Google Cloud Storage HMAC 資格情報
AutoSSL で Google Cloud Storage の HMAC 資格情報を管理し、使う方法です。
概要
AutoSSL から Cloud Storage への S3 互換リクエストを認証するには、Google Cloud Storage の HMAC 資格情報が必要です。HMAC 資格情報を追加すると、Cloud Storage バケットへの SSL 証明書ファイルのアップロードを AutoSSL に委任できます。
HMAC キーは Cloud Storage の S3 互換 XML API でのみ使えます。この資格情報の種類では、サービスアカウントの JSON キーファイルは使えません。
設定パラメーター
| パラメーター | 説明 |
|---|---|
| HMAC アクセス ID | Cloud Storage の HMAC Access ID です。通常は GOOG で始まります。 |
| HMAC シークレット | 対応する HMAC Secret です。AutoSSL に保存する前に暗号化されます。 |
重要
あとから HMAC Secret を変更する場合は、シークレット全体を再度入力する必要があります。
HMAC 資格情報の取得方法
- Google Cloud Console にログインします。
- Cloud Storage > Settings > Interoperability を開きます。
- Service account HMAC keys で Create a key for a service account をクリックします。
- HMAC キーを所有するサービスアカウントを選び、Create key をクリックします。
- Access key と Secret をコピーし、AutoSSL の HMAC Access ID と HMAC Secret に貼り付けます。
詳しくは Google Cloud documentation on managing HMAC keys を参照してください。
セキュリティ上の推奨
HMAC 資格情報をより安全に使うため、次の運用を強く推奨します。
- サービスアカウントを使う: ユーザーアカウントではなく、専用のサービスアカウントに HMAC キーを作成します。
- 最小権限: 対象バケットに必要な権限だけをサービスアカウントに付与します（例: 特定のバケットプレフィックスに対する
storage.objectCreator）。 - 定期的なローテーション: HMAC キーを定期的にローテーションし、漏えい時の影響を小さくします。
対応しているデプロイ先
Google Cloud Storage の HMAC 資格情報は、AutoSSL の次のデプロイプロバイダーで使われます。
- Google Cloud Storage: バージョン付きパスと latest パスで、証明書ファイルを Cloud Storage バケットにアップロードします。