得された認証情報を使用するには、 GOOGLE_EXTERNAL_ACCOUNT_ALLOW_EXECUTABLES環境変数を1に設定する必要があります。

実行可能ソースの Workload Identity 構成を生成するには、次のコマンドを実行します。

 # Generate a configuration file for executable-sourced credentials.
gcloud iam workload-identity-pools create-cred-config 
    projects/ $PROJECT_NUMBER /locations/global/workloadIdentityPools/ $POOL_ID /providers/ $PROVIDER_ID 
    --service-account= $SERVICE_ACCOUNT_EMAIL 
    --subject-token-type= $SUBJECT_TOKEN_TYPE 
    # The absolute path for the program, including arguments.
    # e.g. --executable-command="/path/to/command --foo=bar"
    --executable-command= $EXECUTABLE_COMMAND 
    # Optional argument for the executable timeout. Defaults to 30s.
    # --executable-timeout-millis=$EXECUTABLE_TIMEOUT 
    # Optional argument for the absolute path to the executable output file.
    # See below on how this argument impacts the library behaviour.
    # --executable-output-file=$EXECUTABLE_OUTPUT_FILE 
    --output-file /path/to/generated/config.json

次の変数を置き換える必要がある場合:

$PROJECT_NUMBER : Google Cloud プロジェクト番号。
$POOL_ID : Workload Identity プール ID。
$PROVIDER_ID : OIDC または SAML プロバイダー ID。
$SERVICE_ACCOUNT_EMAIL : 偽装するサービスアカウントの電子メール。
$SUBJECT_TOKEN_TYPE : サブジェクトトークンのタイプ。
$EXECUTABLE_COMMAND : 引数を含む、実行する完全なコマンド。プログラムへの絶対パスである必要があります。

--executable-timeout-millisフラグはオプションです。これは、認証ライブラリが実行可能ファイルの終了を待機する時間 (ミリ秒単位) です。指定しない場合のデフォルトは 30 秒です。最大許容値は 2 分です。最小値は 5 秒です。

--executable-output-fileフラグはオプションです。指定する場合、ファイルパスは、実行可能ファイルによって生成された 3PI 資格情報応答を指す必要があります。これは、資格情報をキャッシュするのに役立ちます。このパスを指定すると、認証ライブラリは実行可能ファイルを実行する前に、まずパスの存在を確認します。このファイルに対する実行可能ファイルの JSON 応答をキャッシュすると、出力ファイルにキャッシュされた認証情報の有効期限が切れるまで実行可能ファイルを実行する必要がなくなり、パフォーマンスが向上します。実行可能ファイルはこのファイルへの書き込みを処理する必要があります。認証ライブラリはこの場所からのみ読み取りを試みます。ファイル内のコンテンツの形式は、以下に示す実行可能ファイルで予期される JSON 形式と一致する必要があります。

サードパーティのトークンを取得するために、ライブラリは指定されたコマンドを使用して実行可能ファイルを呼び出します。実行可能ファイルの出力は、以下に指定されている応答形式に準拠している必要があります。応答を標準出力に出力する必要があります。

成功した実行可能 OIDC 応答のサンプル:

{
  "version" : 1 ,
  "success" : true ,
  "token_type" : " urn:ietf:params:oauth:token-type:id_token " ,
  "id_token" : " HEADER.PAYLOAD.SIGNATURE " ,
  "expiration_time" : 1620499962
}

成功した実行可能 SAML 応答のサンプル:

{
  "version" : 1 ,
  "success" : true ,
  "token_type" : " urn:ietf:params:oauth:token-type:saml2 " ,
  "saml_response" : " ... " ,
  "expiration_time" : 1620499962
}

実行可能エラー応答のサンプル:

{
  "version" : 1 ,
  "success" : false ,
  "code" : " 401 " ,
  "message" : " Caller not authorized. "
}

これらはすべて、エラー応答の必須フィールドです。コードフィールドとメッセージフィールドは、スローされた例外の一部としてライブラリによって使用されます。

正常な応答の場合、 expiration_timeフィールドは、資格情報構成で出力ファイルが指定されている場合にのみ必要です。

応答形式フィールドの概要:

version : JSON 出力のバージョン。現在、バージョン 1 のみがサポートされています。
success : true の場合、応答にはサードパーティのトークンとトークンタイプが含まれている必要があります。出力ファイルが資格情報構成で指定されている場合、応答には、expiration_time フィールドも含まれている必要があります。実行可能ファイルも終了コード 0 で終了する必要があります。 false の場合、応答にはエラーコードとメッセージフィールドが含まれ、ゼロ以外の値で終了する必要があります。
token_type : サードパーティのサブジェクトトークンタイプ。 urn:ietf:params:oauth:token-type:jwt 、 urn:ietf:params:oauth:token-type:id_token 、またはurn:ietf:params:oauth:token-type:saml2である必要があります。
id_token : サードパーティの OIDC トークン。
saml_response : サードパーティの SAML 応答。
expiration_time : サードパーティのサブジェクトトークンの有効期限 (秒単位) (UNIX エポックタイム)。
code : エラーコード文字列。
message : エラーメッセージ。

