ACE#2(access-security)
ある SaaS 企業では、Compute Engine VM 上で動作するアプリケーションが BigQuery にクエリを実行する必要があります。長期鍵の管理リスクを避けつつ、認証情報を安全に管理する方法は何ですか？
正解：B
正解の根拠
Compute Engine VM にサービスアカウントを直接アタッチすると、メタデータサーバー経由で短命なアクセストークンが自動取得されます。アプリケーションは Application Default Credentials を使用するだけで、鍵ファイルを保存せず安全に Google Cloud API を呼び出せます。鍵漏洩リスクとローテーション運用が不要になるため、Google が推奨する方式です。
サービス比較
| 項目 | 正解 (アタッチ方式) | 不正解 (鍵ファイル) |
|---|---|---|
| 鍵管理 | 不要 | 必要 (ローテーション) |
| 漏洩リスク | 低 (短命トークン) | 高 (長期鍵) |
不正解の理由
- A: 鍵をメタデータに保存しても長期鍵である事実は変わらず、漏洩時の影響範囲が大きいです。
- C: ユーザー認証情報の VM 保存はセキュリティポリシー違反となり監査要件を満たしません。
- D: OAuth クライアント ID はエンドユーザー認可向けで、サーバー間認証には不適切です。
コメント