社内限定サービスの認証を Google Workspace でサクッと作る

ARANK

はじめにDress Code 株式会社でプロダクトエンジニアをしている@cottpanです。社内向けの小さな Web サービスを作るとき、毎回考慮しなければいけないのが認証です。実現したいことは「社内の人だけが見られればいい」とシンプルですが、毎回認証の部分を実装するのは手間になる上、退職者のアカウントを消し忘れるなどの運用コストにもつながります。今回、社内で HTML を共有するためのサービスを作る機会があり、認証は全部 Google Workspace に寄せて実装を行いました。通常の認証に加え、「CI からも叩きたい」「エージェントに API 経由でアクセスを許可したい」という要件が増えた場合に、Google OIDC、OAuth 同意画面、Workload Identity Federation、ドメイン全体の委任など理解しないといけない領域が増えます。この記事は、誰が、誰に、何を証明しているのか、実装の中で整理したものになります。なおこのサービス自体は設計と疎通確認まで終えた段階で、本番投入はこれからです。運用してみてどうだったか、という話は入っていません。TL;DR人のログインは Google OIDC。OAuth 同意画面を「内部」タイプにすると、Workspace 外のアカウントはログイン画面から先…