すべての応答タイプには、 versionとsuccessフィールドの両方が含まれている必要があります。

成功した応答には、 token_typeと、 id_tokenまたはsaml_responseのいずれかが含まれている必要があります。資格情報構成で出力ファイルが指定されている場合は、 expiration_timeフィールドも存在する必要があります。
エラー応答には、 codeとmessageフィールドの両方が含まれている必要があります。

実行可能ファイルの実行時に、ライブラリにより次の環境変数が設定されます。

GOOGLE_EXTERNAL_ACCOUNT_AUDIENCE : 認証情報構成の対象者フィールド。常に存在します。
GOOGLE_EXTERNAL_ACCOUNT_TOKEN_TYPE : この予期されるサブジェクトトークンタイプ。常に存在します。
GOOGLE_EXTERNAL_ACCOUNT_IMPERSONATED_EMAIL : サービスアカウントのメールアドレス。サービスアカウントの偽装が使用される場合にのみ存在します。
GOOGLE_EXTERNAL_ACCOUNT_OUTPUT_FILE : 資格情報構成からの出力ファイルの場所。資格情報構成で指定された場合にのみ存在します。

これらの環境変数を実行可能ファイルで使用すると、これらの値のハードコーディングを回避できます。

セキュリティに関する考慮事項

次のセキュリティ対策が強く推奨されます。

スクリプトは認証情報を標準出力に表示するため、スクリプトへのアクセスを制限する必要があります。これにより、不正なプロセスがスクリプトにアクセスできなくなります。
構成ファイルは変更できないようにしてください。プロセスが実行可能コマンド部分を変更しないように、書き込みアクセスを制限する必要があります。

実行可能ファイルをソースとする認証情報の使用は複雑であるため、特定の要件を満たさない限り、サードパーティの認証情報を提供するために既存のサポートされているメカニズム (ファイルソース/URL ソース) を使用することをお勧めします。

Auth ライブラリを使用して、OIDC または SAML プロバイダから Google Cloud リソースを呼び出すことができるようになりました。

OIDC と SAML でカスタムサプライヤーを使用する

IdentityPoolCredentials の構築中に IdentityPoolSubjectTokenSupplier のカスタム実装を使用して、GCP アクセストークンと交換できるサブジェクトトークンを提供できます。サプライヤーは、GCP 認証情報によって呼び出されたときに、有効で期限切れになっていないサブジェクトトークンを返す必要があります。

IdentityPoolCredentials は返されたトークンをキャッシュしないため、同じサブジェクトトークンに対する複数のリクエストを防ぐために、トークンサプライヤーにキャッシュロジックを実装する必要があります。

 import java . io . IOException ;

public class CustomTokenSupplier implements IdentityPoolSubjectTokenSupplier {

  @ Override
  public String getSubjectToken ( ExternalAccountSupplierContext context ) throws IOException {
    // Any call to the supplier will pass a context object with the requested
    // audience and subject token type.
    string audience = context . getAudience ();
    string tokenType = context . getSubjectTokenType ();

    try {
      // Return a valid, unexpired token for the requested audience and token type.
      // Note that IdentityPoolCredentials do not cache the subject token so
      // any caching logic needs to be implemented in the token supplier.
      return retrieveToken ( audience , tokenType );
    } catch ( Exception e ) {
      // If token is unavailable, throw IOException.
      throw new IOException ( e );
    }
  }

  private String retrieveToken ( string tokenType , string audience ) {
    // Retrieve a subject token of the requested type for the requested audience.
  }
}

 CustomTokenSupplier tokenSupplier = new CustomTokenSupplier ();
IdentityPoolCredentials identityPoolCredentials =
    IdentityPoolCredentials . newBuilder ()
        . setSubjectTokenSupplier ( tokenSupplier ) // Sets the token supplier.
        . setAudience (...) // Sets the GCP audience.
        . setSubjectTokenType ( SubjectTokenTypes . JWT ) // Sets the subject token type.
        . build ();

