AI エージェント経由で Google Cloud CLI を安全に使う — 鍵を捨て、権限借用とコマンドブローカーで固める多層防御

AI エージェントにシェルと Google Cloud の認証情報を同時に渡すと、プロンプトインジェクション一発が gcloud の誤実行に化け、権限変更やデータ持ち出しへ直結します。短期クレデンシャルと最小権限という Google の公式ガイダンスは方向として正しい。ただしサービス アカウント キーは漏えい時の持続性が高く、エージェント側の deny ルールは敵対的な回避に耐えません。唯一の信頼できる強制境界は IAM・組織ポリシー・OS サンドボックスである、という前提に立って、認証・権限・実行・承認・監査の五層で守りを重ね、入力ひとつの掌握では本番に届かない設計を、端から端まで組み立てます。

Google Cloud の権限をチーム単位で付与する — アクセスグループとフォルダの二軸設計

「フォルダで切るか、グループアドレスで渡すか」は二択ではありません。フォルダはスコープ、グループはプリンシパルという二軸として設計するのが Google Cloud IAM の正解です。

Google Vertex AIでエラーコード429 (Resource Exhausted) が出たのでlocationを`global`に変更した

Vertex AIで開発中に突然のエラーコード429。「リソースが枯渇しています」と言われても困りますよね。この記事では、APIエンドポイントのロケーションを`us-central1`から`global`へ変更するだけで、この問題を解決できた方法を紹介します。