Google Cloud サービス構成図

図中の 27 本の接続すべてに認証方式を付け、14 系統の索引から「なぜその接続を信頼できるか」を読めるようにしています。

サービスアカウントの鍵ファイルを 1 本も発行せず、CI は Workload Identity Federation、サービス間は OIDC で認証します。

権限はバケット・トピック・Secret などのリソース単位で付け、プロジェクト全体に付く権限を最小限に絞っています。

アップロードされたファイルを解析するサムネイル生成サービスには、ストレージ・データベース・Secret の権限を一切持たせていません。

隔離バケットは「消せるが読めない」主体と「借用したときだけ読める」主体に分け、通常のダウンロードの経路からは隔離したファイルを取り出せない形にしています。