対象ユーザーの場所: //iam.googleapis.com/projects/$PROJECT_NUMBER/locations/global/workloadIdentityPools/$WORKLOAD_POOL_ID/providers/$PROVIDER_ID

次の変数を置き換える必要がある場合:

$PROJECT_NUMBER : Google Cloud プロジェクト番号。
$WORKLOAD_POOL_ID : Workload Identity プール ID。
$PROVIDER_ID : プロバイダー ID。

対象ユーザー、サービスアカウントの偽装 URL、その他のビルダーフィールドの値は、gcloud CLI で認証情報構成ファイルを生成することによっても見つけることができます。

AWS でカスタムサプライヤーを使用する

AwsCredentials の初期化時に、AwsSecurityCredentialsSupplier のカスタム実装を提供できます。指定された場合、AwsCredentials インスタンスは、GCP アクセストークンと交換するための AWS セキュリティ認証情報の取得をサプライヤーに委ねます。サプライヤーは、GCP 認証情報によって呼び出された場合、有効で期限切れになっていない AWS セキュリティ認証情報を返す必要があります。

AwsCredentials は返された AWS セキュリティ認証情報またはリージョンをキャッシュしないため、同じリソースに対する複数のリクエストを防ぐためにサプライヤーにキャッシュロジックを実装する必要があります。

 class CustomAwsSupplier implements AwsSecurityCredentialsSupplier {
  @ Override
  AwsSecurityCredentials getAwsSecurityCredentials ( ExternalAccountSupplierContext context ) throws IOException {
    // Any call to the supplier will pass a context object with the requested
    // audience.
    string audience = context . getAudience ();

    try {
      // Return valid, unexpired AWS security credentials for the requested audience.
      // Note that AwsCredentials do not cache the AWS security credentials so
      // any caching logic needs to be implemented in the credentials' supplier.
      return retrieveAwsSecurityCredentials ( audience );
    } catch ( Exception e ) {
      // If credentials are unavailable, throw IOException.
      throw new IOException ( e );
    }
  }

  @ Override
  String getRegion ( ExternalAccountSupplierContext context ) throws IOException {
    try {
      // Return a valid AWS region. i.e. "us-east-2".
      // Note that AwsCredentials do not cache the region so
      // any caching logic needs to be implemented in the credentials' supplier.
      return retrieveAwsRegion ();
    } catch ( Exception e ) {
      // If region is unavailable, throw IOException.
      throw new IOException ( e );
    }
  }

  private AwsSecurityCredentials retrieveAwsSecurityCredentials ( string audience ) {
    // Retrieve Aws security credentials for the requested audience.
  }

  private String retrieveAwsRegion () {
    // Retrieve current AWS region.
  }
}

 CustomAwsSupplier awsSupplier = new CustomAwsSupplier ();
AwsCredentials credentials = AwsCredentials . newBuilder ()
    . setSubjectTokenType ( SubjectTokenTypes . AWS4 ) // Sets the subject token type.
    . setAudience (...) // Sets the GCP audience.
    . setAwsSecurityCredentialsSupplier ( supplier ) // Sets the supplier.
    . build ();

対象ユーザーの場所: //iam.googleapis.com/projects/$PROJECT_NUMBER/locations/global/workloadIdentityPools/$WORKLOAD_POOL_ID/providers/$PROVIDER_ID

次の変数を置き換える必要がある場合:

$PROJECT_NUMBER : Google Cloud プロジェクト番号。
$WORKLOAD_POOL_ID : Workload Identity プール ID。
$PROVIDER_ID : プロバイダー ID。

構成可能なトークンの有効期間

サービスアカウントの偽装を使用して Workload Identity フェデレーションで資格情報構成を作成する場合、オプションの引数を指定してサービスアカウントのアクセストークンの有効期間を構成できます。

構成可能なトークンの有効期間を使用して構成を生成するには、次のコマンドを実行します (この例では AWS 構成を使用しますが、トークンの有効期間はすべての Workload Identity フェデレーションプロバイダーに対して構成できます)。

 # Generate an AWS configuration file with configurable token lifetime.
gcloud iam workload-identity-pools create-cred-config 
    projects/ $PROJECT_NUMBER /locations/global/workloadIdentityPools/ $POOL_ID /providers/ $AWS_PROVIDER_ID 
    --service-account $SERVICE_ACCOUNT_EMAIL 
    --aws 
    --output-file /path/to/generated/config.json 
    --service-account-token-lifetime-seconds $TOKEN_LIFETIME

次の変数を置き換える必要がある場合:

