Cloud Build 完全ガイド｜CI/CD・cloudbuild.yaml・Private Pool・GitHub 連携

Cloud Build は GCP のマネージド CI/CD サービスで、Docker ベースの Step を並べて任意のビルド・テスト・デプロイパイプラインを実装できます。 GCP リソースとの統合が深く、Workload Identity による安全な認証、Private Pool による VPC 内ビルドが特徴です。

主要コンセプト

• Build: 1 回のパイプライン実行
• Step: ビルドの 1 工程 (Docker Image として実行)
• Trigger: ビルドを起動する条件 (push / PR / Pub/Sub)
• Worker Pool: Default / Private Pool
• Substitutions: ビルド時変数 ($PROJECT_ID / $BRANCH_NAME 等)

cloudbuild.yaml 例

steps:
# 1. テスト
- name: 'node:20'
  entrypoint: 'npm'
  args: ['test']

# 2. Docker ビルド
- name: 'gcr.io/cloud-builders/docker'
  args: ['build', '-t', 'asia-northeast1-docker.pkg.dev/$PROJECT_ID/myrepo/app:$SHORT_SHA', '.']

# 3. Artifact Registry に push
- name: 'gcr.io/cloud-builders/docker'
  args: ['push', 'asia-northeast1-docker.pkg.dev/$PROJECT_ID/myrepo/app:$SHORT_SHA']

# 4. Cloud Run にデプロイ
- name: 'gcr.io/google.com/cloudsdktool/cloud-sdk'
  entrypoint: 'gcloud'
  args:
  - 'run'
  - 'deploy'
  - 'my-app'
  - '--image=asia-northeast1-docker.pkg.dev/$PROJECT_ID/myrepo/app:$SHORT_SHA'
  - '--region=asia-northeast1'

options:
  machineType: 'E2_HIGHCPU_8'
  logging: CLOUD_LOGGING_ONLY

timeout: '1200s'

Worker Pool 種別

料金 (Default Pool)

セキュリティベストプラクティス

• Workload Identity Federation: GitHub Actions ↔ GCP 認証 (SA キー不要)
• Binary Authorization: 署名済みイメージのみデプロイ許可
• Cloud Build SLSA Level 3: ビルドの来歴・改ざん検知
• Provenance: ビルド時のメタデータ自動生成
• Secret Manager 統合: API キー安全管理
• Private Pool + VPC SC: 機密ビルドの隔離

典型的なパイプライン構成

1. GitHub に push
2. Cloud Build トリガー起動
3. テスト実行 (lint / unit / integration)
4. Docker ビルド + Cosign 署名
5. Artifact Registry に push
6. Binary Authorization 検証
7. Cloud Deploy にリリース送信 (Dev → Staging → Prod)
8. 各環境で承認 + Canary デプロイ
9. Cloud Monitoring で SLO 監視

他 CI/CD 比較

※ Google Cloud は Google LLC の商標です。最新情報は Cloud Build 公式 をご確認ください。