【要約】Cloud Run の公開サービス棚卸し、allUsers だけ見ていると漏れます [Qiita_Trend] | Summary by TechDistill
> Source: Qiita_Trend
Execute Primary Source
// Problem
セキュリティ担当者がCloud Runの公開リソースを棚卸しする際、IAMポリシーのallUsers権限のみを監視していると、意図しない公開サービスを見逃すリスクがある。設定の仕組みが二通りあることが原因である。
- ・背景：Cloud Runには、IAMによる権限付与と、サービス設定によるIAMチェック無効化の2通りの公開方法が存在する。
- ・課題：後者はIAMポリシーに何も記録されないため、gcloud asset search-all-iam-policies等の標準的な検索では検出できない。
- ・リスク：監査スクリプトの不備により、機密情報を含むサービスが公開されたまま放置される恐れがある。
// Approach
著者は、IAMポリシーの検索だけでは不十分であることを示し、リソースの構成情報を直接参照する手法を提案している。
- ・手法1：gcloud asset listを使用し、Cloud Runサービスの完全な構成情報を取得する。
- ・手法2：取得したJSONデータから、run.googleapis.com/invoker-iam-disabled: true というアノテーションを抽出・フィルタリングする。
- ・手法3：組織ポリシー constraints/run.managed.requireInvokerIam を活用し、設定自体を制限する。
// Result
2つの異なる公開方式を網羅的に検出できる運用フローを提示した。これにより、監査の精度が大幅に向上する。
- ・成果：allUsers検索とアノテーション確認を組み合わせることで、公開サービスの完全な可視化が可能になる。
- ・改善点：従来のIAMベースの監査では見落としていた、Google推奨の公開設定（方法①）も確実に捕捉できる。
- ・運用：大規模環境においても、スクリプトによる自動的なセキュリティチェックの精度が向上する。
Senior Engineer Insight
> セキュリティ監査の自動化において、「権限」のレイヤーだけでなく「構成」のレイヤーまで監視対象を広げる重要性を説いている。IAMポリシーに痕跡を残さない設定は、DRS環境下では必要不可欠だが、同時に監査の盲点となる。大規模なトラフィックを扱う現場では、こうした「設定の隠蔽性」を前提とした多層的な検知ロジックの構築が、ガバナンス維持の鍵となる。