$PROJECT_NUMBER : Google Cloud プロジェクト番号。
$POOL_ID : Workload Identity プール ID。
$AWS_PROVIDER_ID : AWS プロバイダー ID。
$SERVICE_ACCOUNT_EMAIL : 偽装するサービスアカウントの電子メール。
$TOKEN_LIFETIME : サービスアカウントアクセストークンの望ましい有効期間 (秒単位)。

service-account-token-lifetime-secondsフラグはオプションです。指定しない場合、デフォルトは 1 時間になります。最小許容値は 600 (10 分)、最大許容値は 43200 (12 時間) です。 1 時間を超える有効期間が必要な場合は、 constraints/iam.allowServiceAccountCredentialLifetimeExtension制約を強制する組織ポリシーの許可値としてサービスアカウントを追加する必要があります。

短い有効期間 (10 分など) を構成すると、ライブラリは 10 分ごとにトークン交換フロー全体を開始し、サードパーティのトークンの有効期限が切れていない場合でも、サードパーティのトークンプロバイダーを呼び出すことに注意してください。

Workforce Identity フェデレーション

Workforce Identity フェデレーションを使用すると、外部 ID プロバイダ（IdP）を使用して、IAM を使用して従業員（従業員、パートナー、請負業者などのユーザーのグループ）を認証および認可できるため、ユーザーは Google Cloud サービスにアクセスできます。 Workforce Identity フェデレーションは、Google Cloud の ID 機能を拡張して、同期なしの属性ベースのシングルサインオンをサポートします。

Workforce Identity フェデレーションを使用すると、従業員は、Azure Active Directory (Azure AD)、Active Directory Federation Services (AD FS)、Okta などの OpenID Connect (OIDC) または SAML 2.0 をサポートする外部 ID プロバイダー (IdP) を使用して Google Cloud リソースにアクセスできます。、その他。

OIDC または SAML 2.0 ID プロバイダーを使用したリソースへのアクセス

OpenID Connect (OIDC) をサポートする ID プロバイダから Google Cloud リソースにアクセスするには、次の要件が必要です。

Workforce Identity プールを作成する必要があります。
OIDC または SAML 2.0 ID プロバイダーを従業員プールに追加する必要があります。

Workforce Identity フェデレーションを構成する方法の詳細な手順に従ってください。

OIDC または SAML 2.0 プロバイダーを構成した後、資格情報構成ファイルを生成する必要があります。生成された認証情報構成ファイルには、外部サブジェクトトークンを取得して GCP アクセストークンと交換する方法をライブラリに指示するための非機密メタデータが含まれています。構成ファイルは、gcloud CLI を使用して生成できます。

Auth ライブラリは、ローカルファイルの場所 (ファイルソースの資格情報)、ローカルサーバー (URL ソースの資格情報)、または実行可能ファイルの呼び出し (実行可能ファイルソースの資格情報) から外部サブジェクトトークンを取得できます。

ファイルソースの資格情報ファイルソースの資格情報の場合、バックグラウンドプロセスは、有効期限が切れる前に、新しいサブジェクトトークンを使用してファイルの場所を継続的に更新する必要があります。有効期間が 1 時間のトークンの場合、ファイル内のトークンを 1 時間ごとに更新する必要があります。トークンはプレーンテキストまたは JSON 形式で直接保存できます。

ファイルソースの OIDC 構成を生成するには、次のコマンドを実行します。

 # Generate an OIDC configuration file for file-sourced credentials.
gcloud iam workforce-pools create-cred-config 
    locations/global/workforcePools/ $WORKFORCE_POOL_ID /providers/ $PROVIDER_ID 
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token 
    --credential-source-file= $PATH_TO_OIDC_ID_TOKEN 
    --workforce-pool-user-project= $WORKFORCE_POOL_USER_PROJECT 
    # Optional arguments for file types. Default is "text":
    # --credential-source-type "json" 
    # Optional argument for the field that contains the OIDC credential.
    # This is required for json.
    # --credential-source-field-name "id_token" 
    --output-file=/path/to/generated/config.json

次の変数を置き換える必要がある場合:

$WORKFORCE_POOL_ID : 従業員プール ID。
$PROVIDER_ID : プロバイダー ID。
$PATH_TO_OIDC_ID_TOKEN : OIDC トークンの取得に使用されるファイルパス。
$WORKFORCE_POOL_USER_PROJECT : 従業員プールのユーザープロジェクトに関連付けられたプロジェクト番号。

ファイルソースの SAML 構成を生成するには、次のコマンドを実行します。

 # Generate a SAML configuration file for file-sourced credentials.
gcloud iam workforce-pools create-cred-config 
    locations/global/workforcePools/ $WORKFORCE_POOL_ID /providers/ $PROVIDER_ID 
    --credential-source-file= $PATH_TO_SAML_ASSERTION 
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2 
    --workforce-pool-user-project= $WORKFORCE_POOL_USER_PROJECT 
    --output-file=/path/to/generated/config.json

