• ホーム
  • ブログ
  • ベストGoogle Professional-Cloud-Security-Engineer日本語学習ガイドと問題集は2026年更新 [Q45-Q67]

ベストGoogle Professional-Cloud-Security-Engineer日本語学習ガイドと問題集は2026年更新 [Q45-Q67]

Share

ベストGoogle Professional-Cloud-Security-Engineer日本語学習ガイドと問題集は2026年更新

トップクラスGoogle Professional-Cloud-Security-Engineer日本語試験最先端学習ガイド！練習問題バージョン

質問 # 45
Security Command Center (SCC) を使用してワークロードを保護し、社内のセキュリティ侵害の疑いがある場合にアラートを受信して​​います。暗号通貨マイニング ソフトウェアを検出する必要があります。
どの SCC サービスを使用すればよいですか?

  • A. コンテナ脅威検出
  • B. 仮想マシンの脅威検出
  • C. 迅速な脆弱性検出
  • D. Web セキュリティ スキャナー

正解：B

解説：
https://cloud.google.com/security-command-center/docs/concepts-vm-threat-detection- overview#overview


質問 # 46
ユーザーに代わってユーザーの Google ドライブにアクセスする必要がある内部 App Engine アプリケーションを作成しています。あなたの会社は、現在のユーザーの資格情報に依存したくありません。また、Google が推奨するプラクティスにも従いたいと考えています。
あなたは何をするべきか？

  • A. 新しいサービス アカウントを作成し、すべてのアプリケーション ユーザーにサービス アカウント ユーザーの役割を付与します。
  • B. 専用の G Suite 管理者アカウントを使用し、これらの G Suite 資格情報でアプリケーションの操作を認証します。
  • C. 新しいサービス アカウントを作成し、すべてのアプリケーション ユーザーを Google グループに追加します。このグループにサービス アカウント ユーザーの役割を与えます。
  • D. 新しいサービス アカウントを作成し、それに G Suite ドメイン全体の委任を付与します。アプリケーションでそれを使用して、ユーザーを偽装します。

正解：D

解説：
Explanation
https://developers.google.com/admin-sdk/directory/v1/guides/delegation


質問 # 47
組織では、多くのオープンソース プロジェクトに関係するソフトウェアを開発しており、ソフトウェア サプライ チェーンの脅威を懸念しています。ソフトウェアが改ざんされていないことを証明するために、ビルドの来歴を提供する必要があります。
何をすべきでしょうか?

  • A. * 1. ソフトウェア コードを GitHub でオープン ソースとして公開します。* 2. バグ報奨金プログラムを確立し、オープン ソース コミュニティに脆弱性の確認、報告、修正を奨励します。
  • B. * 1. 外部監査人を雇ってレビューと出所の提供を依頼します。* 2. 範囲と条件を定義します。* 3.
    セキュリティ部門または担当者からサポートを受けます。*4. 証明書を公開 Web ページに公開します。
  • C. * 1- Cloud Build を使用して、ソフトウェア アーティファクトのサプライ チェーン レベル (SLSA) レベル 3 保証を生成します。* 2. Google Cloud コンソール内のセキュリティ分析情報サイドパネルでビルドの起源を表示します。
  • D. * 1. ソフトウェア プロセスを確認します。* 2. 秘密キーと公開キーのペアを生成し、Pretty Good Privacy (PGP) プロトコルを使用して、企業の住所と連絡先を含むファイルとともに、出力ソフトウェア成果物に署名します。* 3. PGP 署名された証明書を公開 Web ページに公開します。

正解：C

解説：
* Generate Supply Chain Levels for Software Artifacts (SLSA) level 3 assurance by using Cloud Build:
SLSA is a framework for ensuring the integrity of software artifacts. By using Cloud Build, you can automate the build process and generate SLSA level 3 compliance, which includes verifiable build steps and provenance.
* View the build provenance in the Security insights side panel within the Google Cloud console: The build provenance provides a detailed history of how the software was built, including the source code, build process, and any dependencies. This information is accessible through the Security insights side panel in the Google Cloud console, allowing you to verify the integrity and authenticity of your software artifacts.
References
* Supply Chain Levels for Software Artifacts (SLSA) documentation
* Cloud Build documentation
* Security insights in Google Cloud console


質問 # 48
組織のゼロ トラスト戦略の一環として、Identity-Aware Proxy (IAP) を使用して複数のアプリケーションを保護します。侵入の可能性を警告するために、ログをセキュリティ情報およびイベント管理 (SIEM) システムに取り込む必要があります。
どのログを分析する必要がありますか?

