出題範囲
- Setting up a cloud solution environment
- Planning and implementing a cloud solution
- Ensuring the successful operation of a cloud solution
- Configuring access and security
例題に挑戦
スキルサートのAIが生成した演習問題のサンプルです。アプリでは毎週新しい問題が追加されます。
例題1
Compute Engine インスタンス上で動作するアプリケーションに、特定の Cloud Storage バケット内のオブジェクトの読み取り権限のみを付与したいと考えています。Google の推奨事項に従い、最小権限の原則を適用してアクセスを構成する最適な方法はどれですか。
- プロジェクト レベルでアプリケーションに編集者（roles/editor）ロールを付与する。
- デフォルトの Compute Engine サービス アカウントを使用し、バケットの ACL を編集してアプリケーションにアクセスを許可する。
- 必要なバケットへの roles/storage.objectViewer ロールを持つカスタム サービス アカウントを作成し、そのサービス アカウントをインスタンスに割り当てる。
- バケットを公開設定にし、アプリケーションが認証なしでオブジェクトを取得できるようにする。
- インスタンスのアクセス スコープを「すべての Cloud API への完全なアクセス」に設定し、IAM ロールで権限を制限する。
解答と解説を見る
正解: 必要なバケットへの roles/storage.objectViewer ロールを持つカスタム サービス アカウントを作成し、そのサービス アカウントをインスタンスに割り当てる。
正解は「必要なバケットへの roles/storage.objectViewer ロールを持つカスタム サービス アカウントを作成し、そのサービス アカウントをインスタンスに割り当てる。」です。Google Cloud では、最小権限の原則に基づき、特定のタスクに必要な権限のみを持つカスタム サービス アカウントを使用することが推奨されます。プロジェクト全体の権限を付与する編集者ロールや、セキュリティリスクの高い公開設定、レガシーな手法であるアクセス スコープのみに頼る方法は推奨されません。また、バケット単位で IAM ロールを付与することで、他のバケットへの不要なアクセスを防ぐことができます。デフォルトのサービス アカウントは広範な権限を持っていることが多いため、個別のサービス アカウントを作成するのがベストプラクティスです。
例題2
組織全体のセキュリティを管理しています。組織内のすべてのプロジェクトにわたって監査ログを表示する権限をセキュリティ チームに付与する必要があります。管理の手間を最小限に抑えつつ、これを実現する方法はどれですか。
- 各プロジェクトの IAM ページで、セキュリティ チームのメンバーを 1 人ずつ「閲覧者」ロールに追加する。
- 各プロジェクトに新しいサービス アカウントを作成し、セキュリティ チームのローカル PC にその鍵を配布する。
- 組織レベルでセキュリティ チームのグループに「編集者」ロールを付与する。
- セキュリティ チームの Google グループを作成し、組織レベルでそのグループに「ログ閲覧者（roles/logging.viewer）」ロールを付与する。
- 各プロジェクトで「ログ閲覧者」ロールを持つカスタム ロールを作成し、手動で割り当てる。
解答と解説を見る
正解: セキュリティ チームの Google グループを作成し、組織レベルでそのグループに「ログ閲覧者（roles/logging.viewer）」ロールを付与する。
正解は「セキュリティ チームの Google グループを作成し、組織レベルでそのグループに「ログ閲覧者（roles/logging.viewer）」ロールを付与する。」です。IAM の管理において、個々のユーザーに直接ロールを付与するのではなく、Google グループを使用して管理することが推奨されます。また、複数のプロジェクトを抱える組織の場合、組織レベルでロールを付与することで、その下位にあるすべてのフォルダやプロジェクトに権限が継承されるため、管理の手間を大幅に削減できます。「編集者」ロールは権限が強すぎるため最小権限の原則に反します。各プロジェクトで個別設定を行う方法は、プロジェクト数が増えた際の運用負荷が高くなるため不適切です。
Associate Cloud Engineerの対策はアプリで
AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
