feed-digest - #ai-agent

AIエージェントにGoogle Cloudの操作を任せるためのガードレール ─ Google Cloud PAMの導入

AJA DSPでは、AIエージェントに本番環境の操作を任せる範囲が広がる中、Editor/Admin等の強権限を定常付与する従来運用のリスクを見直し、Google Cloud PAM（Privileged Access Manager）によるJust-In-Time権限昇格へ移行した。作業目的ごとにentitlementをTerraformで管理し、申請・承認・自動剥奪のフローを整備。定常権限はViewerと最低限の参照・実行権限に絞り、書き込み・管理権限はPAM経由の一時付与に限定した。移行により「調査はできるが変更はできない」境界が明確になり心理的安全性が向上したほか、申請理由の言語化がチームのナレッジ蓄積にもつながった。一方でSlack通知に申請理由が表示されずConsoleでの承認操作が煩雑という課題も残る。