FACTUAL ACTIVITY RECORD · 実際の作業をもとにした活動記録
API Gateway service agentのIAM参照を決定的にする
nullableなprovider属性をやめ、project numberから公式形式を組み立てる
対象期間: —
目的
Terraformの部分適用でAPI Gateway service identityは作成されたが、providerがemail属性をnullで返し、Token Creator bindingのmemberを構築できなかった。作成依存を保ちながら、nullableな出力に頼らない必要があった。
実装
service identity導出で、API Gateway service agentのemailを確認済みproject numberと公式命名形式から生成するよう変更した。service identity resourceは作成順の依存として維持した。
runtime IAM policyは生成したservice agentへ、gateway専用service account上のToken Creatorだけをresource単位で付与する。infrastructure検証にはnullableなprovider属性への逆戻りを検出する検査を追加した。
図を描画しています…
確認したこと
確認結果
Terraform format、backend-free init、validate、GCP静的監査が成功した。
既存のIAM範囲を広げず、失敗箇所だけを決定的なmember参照へ置き換えた。
部分適用後の新planと実適用はcutoff時点では未確認だった。
完了とした根拠
公式形式からservice agentを一意に導出し、作成依存と最小IAM境界を静的検証できた時点で完了とした。