Google Cloud Storage 接続

共通接続性

共通接続用の資産を作成するには、以下の接続詳細が必要です：

• プロジェクトID : プロジェクト Google の識別子。
• サーバープロキシ （オプション）

HTTPSプロキシサーバー経由でGoogle Cloud Storageデータソースにアクセスするには、Server proxyを選択します。 プロキシ サーバーは、設定に応じて、負荷分散、セキュリティの強化、プライバシー保護を提供できます。 プロキシ サーバーの設定は、認証資格情報や個人資格情報または共有資格情報の選択とは無関係です。 追加のセキュリティ対策として、 SSL 証明書を提供できます。 プロキシサーバーの設定を保管庫に保存することはできません。

• プロキシホスト : プロキシサーバーのホスト名またはIPアドレス。 例えば、 proxy.example.com や 192.0.2.0。
• プロキシポート : プロキシサーバーに接続するためのポート番号。 例えば、 8080 や 8443。
• プロキシユーザー名そしてプロキシパスワード。
• プロキシプロトコル ：プロキシサーバープロトコル。 または HTTP のいずれか HTTPS を選択してください。

共通接続性

一般的な接続のための認証方法：

アカウントキー（完全なJSONスニペット）

• 認証情報 : サービスアカウントキー Google のJSONファイルの内容。

クライアントID、 シークレット、アクセストークン、リフレッシュトークン

• クライアントID : OAuth のクライアントID。
• クライアントシークレットクライアントシークレットOAuth 。
• アクセストークン : に接続するために使用できる Google Cloud Storage アクセストークン。
• リフレッシュトークン : アクセスをリフレッシュするために使用されるリフレッシュトークン。

ワークロード ID フェデレーションを使用
認証に外部 ID プロバイダー (IdP) を使用します。 外部 ID プロバイダーは、サービス・アカウント・キーではなく、ID およびアクセス管理 (IAM) を使用します。 IAM は、セキュリティーを強化し、管理を一元化します。 ワークロード ID フェデレーション認証は、アクセストークンまたはトークンURLを使用して使用できます。

ワークロード ID フェデレーション用のGoogle BigQuery接続は、OpenIDConnect (OIDC) 仕様に準拠し、「外部IdPの準備」に記載されているGoogle Cloudの要件を満たす ID プロバイダと設定できます。 以下の要件があります。

• ID プロバイダーは、 OpenID Connect 1.0をサポートする必要があります。
• ID プロバイダーの OIDC メタデータおよび JWKS エンドポイントは、インターネット経由でパブリックにアクセス可能でなければなりません。 Google Cloud は、これらのエンドポイントを使用して ID プロバイダーの鍵セットをダウンロードし、その鍵セットを使用してトークンを検証します。
• ID プロバイダーは、ワークロードが以下の基準を満たす ID トークンを取得できるように構成されています。
  • トークンは、 RS256 または ES256 アルゴリズムで署名されます。
  • トークンには aud クレームが含まれています。

( AWS ) および Amazon Web Services のワークロードIDフェデレーション Microsoft Azure 設定手順の例については、

ワークロードIDフェデレーションとアクセストークン

• アクセス・トークン: BigQueryに接続するための ID プロバイダーからのアクセス・トークン。

• セキュリティー・トークン・サービスの対象者: プロジェクト ID、プール ID、およびプロバイダー ID を含むセキュリティー・トークン・サービスの対象者。 次の形式を使用します。

  //iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID
  

  詳細については、REST APIを使用したワークロードの認証を参照してください。

• サービス・アカウントの E メール: 偽名を使用する Google サービス・アカウントの E メール・アドレス。 詳細については、外部ワークロード用のサービスアカウントの作成を参照してください。

• サービス・アカウント・トークン存続時間 (オプション): サービス・アカウント・アクセス・トークンの存続時間 (秒単位)。 サービス・アカウント・アクセス・トークンのデフォルトの存続時間は 1 時間です。 詳細については、URLのクレデンシャルを参照してください。

• トークン・フォーマット: トークンを含む JSON 応答内のフィールドの名前のトークン・フィールド名を含むテキストまたは JSON。

• トークン・フィールド名: トークンが含まれている JSON 応答内のフィールドの名前。 このフィールドは、 「トークン形式」 が JSON の場合にのみ表示されます。

• トークンタイプ ： AWS Signature Version 4 リクエスト、 Google OAuth 2.0 アクセストークン、IDトークン、JSON Web Token (JWT)、または SAML 2.0。

トークンを使用したワークロードIDフェデレーション URL

• セキュリティー・トークン・サービスの対象者: プロジェクト ID、プール ID、およびプロバイダー ID を含むセキュリティー・トークン・サービスの対象者。 次の形式を使用します。

  //iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID
  

  詳細については、「REST API を使用してワークロードを認証する」を参照してください。

• サービス・アカウントの E メール: 偽名を使用する Google サービス・アカウントの E メール・アドレス。 詳細については、外部ワークロード用のサービスアカウントの作成を参照してください。

• サービス・アカウント・トークン存続時間 (オプション): サービス・アカウント・アクセス・トークンの存続時間 (秒単位)。 サービス・アカウント・アクセス・トークンのデフォルトの存続時間は 1 時間です。 詳細については、URLのクレデンシャルを参照してください。

• トークンURL：トークンを取得するためのURL。

• HTTPメソッド：トークンURLリクエストに使用するHTTPメソッド：GET、POST、またはPUT。

• リクエスト・ボディ（POSTまたはPUTメソッドの場合）：トークンを取得するためのHTTPリクエストのボディ。

• HTTPヘッダー: 'HTTPトークン 'URLリクエストのヘッダをJSONで、あるいはJSONボディで。 "Key1"="Value1","Key2"="Value2"という形式を使用します。

• トークン・フォーマット: トークンを含む JSON 応答内のフィールドの名前のトークン・フィールド名を含むテキストまたは JSON。

• トークン・フィールド名: トークンが含まれている JSON 応答内のフィールドの名前。 このフィールドは、 「トークン形式」 が JSON の場合にのみ表示されます。

• トークンタイプ ： AWS Signature Version 4 リクエスト、 Google OAuth 2.0 アクセストークン、IDトークン、JSON Web Token (JWT)、または SAML 2.0。

プラットフォーム用にデータ保管庫が構成され、サービスがデータ保管庫をサポートしている場合、 クレデンシャルにはシークレットを使用できます。 詳細は、「 接続でデータ保管庫の秘密を使用する 」を参照してください。

連邦情報処理標準（FIPS）への準拠

この接続はFIPSに準拠しており、FIPS対応のクラスターで使用可能です。