  • A. Cloud Identity ユーザー ログ イベント
  • B. ポリシー拒否監査ログ
  • C. 管理アクティビティ監査ログ
  • D. データアクセス監査ログ

正解：D

解説：
The data_access log name only appears if there was traffic to your resource after you enabled Cloud Audit Logs for IAP.
Click to expand the date and time of the access you want to review.
Authorized access has a blue i icon.
Unauthorized access has an orange !! icon.
https://cloud.google.com/iap/docs/audit-log-howto


質問 # 49
あなたは、Google Cloud 上のパブリック アプリケーションに対する一般的なウェブ アプリケーション攻撃に対する外部ウェブ アプリケーション保護を実装する任務を負っています。これらのポリシーの変更を適用する前に検証する必要があります。どのサービスを使用する必要がありますか?

  • A. ドライラン モードの VPC Service Controls
  • B. プレビュー モードでの Google Cloud Armor の事前構成済みルール
  • C. Cloud Load Balancing ファイアウォール ルール
  • D. Google Front End (GFE) 固有の保護機能
  • E. 監視モードで事前設定された VPC ファイアウォール ルール

正解：B

解説：
Reference:
You can preview the effects of a rule without enforcing it. In preview mode, actions are noted in Cloud Monitoring. You can choose to preview individual rules in a security policy, or you can preview every rule in the policy. https://cloud.google.com/armor/docs/security-policy-overview#preview_mode


質問 # 50
エンベロープ暗号化を使用してデータを暗号化する手順は?

  • A. キー暗号化キー (KEK) をローカルで生成します。
    データ暗号化キー (DEK) をローカルで生成します。KEK を使用してデータを暗号化します。
    暗号化されたデータとラップされた DEK を保存します。
  • B. キー暗号化キー (KEK) をローカルで生成します。
    KEK を使用して、データ暗号化キー (DEK) を生成します。DEK を使用してデータを暗号化します。
    暗号化されたデータとラップされた DEK を保存します。
  • C. データ暗号化キー (DEK) をローカルで生成します。
    キー暗号化キー (KEK) を使用して DEK をラップします。KEK を使用してデータを暗号化します。
    暗号化されたデータとラップされた KEK を保存します。
  • D. データ暗号化キー (DEK) をローカルで生成します。
    DEK を使用してデータを暗号化します。
    キー暗号化キー (KEK) を使用して DEK をラップします。暗号化されたデータとラップされた DEK を保存します。

正解：D

解説：
The process of encrypting data is to generate a DEK locally, encrypt data with the DEK, use a KEK to wrap the DEK, and then store the encrypted data and the wrapped DEK. The KEK never leaves Cloud KMS. https://cloud.google.com/kms/docs/envelope-encryption#how_to_encrypt_data_using_envelope_encryption


質問 # 51
標準ネットワーク層を使用している間、デフォルトでクライアント IP を維持するには、どのタイプのロード バランサーを使用する必要がありますか?

  • A. SSL プロキシ
  • B. TCP プロキシ
  • C. 内部 TCP/UDP
  • D. TCP/UDP ネットワーク

正解：D

解説：
* Use the TCP/UDP Network Load Balancer:
* TCP/UDP Network Load Balancer maintains the client IP address by default when forwarding traffic to backends.
* Configure a TCP/UDP Network Load Balancer with appropriate backend services and health checks.
* Ensure that the load balancer is using the standard network tier to comply with the requirements.
References:
TCP/UDP Network Load Balancing
Network Service Tiers


質問 # 52
貴社は業界固有の規制に従う必要があります。そのため、org1 という組織内のすべての新しい Cloud Storage リソースに顧客管理暗号鍵（CMEK）を適用する必要があります。
どのようなコマンドを実行する必要がありますか?

