G-gen の杉村です。Google Cloud（旧称 GCP）で、サービスアカウントから認証キーを作成しようとした際に サービスアカウントキーの作成が無効になっています 組織ポリシーの制約「iam.disableServiceAccountKeyCreation」が組織に適用されています。 と表示されてキーが作成できない場合の、対処法を紹介します。

事象とメッセージ

Google Cloud（旧称 GCP）で、サービスアカウントから認証キーを作成しようとした際に、以下のメッセージが表示され、サービスアカウントキーが作成できませんでした。

サービスアカウントキーの作成が無効になっています

組織ポリシーの制約「iam.disableServiceAccountKeyCreation」が組織に適用されています。

考えられる原因: 組織ポリシー管理者が、サービスアカウントキーに関連するセキュリティインシデントを防ぐために、この組織ポリシーを適用しました。また、「デフォルトで保護」の適用により、組織にポリシーが自動的に適用された可能性もあります。

推奨される次のステップ: サービスアカウントキーは、適切に管理しなかった場合、セキュリティリスクとなります。可能であれば、より安全な代替手段を選択してください。サービスアカウントキーで認証する必要がある場合は、組織の「組織ポリシー管理者」（roles/orgpolicy.policyAdmin）のロールを持つ管理者が「iam.disableServiceAccountKeyCreation」の制約を無効にする必要があります。

追跡番号: (英数字)

コンソールが英語版の場合、以下のようなメッセージです。

Service account key creation is disabled

Service account key creation is disabled

The organization policy constraint 'iam.disableServiceAccountKeyCreation' is enforced on your organization. Possible Causes: Your Organization Policy Administrator enforced the Organization Policy to prevent security incidents related to Service Account keys. Alternatively, your organization may have been automatically enforced with the policy as part of Secure by Default enforcements.

Recommended Next Steps: Service account keys are a security risk if not managed correctly. You should choose a more secure alternative whenever possible. If you must authenticate with a service account key, an administrator with the "Organization Policy Administrator" (roles/orgpolicy.policyAdmin) role on the organization needs to disable the "iam.disableServiceAccountKeyCreation" constraint.

Tracking number: (alphanumeric characters)

原因

この事象は、組織ポリシーの制約 iam.disableServiceAccountKeyCreation が組織レベル、フォルダレベルまたはプロジェクトレベルで有効化されているときに発生します。

組織のポリシーは、セキュリティや統制の向上のために、所定のルールを Google Cloud 環境全体に適用する仕組みのことです。組織のポリシーの詳細は、以下の記事を参照してください。

blog.g-gen.co.jp

iam.disableServiceAccountKeyCreation は、サービスアカウントキーの作成を禁止する制約です。この制約は、2024年初頭以降に作成された Google Cloud 組織ではデフォルトで有効化されています。それ以前に作成された組織でも、管理者が明示的にこの制約を有効化している場合は、この事象が発生します。

参考 : サービスアカウントキー作成の無効化

対処する前に

サービスアカウントキーは JSON フォーマットのテキストファイル（もしくは P12 形式のファイル）であり、流出の危険があります。そのため一般的にはサービスアカウントキーの使用は非推奨であり、代わりにプログラム動作基盤（Compute Engine VM や Cloud Run Service）にサービスアカウントをアタッチしたり、動作基盤が Google Cloud 以外なのであれば Workload Identity や Workforce Identity の使用が推奨されます。

2024年初頭以降に作成された Google Cloud 組織で iam.disableServiceAccountKeyCreation がデフォルトで有効化されているのは、リスクの高い手法であるサービスアカウントキーの使用を抑止するためです。

このエラーを解消する最も簡単な方法は、iam.disableServiceAccountKeyCreation 制約を無効化することですが、無効化を行う前に、本当にサービスアカウントキーを生成する必要があるのか、代わりにサービスアカウントのアタッチや Workload Identity で代用できないかを、十分ご検討ください。

なお Workload Identity とは、OIDC や SAML 2.0 を利用して、Amazon Web Services（AWS）や Microsoft Azure、Active Directory Federation Service 等の ID を使って Google Cloud に認証する仕組みです。