Terraform で Cloud Run (認証あり) と Cloud Scheduler のサービス間認証

概要
チュートリアル
まとめ
エラー
1. Error creating service account: googleapi: Error 403: Identity and Access Management (IAM) API has not been used in project
2. The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.
参考

概要

Scheduler と Cloud Run のサービス間認証を有効化し、Scheduler から認証付き Cloud Run を実行する。

Cloud Run はデフォルト非公開で、リクエストで認証情報を提供しないとサービスにアクセスできない。
全許可もできるが認証ありにしたほうがセキュア。

チュートリアル

Terraform 準備

terraform init まで行う。

認証あり Cloud Run 作成

デフォルトで非公開設定のため、シンプルに作成する。

vi cloudrun.tf

resource "google_cloud_run_service" "default" {
  name     = "cloudrun-srv"
  location = "us-central1"

  template {
    spec {
      containers {
        image = "gcr.io/cloudrun/hello"
      }
    }
  }
}

output "url" {
    value = google_cloud_run_service.default.status[0].url
}

サービスアカウント作成

Cloud Run へのアクセス許可をもたせたサービスアカウントを作成する。

vi service_account.tf

resource "google_service_account" "run_invoker" {
  project      = var.project
  account_id   = "cloud-run-invoker-sa"
  display_name = "Cloud Run Invoker Service Account"
}

data "google_iam_policy" "admin" {
  binding {
    role = "roles/run.invoker"
    members = [
      "serviceAccount:${google_service_account.run_invoker.email}"
    ]
  }
}

resource "google_cloud_run_service_iam_policy" "policy" {
  location    = google_cloud_run_service.default.location
  project     = google_cloud_run_service.default.project
  service     = google_cloud_run_service.default.name

  policy_data = data.google_iam_policy.admin.policy_data
}

Cloud Scheduler 作成

service_account_email に上記のサービスアカウントを指定した Cloud Scheduler を作成する。

vi scheduler.tf

resource "google_cloud_scheduler_job" "job" {
  name             = "test-job"
  description      = "test http job"
  schedule         = "*/8 * * * *"
  time_zone        = "Asia/Tokyo"
  attempt_deadline = "320s"

  retry_config {
    retry_count = 1
  }

  http_target {
    http_method = "GET"
    uri         = google_cloud_run_service.default.status[0].url
    #body        = base64encode("{\"foo\":\"bar\"}")

    oidc_token {
      service_account_email = google_service_account.run_invoker.email
    }
  }
}