  • A. * organization policy: constraints/gcp.restrictStorageNonCraekServices
    * binding at: orgl
    * policy type: deny
    * policy value: storage.gcogleapis.com
  • B. * organization policy: constramts/gcp.restrictNonCmekServices
    * binding at: orgl
    * policy type: allow
    * policy value: storage.googleapis.com
  • C. * organization policy:constraints/gcp.restrictStorageNonCraekServices
    * binding at: orgl
    * policy type: allow
    * policy value: all supported services
  • D. * organization policy: constraints/gcp.restrictHonCmekServices
    * binding at: orgl
    * policy type: deny
    * policy value: storage.googleapis.com

正解：B

解説：
Requirement:
Enforce the use of Customer-Managed Encryption Keys (CMEK) for all new Cloud Storage resources in the organization.
Policy Constraint:
Use the constraints/gcp.restrictNonCmekServices constraint to enforce CMEK usage.
Policy Type and Value:
Set the policy type to allow to specify which services must use CMEK.
In this case, the policy value should be storage.googleapis.com to target Cloud Storage.
Command:
Applying the organization policy with the appropriate binding ensures that all new Cloud Storage resources under the organization will require CMEK.
Steps:
Step 1: Go to the Google Cloud Console.
Step 2: Navigate to the Organization Policies page.
Step 3: Apply the policy constraint constraints/gcp.restrictNonCmekServices with the allow policy type and storage.googleapis.com as the policy value.
Reference:
Organization Policy Constraints
Customer-Managed Encryption Keys (CMEK)


質問 # 53
ある会社は、Compute Engine でアプリケーションを実行しています。アプリケーションのバグにより、悪意のあるユーザーがスクリプトを繰り返し実行できるようになり、その結果、Compute Engine インスタンスがクラッシュしました。バグは修正されましたが、このハッキングが再発した場合に備えて通知を受け取りたいと考えています。
あなたは何をするべきか？

  • A. CPU 使用率指標を使用して、Stackdriver でアラート ポリシーを作成します。CPU 使用率がこの 80% を超えたときに通知されるように、しきい値を 80% に設定します。
  • B. スクリプトのすべての実行を Stackdriver Logging に記録します。ログの Stackdriver Logging でユーザー定義の指標を作成し、指標を表示する Stackdriver ダッシュボードを作成します。
  • C. スクリプトのすべての実行を Stackdriver Logging に記録します。BigQuery をログ シンクとして構成し、BigQuery のスケジュールされたクエリを作成して、特定の時間枠での実行回数をカウントします。
  • D. プロセスの正常性条件を使用して Stackdriver でアラート ポリシーを作成し、スクリプトの実行回数が目的のしきい値を下回っていることを確認します。通知を有効にします。

正解：D

解説：
To monitor and get notified in case the script causing the Compute Engine instance to crash is executed again, you should create an Alerting Policy in Stackdriver (now known as Google Cloud Monitoring). The Process Health condition can be set to monitor the number of executions of the script and ensure it remains below the desired threshold. By enabling notifications, you will be alerted if this threshold is exceeded.
Step-by-Step:
Log Script Executions: Ensure that the script execution is logged.
Create a User-Defined Metric: Go to Google Cloud Console > Logging > Logs-based Metrics, and create a new user-defined metric that counts the number of times the script executes.
Set Up Alerting Policy:
Navigate to Google Cloud Console > Monitoring > Alerting.
Click on "Create Policy".
Add a condition and select "Logs-based Metric".
Configure the condition to trigger when the number of script executions exceeds the threshold.
Configure Notifications: Add notification channels (email, SMS, etc.) to the alerting policy.
Save and Test: Save the policy and test to ensure notifications are received when the script is executed beyond the threshold.
Reference:
Google Cloud Logging User-defined Metrics
Google Cloud Monitoring Alerting Policies


質問 # 54
セキュリティ監査により、プロジェクトのIdentity and Access Management（IAM）設定に複数の不整合が見つかりました。一部のサービスアカウントのロール権限が過度に高く、一部の外部協力者には必要以上のアクセス権が付与されています。IAMポリシーの変更、ユーザーアクティビティ、サービスアカウントの動作、機密性の高いプロジェクトへのアクセス状況を詳細に把握する必要があります。どうすればよいでしょうか？

