ローカル Terraform の Google Cloud 認証を ADC から 1Password + Service Account Impersonation に置き換える

./run.sh {環境名} {コマンド}
./run.sh dev plan
./run.sh prd apply

docker run -it --rm \
  -v $PWD:/work \
  -v $HOME/.config/gcloud:/.config/gcloud \
  -w /work \
  -e GOOGLE_APPLICATION_CREDENTIALS=/.config/gcloud/application_default_credentials.json \
  --entrypoint "/bin/sh" \
  hashicorp/terraform:$version \
  -c "cd environments/$environment && terraform $command"

# 1. 隔離した gcloud 設定ディレクトリを作成し、終了時の自動削除を仕込む
gcloud_tmp=$(mktemp -d -t terraform-gcloud-XXXXXX)
chmod 700 "$gcloud_tmp"
trap 'rm -rf "$gcloud_tmp"' EXIT
export CLOUDSDK_CONFIG="$gcloud_tmp"

# 2. 1Password から起点 SA キーを取得 (Touch ID で本人確認)
op_vault=$(op item get "$op_item" --format json | jq -er '.vault.name')
op read "op://${op_vault}/${op_item}/credential" > "$gcloud_tmp/bootstrap-key.json"

# 3. gcloud にアクティベート
gcloud auth activate-service-account --key-file="$gcloud_tmp/bootstrap-key.json"

# 4. Runner SA を impersonate して 1h 有効トークンを取得
#    トークンは export して docker には変数名のみ伝える (値が ps に露出しないようにするため)
export GOOGLE_OAUTH_ACCESS_TOKEN
GOOGLE_OAUTH_ACCESS_TOKEN=$(gcloud auth print-access-token \
  --impersonate-service-account="$runner_sa")

# 5. Terraform に環境変数で渡す (ファイルマウントなし)
docker run -e GOOGLE_OAUTH_ACCESS_TOKEN ...
# スクリプト終了時、step 1 で仕込んだ trap が gcloud_tmp を削除する

# === 環境ごとに変更 ===
PROJECT_ID="my-project-dev"          # 環境ごとの GCP プロジェクト ID に置き換える
ENV_LABEL="dev"                       # dev / stg / prd など、環境を識別するラベル

# === 以下は固定 ===
TFSTATE_BUCKET="${PROJECT_ID}-tfstate"
RUNNER_EMAIL="terraform-runner@${PROJECT_ID}.iam.gserviceaccount.com"
BOOTSTRAP_EMAIL="terraform-bootstrap@${PROJECT_ID}.iam.gserviceaccount.com"

gcloud config set project "$PROJECT_ID"

# Runner SA を作成
gcloud iam service-accounts create terraform-runner \
  --display-name="Terraform Runner ($ENV_LABEL)" \
  --description="Terraform 実行用 SA。bootstrap SA から impersonate される"

# Bootstrap SA を作成
gcloud iam service-accounts create terraform-bootstrap \
  --display-name="Terraform Bootstrap ($ENV_LABEL)" \
  --description="1Password に鍵を保管する起点 SA"

# Runner SA にプロジェクト管理権限を付与
# プロジェクトに既存の条件付きバインディングがあると対話プロンプトが出るため、
# --condition=None を明示しておくと非対話で進む
gcloud projects add-iam-policy-binding "$PROJECT_ID" \
  --member="serviceAccount:${RUNNER_EMAIL}" \
  --role="roles/owner" \
  --condition=None

# Runner SA に state バケットの権限を付与
gcloud storage buckets add-iam-policy-binding "gs://${TFSTATE_BUCKET}" \
  --member="serviceAccount:${RUNNER_EMAIL}" \
  --role="roles/storage.objectAdmin"

# Bootstrap SA に「Runner SA を impersonate する」権限のみ付与
gcloud iam service-accounts add-iam-policy-binding "$RUNNER_EMAIL" \
  --member="serviceAccount:${BOOTSTRAP_EMAIL}" \
  --role="roles/iam.serviceAccountTokenCreator"

# macOS の場合
brew install --cask 1password-cli

# === 環境ごとに変更 ===
PROJECT_ID="my-project-dev"
ENV_LABEL="dev"

# === 共通 ===
BOOTSTRAP_EMAIL="terraform-bootstrap@${PROJECT_ID}.iam.gserviceaccount.com"
KEY_FILE=$(mktemp -t bootstrap-${ENV_LABEL})

# 自分用のキーを発行
gcloud iam service-accounts keys create "$KEY_FILE" \
  --iam-account="$BOOTSTRAP_EMAIL"

# 1Password に保管 (JSON テンプレート + stdin で渡す)
jq -n \
  --arg title "tf-bootstrap-${ENV_LABEL}" \
  --rawfile cred "$KEY_FILE" \
  '{
    title: $title,
    category: "API_CREDENTIAL",
    fields: [
      {id: "credential", type: "CONCEALED", label: "credential", value: $cred}
    ]
  }' \
  | op item create -

# ローカルの一時ファイルは安全に削除
rm -P "$KEY_FILE"

gcloud auth application-default revoke
rm -f $HOME/.config/gcloud/application_default_credentials.json