Google Workspaceで社内認証を最短実装する設計整理

本紙が書いた要約がまだありません。他サイトの要約をそのまま載せることはしません。

• Google WorkspaceのIDトークン署名検証にはJWKSを使用し、hdクレームでドメイン所属を確認する設計。
• 社内HTML共有サービスで、人・機械・CIの3つの認証経路をGoogle OIDCとWorkload Identity Federationで実装。
• 人のログインはGoogle OIDCと「内部」タイプのOAuth同意画面で、社外アカウントのアクセスを初期段階で遮断。
• GCPへのアクセスはWorkload Identity Federationとドメイン全体の委任で鍵レス化し、管理者権限をサービスアカウントに付与。