PCSE#4(access)
AWS EC2 上で稼働する CI システムから GCP の Artifact Registry に push したいです。鍵不要で実現する仕組みはどれですか。
正解：C
正解の根拠
Workload Identity Federation により AWS の STS トークンを GCP が信頼し、Service Account を権限借用できます。鍵管理が不要です。
| 要素 | 役割 |
|---|---|
| Workload Identity Pool | 外部 ID の受け皿 |
| AWS Provider | aws:arn を主体属性化 |
| SA impersonation | GCP API 実行 |
不正解の理由
- B: 鍵を保存する時点でリスクが残ります。
- A: 踏み台経由は監査・自動化に不向きです。
- D: ユーザー作成は人間 ID 用の運用です。
参考：WIF with AWS
コメント