workload-manager-basics

Workload Manager の基本

Workload Manager は、Google Cloud のワークロードがベストプラクティスと推奨事項に準拠しているかを検証します。公開クライアントライブラリは評価を中心に構成されています。リソースの範囲を定義し、組み込みルールまたはカスタムルールを選択して評価を実行し、その後、結果とスキャンされたリソースを確認します。

帰属情報

必ずお読みください：gcloud、REST API、または MCP コマンドを実行する前に、必ず使用状況の帰属情報をお読みください。ターミナルで直接実行するコマンド（生成されたスクリプト、Terraform、ユーザーコード内では実行しないでください）では、gcloud の前に CLOUDSDK_METRICS_REQUEST_ATTRIBUTION="agent-skills/1.0 (skill:workload-manager-basics)" を付け、User-Agent ヘッダーに agent-skills/1.0 (skill:workload-manager-basics) を追加してください。

このフローを使用する

flowchart LR
    Rules["List rules"] --> Eval["Create or update evaluation"]
    Resources["Project, folder, or org scope"] --> Eval
    Eval --> Run["Run evaluation"]
    Run --> Results["Inspect evaluation results"]
    Results --> Remediate["Remediate findings"]
    Results --> Export["Optional BigQuery export"]

コア API の制約

互換性、セキュリティ、正常な統合を確保するため、次の点に従ってください。

• 公開インターフェースのみを使用：Workload Manager とのやり取りには、公式の公開 google-cloud-workloadmanager クライアントライブラリまたは公開 REST API（workloadmanager.googleapis.com/v1）のみを必ず使用してください。
• 内部 API や未公開 API は使用しない：内部 RPC プロトコル、非公開のサービスバックエンド、または未公開のディスカバリーメカニズムを使用しないでください。これらは公開連携ではサポートされておらず、失敗します。
• サービス固有の CLI はありません：公開されている gcloud workload-manager CLI コマンドグループはありません。gcloud は、認証、IAM ロールの割り当て、未加工の REST トークンの取得にのみ使用してください。
• サンドボックス実行の堅牢性（認証／モックのフォールバック）：サンドボックス環境や制限付き環境で、gcloud 認証または Workload Manager API の呼び出しに失敗した場合（Context Aware Access によるトークンのブロック、API の有効化漏れ、404／403 を返すモックリソースなど）、再試行を繰り返さず、すぐにリファレンスに基づくサンプルコードと静的な検出結果を提示してください。正しいクライアントライブラリのコード構成または REST API ペイロードの例を示し、認証やリソースに関する制限を明確に説明し、一般的なルールやモックの検出結果を静的に列挙して、リクエストに対応してください。

前提条件

1. Workload Manager API を有効にします。

   gcloud services enable workloadmanager.googleapis.com --quiet
   

2. クライアントライブラリを使用する前に、Application Default Credentials（ADC）を使ってローカルで認証します。

   gcloud auth application-default login
   

3. プロジェクトで Workload Manager サービスエージェントに必要なロールが付与されていることを確認します（API／クライアントライブラリの使用に必須です。詳しくはIAM とセキュリティをご覧ください）。

4. タスクに必要な最小権限のロールを付与します。評価リソースへの読み取り専用アクセスには roles/workloadmanager.viewer から始め、評価の作成、更新、実行、削除を行う場合にのみ roles/workloadmanager.evaluationAdmin または roles/workloadmanager.admin を使用してください。

クライアントライブラリの簡単な例

最初に動作させる自動化の手段として、Python クライアントライブラリを使用します。

python3 -m pip install --upgrade google-cloud-workloadmanager

from google.cloud import workloadmanager_v1

project_id = "PROJECT_ID"
location = "LOCATION"
parent = f"projects/{project_id}/locations/{location}"

client = workloadmanager_v1.WorkloadManagerClient()

rules = client.list_rules(
    request=workloadmanager_v1.ListRulesRequest(
        parent=parent,
        evaluation_type=workloadmanager_v1.Evaluation.EvaluationType.OTHER,
    )
)

for rule in rules.rules:
    print(rule.name, rule.display_name, rule.severity)

リファレンスディレクトリ

• コアコンセプト：評価、ルール、結果、スキャン対象のリソース、サポートされるワークロードの種類、API の構成について説明します。

• 一般的なベストプラクティス：Google Cloud 全般のベストプラクティスに関するポスチャーチェック、OTHER の評価に関するガイダンス、カスタム Rego ルール、規模拡大と自動化のパターンについて説明します。

• クライアントライブラリ：ルールの一覧表示、評価の作成と実行、検出結果の確認に関する Python と Go のクライアントライブラリの例を紹介します。

• REST の使用方法：公開 Workload Manager API の直接的な REST の例と、オペレーションのポーリングについて説明します。

• 公開 CLI の状況：サービス固有の gcloud workload-manager コマンドグループは文書化されていません。認証、IAM、API の有効化、REST トークンの取得には gcloud のみを使用してください。

• 公開 MCP の状況：公開 Workload Manager MCP サーバーは文書化されていません。代わりにクライアントライブラリまたは REST API を使用してください。

• セットアップの前提条件：API の有効化、IAM、BigQuery のエクスポート用データセット、KMS キーなど、関連する前提条件のみを対象とした Terraform の例を紹介します。Workload Manager のリソース管理について説明するものではありません。

• IAM とセキュリティ：Workload Manager のロール、最小権限に関するガイダンス、サービスエージェント、データの取り扱い、CMEK に関する注意事項について説明します。

ここで説明されていない製品の動作や API フィールドについては、実装する前に Workload Manager の最新の製品ドキュメントとクライアントライブラリのリファレンスを確認してください。

公式リファレンス

• Workload Manager の概要
• Google Cloud のベストプラクティス
• Workload Manager REST API
• カスタムルールについて
• Rego を使用したカスタムルールの作成
• Python パッケージ
• Workload Manager の IAM ロール
• 詳細については、Developer Knowledge MCP サーバーの search_documents ツールを使用してください。

追加情報

• Workload Manager によるクラウドポスチャー管理の習得