GCP PSEのサンプル問題（本番形式・解説付き）

解説

web and mobile app session length は Workspace アプリのセッションに対する設定で、Google Cloud のセッションとは別に設定します。したがって Google Cloud session length を変えても Workspace 側には反映されません。これらはいずれも Admin Console の設定で、Google Cloud の IAM 側の項目ではありません。web and mobile app session length は組織部門単位で設定できるため、変更の余地がないという説明も誤りです。

解説

ファイアウォールルールの送信元・宛先は、IP レンジではなく service account または secure tags で指定します。IP は変わるがアイデンティティは変わらないためです。サブネットの IP レンジによる指定は、まさにこの理由で避ける方法です。外部 IP アドレスは、そもそも各層の VM に外部 IP を持たせない設計と矛盾します。ロードバランサの転送ルールは入口の構成であり、層間のルールの対象指定ではありません。

解説

CMEK 導入時は、constraints/gcp.restrictNonCmekServices(CMEK 無しでのリソース作成を禁止)と constraints/gcp.restrictCmekCryptoKeyProjects(使える鍵プロジェクトを限定)を設定します。constraints/compute.requireOsLogin は OS Login を組織強制する制約です。constraints/storage.publicAccessPrevention は Cloud Storage の一般公開を禁じる制約です。constraints/sql.restrictPublicIp は Cloud SQL の公開 IP を禁止する制約です。

解説

Essential Contacts は、セキュリティ通知・技術通知・請求通知などのカテゴリ別に組織/フォルダ/プロジェクトの連絡先を登録し、Google からの脆弱性・不正利用の通知が確実に担当者へ届くようにする仕組みです。notification config は Security Command Center の finding を Pub/Sub に流す設定です。alerting policy は Cloud Monitoring で条件に応じて通知する仕組みです。Access Approval は Google の担当者のアクセスに承認を要求する仕組みで、通知の宛先を決めるものではありません。

解説

Access Approval では、承認要求がメールや Pub/Sub で届き、承認しなければアクセスできません。承認の署名に CMEK や EKM の鍵を使う構成もあります。Cloud Audit Logs だけに記録されるという説明は、通知経路が用意されている点と食い違います。Security Command Center の finding は脅威や誤設定の検出結果であり、承認要求の受け取り口ではありません。Compliance Reports Manager は Google の第三者監査報告書を入手する場所です。