GCP PSEのサンプル問題（本番形式・解説付き）

解説

organization は resource hierarchy の最上位で、これが無いと組織全体に効くポリシーを張れません。organization リソースは Cloud Identity(または Google Workspace)でドメインを検証すると自動的に作られます。プロジェクト単位で同じ設定を配って回るのは一括の制約になりませんし、Organization Administrator は organization が存在しなければ付与先がありません。監査ログの転送は逸脱の検知であって制約を張る手段ではありません。organization リソースはドメイン検証で自動生成されるものであり、手作業では作れません。

解説

Domain restricted sharing は、自社の Cloud Identity 顧客 ID(customer ID)以外のプリンシパルに IAM を付けられなくする制約で、外部の Gmail アカウントへの誤付与を構造的に止めます。IAM で個別に削除する運用と監査ログでの検知は、いずれも権限が付いた後に動く事後の対策であり、予防を問われた場面では誤りになります。transfer tool for unmanaged users は自社ドメインで作られてしまった未管理アカウントを取り込む道具であり、外部ドメインのプリンシパルへの付与自体を止めるものではありません。

解説

simulated sync(シミュレーション モード)は、実際に反映する前に差分を確認できる機能で、大量削除事故を防ぐため本番前に必ず実行します。GCDS はオンプレミスから Cloud Identity への一方向の同期であり、双方向にはできません。GCDS はオンプレ側のネットワーク内で動き、アウトバウンドの HTTPS のみで Google に接続するため、受信ポートを開ける必要はありません。パスワードは既定では同期せず、ハッシュ同期は差分確認の手段でもありません。

解説

SSO プロファイルは組織全体だけでなく組織部門(OU)やグループ単位で別々に割り当てられ、移行期の段階適用に使えます。Sign-in page URL・Sign-out page URL・verification certificate(IdP の署名証明書)は SSO プロファイルの登録項目であって、適用範囲を分ける仕組みではなく、証明書をユーザーへ配って回るものでもありません。super administrator が SSO をバイパスするのは IdP 障害時の非常口としての性質であり、一般ユーザーを特権管理者にするのは組織全体を掌握できるアカウントを増やすことになります。

解説

super administrator にはフィッシング耐性が最も高い security key(ハードウェア キー)による 2-step verification を必須にします。SMS は 2-step verification の中で最も弱い方式です。復旧用の電話番号・メールはロックアウト時の唯一の経路として最新に保つべきものですが、日常のログインの多要素として使う手段ではありません。super administrator は1名だとロックアウトで組織が凍るため複数名(推奨2〜3名)用意するものであり、免除は保護の強化になりません。