次の変数を置き換える必要がある場合:

$WORKFORCE_POOL_ID : 従業員プール ID。
$PROVIDER_ID : プロバイダー ID。
$PATH_TO_SAML_ASSERTION : Base64 でエンコードされた SAML アサーションを取得するために使用されるファイルパス。
$WORKFORCE_POOL_USER_PROJECT : 従業員プールのユーザープロジェクトに関連付けられたプロジェクト番号。

これらのコマンドは、指定された出力ファイルに構成ファイルを生成します。

URL ソースの OIDC Workforce Identity 構成を生成するには、次のコマンドを実行します。

 # Generate an OIDC configuration file for URL-sourced credentials.
gcloud iam workforce-pools create-cred-config 
    locations/global/workforcePools/ $WORKFORCE_POOL_ID /providers/ $PROVIDER_ID 
    --subject-token-type=urn:ietf:params:oauth:token-type:id_token 
    --credential-source-url= $URL_TO_RETURN_OIDC_ID_TOKEN 
    --credential-source-headers $HEADER_KEY = $HEADER_VALUE 
    --workforce-pool-user-project= $WORKFORCE_POOL_USER_PROJECT 
    --output-file=/path/to/generated/config.json

次の変数を置き換える必要がある場合:

$WORKFORCE_POOL_ID : 従業員プール ID。
$PROVIDER_ID : プロバイダー ID。
$URL_TO_RETURN_OIDC_ID_TOKEN : ローカルサーバーエンドポイントの URL。
$HEADER_KEYおよび$HEADER_VALUE : GET リクエストを$URL_TO_GET_OIDC_TOKENに渡す追加のヘッダーキーと値のペア (例: Metadata-Flavor=Google 。
$WORKFORCE_POOL_USER_PROJECT : 従業員プールのユーザープロジェクトに関連付けられたプロジェクト番号。

URL ソースの SAML 構成を生成するには、次のコマンドを実行します。

 # Generate a SAML configuration file for file-sourced credentials.
gcloud iam workforce-pools create-cred-config 
    locations/global/workforcePools/ $WORKFORCE_POOL_ID /providers/ $PROVIDER_ID 
    --subject-token-type=urn:ietf:params:oauth:token-type:saml2 
    --credential-source-url= $URL_TO_GET_SAML_ASSERTION 
    --credential-source-headers

拡大する

google auth library java

Google認証ライブラリ

クイックスタート

google-auth-library-oauth2-http

アプリケーションのデフォルト認証情報

アプリケーションのデフォルト認証情報の取得

明示的な資格情報のロード

偽装された認証情報

Workload Identity フェデレーション

AWS からのリソースへのアクセス

Microsoft Azureからリソースにアクセスする

OIDC ID プロバイダーからのリソースへのアクセス

OIDC および SAML での実行可能ファイルから取得された認証情報の使用

セキュリティに関する考慮事項

OIDC と SAML でカスタムサプライヤーを使用する

AWS でカスタムサプライヤーを使用する

構成可能なトークンの有効期間

Workforce Identity フェデレーション

OIDC または SAML 2.0 ID プロバイダーを使用したリソースへのアクセス

google noto emoji scraper

Instagram Video Downloader Library

closure library

google art downloader

グーグルマップ

ジェダイコードライブラリ

chat.petals.dev

GPT Prompt Templates

GPTyped

PrettyZoo

スプリングブートファイルマネージャー v1.0

redisson

MxJdf4

termwind

slugify

google auth library java

Google認証ライブラリ

クイックスタート

google-auth-library-oauth2-http

アプリケーションのデフォルト認証情報

アプリケーションのデフォルト認証情報の取得

明示的な資格情報のロード

偽装された認証情報

Workload Identity フェデレーション

AWS からのリソースへのアクセス

Microsoft Azureからリソースにアクセスする

OIDC ID プロバイダーからのリソースへのアクセス

OIDC および SAML での実行可能ファイルから取得された認証情報の使用

セキュリティに関する考慮事項

OIDC と SAML でカスタム サプライヤーを使用する

AWS でカスタム サプライヤーを使用する

構成可能なトークンの有効期間

Workforce Identity フェデレーション

OIDC または SAML 2.0 ID プロバイダーを使用したリソースへのアクセス

OIDC と SAML でカスタムサプライヤーを使用する

AWS でカスタムサプライヤーを使用する