Google Cloud認定 Professional Cloud Security Engineer WEB問題集

正解：B

この問題のポイントは、Identity-Aware Proxy (IAP) と Access Context Manager を組み合わせた「コンテキストに基づくアクセス制御」を理解しているかどうかです。

1. なぜ B が正しいのか:

   • IAP は単なる「ユーザー認証」だけでなく、Access Context Manager で定義した「アクセスレベル」を利用して、ユーザーの属性（グループ所属）やデバイスの属性、ネットワークの属性（IP アドレス）を評価できます。

   • 「AppDev グループのみ」という要件は IAM ロールで解決できますが、「内部 IP からのみ」という要件を組み合わせるには、アクセスレベル (Access Level) を作成し、それを IAP のポリシーに適用するのが Google Cloud のベストプラクティスです。

正解：C

この問題は、Secure Web Proxy (SWP) の基本的な仕組みと、クライアント側の設定（明示的プロキシ）に関する知識を問うものです。

1. なぜ C が正しいのか:

   • Google Cloud の Secure Web Proxy は、いわゆる「明示的プロキシ (Explicit Proxy)」として動作します。

   • クライアント（この場合は Linux インスタンス）がプロキシを経由するためには、OS やアプリケーションの環境変数（http_proxy や https_proxy など）にプロキシの IP アドレスやポート番号を明示的に設定する必要があります。

   • テストインスタンスでは成功し、開発者インスタンスで失敗している原因として、最も一般的なのは「クライアント側でプロキシを使用する設定が行われていない」ことです。

正解：D

この問題は、Cloud Logging における シンク（Sink）とバケット（Bucket）の柔軟性 に関する知識を問うものです。

1. なぜ D が正しいのか:

   • Google Cloud のログルーティングにおいて、_Default シンクは編集可能です。

   • 新しくシンクを作成（選択肢 A, B, C）するよりも、既存の _Default シンクの「送信先（Destination）」をデフォルトのバケットから新しいカスタムバケットへ変更する方が、設定の手間が少なく、最も効率的（most efficient manner） です。

   • これにより、現在 _Default シンクが受け取っているログの種類（フィルター条件）を維持したまま、保存先だけをスマートに変更できます。

正解：B

この問題は、Google Cloud における集中型セキュリティ管理プラットフォームである Security Command Center (SCC) の役割を問うものです。

1. なぜ B が正しいのか:

   • Security Command Center (SCC) は、組織レベルでリソースのセキュリティ状態を可視化する中心的なツールです。

   • その中の機能である Security Health Analytics は、公開されているバケット、ファイアウォールの不備、暗号化の欠如などの「誤設定」や「コンプライアンス違反」を自動的にスキャンするように設計されています。

   • SCC には標準でダッシュボードが備わっており、検出結果（Findings）を追跡し、修正状況を管理するのに最適です。

正解：C

この問題は、Google Cloud における機密データ（PII、認証情報、キーなど）の検出と保護に関する最適なツールを問うものです。

1. なぜ C が正しいのか:

   • Sensitive Data Protection (旧称 Cloud DLP) は、テキストやファイルの中からパスワード、API キー、クレジットカード番号などの機密データをスキャンして分類するための Google Cloud 専用サービスです。

   • 選択肢 C は、スキャンを自動化（1日に複数回）し、その結果を Security Command Center (SCC) に集約するという構成になっており、組織全体のセキュリティ管理プロセスとして最も標準的かつ効率的です。

   • Cloud DLP には、パスワードや秘密鍵などを検出するためのインフォタイプ（InfoType）が標準で備わっています。