【IAM】AWSとGoogle Cloudのクラウド間認証の方法について整理してみる

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "accounts.google.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "accounts.google.com:oaud": "<audience値>",
          "accounts.google.com:sub": "<サービスアカウントの一意ID>"
        }
      }
    }
  ]
}

gcloud iam service-accounts describe <SERVICE_ACCOUNT_EMAIL> --format="value(uniqueId)"

# 出力例
123456789012345678901

import urllib.request
import urllib.parse

def get_google_identity_token():

    try:
        metadata_server = 'http://metadata.google.internal/computeMetadata/v1/'
        token_request_url = metadata_server + 'instance/service-accounts/default/identity'
        token_request_headers = {'Metadata-Flavor': 'Google'}

        params = {'audience': '<audience値>', 'format': 'full', 'include_email': 'true'}
        url = f"{token_request_url}?{urllib.parse.urlencode(params)}"

        req = urllib.request.Request(url, headers=token_request_headers)

        with urllib.request.urlopen(req) as response:
            identity_token = response.read().decode('utf-8')

        return identity_token

    except Exception as e:
        raise Exception(f"JWT取得エラー: {e}")

import boto3

def assume_aws_role(config):

    jwt_token = get_google_identity_token()

    sts_client = boto3.client('sts')
    response = sts_client.assume_role_with_web_identity(
        RoleArn='arn:aws:iam::<AWSアカウントID>:role/<ロール名>',
        RoleSessionName='<任意のセッション名>',
        WebIdentityToken=jwt_token
    )

    return response['Credentials']

"Condition": {
  "StringEquals": {
    "accounts.google.com:oaud": "<audience値>",
    "accounts.google.com:sub": [
      "<サービスアカウントの一意ID>",
      "<サービスアカウントの一意ID>",
      "<サービスアカウントの一意ID>"
    ]
  }
}

gcloud iam workload-identity-pools create <PoolのID> \
  --location="global" \
  --display-name="<Poolの表示名>" \
  --description="<Poolの説明>"

gcloud iam workload-identity-pools providers create-aws <ProviderのID> \
  --location="global" \
  --workload-identity-pool="<PoolのID>" \
  --account-id="<AWSアカウントID>" \
  --display-name="<Providerの表示名>" \
  --description="<Providerの説明>" \
  --attribute-mapping="google.subject=assertion.arn,attribute.aws_account=assertion.account,attribute.aws_role=assertion.arn.extract('assumed-role/{role}/')" \
  --attribute-condition="assertion.arn.startsWith('arn:aws:sts::<AWSアカウントID>:assumed-role/')"

gcloud iam service-accounts add-iam-policy-binding \
  <サービスアカウントのアドレス> \
  --role="roles/iam.workloadIdentityUser" \
  --member="principal://iam.googleapis.com/projects/<プロジェクト番号>/locations/global/workloadIdentityPools/<Pool名>/attribute.aws_role/<ロール名>"

gcloud iam workload-identity-pools create-cred-config \
    projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/<PoolのID>/providers/<providerのID> \
    --service-account=<サービスアカウントのアドレス> \
    --aws \
    --output-file=<FILEPATH.json>

import json
import boto3
from google.auth import aws
from google.cloud import storage

def lambda_handler(event, context):

    # Parameter Storeから認証構成を取得
    ssm = boto3.client('ssm')
    response = ssm.get_parameter(Name='<パラメータのpath>')
    config = json.loads(response['Parameter']['Value'])

    # AWS用の認証情報を生成
    credentials = aws.Credentials.from_info(config)

    # GCSクライアント作成
    client = storage.Client(
        credentials=credentials,
        project="<プロジェクトID>"
    )

    # バケット一覧を取得
    buckets = [bucket.name for bucket in client.list_buckets()]

    return {
        'statusCode': 200,
        'body': json.dumps({'buckets': buckets})
    }