GKE Autopilot vs Standard 徹底比較｜Google Kubernetes Engine の選び方と料金

Google Kubernetes Engine (GKE) は Google が提供するマネージド Kubernetes サービスで、Autopilot (フルマネージド) と Standard (柔軟性重視) の 2 モードを選べます。本記事では両モードの違い、料金、Cloud Run / GKE Enterprise との関係、Workload Identity による権限管理まで体系的にまとめます。

Autopilot vs Standard 比較表

項目	Autopilot	Standard
ノード管理	Google 全面管理	ユーザー管理
料金単位	Pod の vCPU / メモリ / ストレージ時間	VM ノード時間 + $0.10/h クラスタ管理料
SLA	99.95% (リージョン) / 99.9% (ゾーン)	99.95% / 99.9%
自動アップグレード	必須	オプション
特権コンテナ	不可	可
HostNetwork / HostPath	不可	可
DaemonSet	制限あり	自由
GPU / TPU	一部対応	フル対応
Windows ノード	不可	可
主用途	標準 Web / API ワークロード	カスタム要件、GPU、Windows

料金比較例 (us-central1, 2026)

Autopilot: vCPU $0.0446/h、メモリ $0.0049/GiB/h、Pod 単位
Standard: e2-medium ノード $0.024/h × ノード数 + クラスタ管理料 $0.10/h
無料枠: Standard のゾーンクラスタ 1 つは管理料無料 (リージョンクラスタは有料)

Workload Identity

Kubernetes ServiceAccount を Google Service Account にマッピングして、Pod 単位で GCP API 認証を行う仕組み。従来の Node SA キー利用 / metadata server 経由より安全で、最小権限を Pod ごとに設定できます。

# Kubernetes SA を作成
kubectl create serviceaccount my-ksa

# Google SA と紐づけ
gcloud iam service-accounts add-iam-policy-binding \
  --role=roles/iam.workloadIdentityUser \
  --member="serviceAccount:PROJECT.svc.id.goog[NAMESPACE/my-ksa]" \
  [email protected]

# Pod の SA を Annotation で関連付け
kubectl annotate serviceaccount my-ksa \
  iam.gke.io/[email protected]

セキュリティベストプラクティス

Workload Identity で Pod 単位 IAM
Binary Authorization で署名イメージのみデプロイ
Pod Security Standards (Baseline / Restricted)
Network Policy で Pod 間通信制御
Shielded GKE Nodes (Secure Boot + Integrity Monitoring)
Cloud KMS で etcd 暗号化 (Application-layer Secrets Encryption)
VPC Service Controls で API 持ち出し防止
Private Cluster + Authorized Networks

GKE Enterprise (旧 Anthos)

Multi-Cluster Management: フリート (Fleet) でクラスタ統合管理
Config Management: GitOps で構成同期
Policy Controller: OPA Gatekeeper ベースのポリシー強制
Anthos Service Mesh: Istio マネージド (mTLS / トラフィック制御)
マルチクラウド: GKE on AWS / Azure / オンプレ (VMware / Bare Metal)

Cloud Run / GKE 使い分け

要件	推奨
シンプルな Web API / マイクロサービス	Cloud Run
StatefulSet / DaemonSet が必要	GKE
Kubernetes API でカスタム制御	GKE
マルチクラスタ / マルチクラウド	GKE Enterprise
GPU 機械学習ワークロード	GKE Standard
ゼロ → スケール、コスト最適化	Cloud Run / GKE Autopilot

運用ベストプラクティス

Release Channel を Stable に設定 (本番)
Maintenance Window で業務時間外アップグレード
HPA (Horizontal Pod Autoscaler) + VPA (Vertical) + CA (Cluster Autoscaler)
Resource Requests / Limits 必須設定
Cloud Monitoring + Managed Service for Prometheus でメトリクス
Cloud Logging で集中ログ
Cloud Deploy で Canary / Blue-Green

Autopilot と Standard どちらを選ぶべき？

新規プロジェクトは Autopilot 推奨。Node 管理不要 + Pod 単位課金 + 自動アップグレード。Standard はノードプール細制御、DaemonSet 自由配置、GPU カスタムが必要な場合のみ。

料金体系の違いは？

Autopilot は Pod の vCPU / メモリ / ストレージ時間で課金。Standard は VM ノードの時間課金 + 管理料 ($0.10/h/cluster)。少量ワークロードは Autopilot が安い、ノード稼働率高なら Standard が安い。

Autopilot で使えない機能は？

ノード SSH、特権コンテナ、HostNetwork、HostPath、GPU の一部、Windows ノード等。詳しくは公式の制限一覧を確認。

Cloud Run と GKE どちらを使う？

シンプルなマイクロサービスは Cloud Run、Kubernetes API / StatefulSet / 複雑なオーケストレーション必要時は GKE。両方を組み合わせるのも一般的。

GKE Enterprise (旧 Anthos) とは？

マルチクラスタ管理、Config Management、Policy Controller、Service Mesh (Anthos Service Mesh)、マルチクラウド (AWS / Azure / オンプレ) を統合管理するエンタープライズ機能。

Workload Identity とは？

Kubernetes ServiceAccount を Google Service Account にマッピングして GCP API 呼び出し権限を付与。Pod ごとに最小権限を実現する標準的なベストプラクティス。

クラスタアップグレード戦略は？

Release Channel (Rapid / Regular / Stable) で自動アップグレード。Stable は最新版から数ヶ月遅れで安定性重視。Maintenance Window で時間帯指定可能。

セキュリティはどう設計する？

Workload Identity、Binary Authorization、Pod Security Standards、Network Policy、Shielded GKE Nodes、Cloud KMS で etcd 暗号化、VPC SC で API レイヤ保護。

この記事で学んだ内容を問題で確認しましょう

16,000問以上の問題で実力チェック

GCP 試験対策ページを見る

この記事の著者

NicheeLab編集部

データエンジニアリング・クラウド資格の専門家。Databricks・Snowflake等の認定資格を保有し、実務経験に基づいた問題作成・解説を行っています。NicheeLab運営。