  • A. Cloud Audit Logs を使用します。ログ エクスポート シンクを作成し、これらのログをセキュリティ情報イベント管理 (SIEM) ソリューションに送信して、他のイベント ソースとの相関関係を確認します。
  • B. Cloud Monitoring のメトリックス エクスプローラーを有効にして、サービス アカウントの認証イベントを追跡し、それにリンクされたアラートを作成します。
  • C. OS Config Management エージェントを VM に展開します。OS Config Management を使用して、パッチ管理ジョブを作成し、システムの変更を監視します。
  • D. IAM ポリシーの変更によって Google Cloud Functions がトリガーされるように設定します。ポリシーシミュレータを使用して変更を分析し、リスクの高い変更があった場合にアラートを送信し、イベントの詳細を保存します。

正解：A

解説：
To address inconsistencies in your project's Identity and Access Management (IAM) configuration and gain comprehensive visibility into IAM policy changes, user activity, service account behavior, and access to sensitive projects, leveraging Google Cloud's auditing capabilities is essential.
Option A: While Cloud Monitoring's metrics explorer can track certain metrics, it is not designed to provide detailed logs of IAM policy changes or user activities.
Option B: Cloud Audit Logs offer detailed records of administrative activities, including IAM policy changes and authentications. By creating log export sinks, you can forward these logs to a Security Information and Event Management (SIEM) solution, enabling correlation with other event sources and comprehensive analysis. This approach provides the necessary visibility into IAM configurations and user activities.
Option C: Triggering Cloud Functions based on IAM policy changes and analyzing them with a policy simulator is a proactive approach. However, it may not provide the depth of historical data and comprehensive analysis capabilities that a SIEM solution offers.
Option D: Deploying the OS Config Management agent focuses on VM configuration and patch management, which does not directly address IAM policy monitoring or user activity tracking.
Therefore, Option B is the most effective solution to gain detailed visibility into IAM-related activities and address the identified inconsistencies.
Reference:
Cloud Audit Logs Overview
Exporting Logs to a SIEM


質問 # 55
ある企業が Google Kubernetes Engine でウェブショップを運営しており、BigQuery で顧客のトランザクションを分析したいと考えています。クレジット カード番号が BigQuery に保存されないようにする必要があります。

  • A. データが BigQuery に取り込まれる前に、Cloud Data Loss Prevention API を使用して、関連する infoType を秘匿化します。
  • B. Cloud Identity-Aware Proxy を有効にして、ログを BigQuery に保存する前にクレジット カード番号を除外します。
  • C. Security Command Center を利用して、BigQuery でクレジット カード番号タイプのアセットをスキャンします。
  • D. クレジット カード番号に一致する正規表現を使用して BigQuery ビューを作成し、影響を受ける行をクエリして削除します。

正解：A

解説：
Explanation
https://cloud.google.com/bigquery/docs/scan-with-dlp
Cloud Data Loss Prevention API allows to detect and redact or remove sensitive data before the comments or reviews are published. Cloud DLP will read information from BigQuery, Cloud Storage or Datastore and scan it for sensitive data.


質問 # 56
組織では、ウェブサイトの利用状況分析に関する年次レポートを公開したいと考えています。Cloud Data Loss Prevention（Cloud DLP）API を使用して、個人を特定できる情報（PII）を含むデータが公開されないようにする必要があります。データの整合性は維持されなければなりません。どうすればよいでしょうか？

  • A. Cloud DLP API を使用して、ストレージ内の PII データを検出し、隔離します。
  • B. Cloud DLP API を使用して、ストレージ内のすべての PII を検出します。PII を削除するクラウド関数を作成します。
  • C. Cloud DLP API を使用してレポートから PII を暗号化します。
  • D. Cloud DLP API を使用して、レポート内の PII データを検出し、変換します。

正解：D

解説：
To ensure that no personally identifiable information (PII) is published in your yearly website usage analytics reports while preserving data integrity, the Cloud Data Loss Prevention (Cloud DLP) API can be utilized to identify and transform PII within your datasets.
* Option A: Encrypting PII does not remove it from the reports; it merely obscures it, which may not be sufficient for compliance or privacy requirements.
* Option B: Discovering and transforming PII ensures that sensitive information is either masked, tokenized, or otherwise obfuscated, effectively removing PII from the reports while maintaining the overall structure and utility of the data.
* Option C: Detecting and deleting PII could lead to loss of valuable data and may disrupt the integrity of the reports.
* Option D: Quarantining PII data implies isolating it, which doesn't address the need to publish reports without PII.
Therefore, Option B is the most appropriate approach, as it leverages the Cloud DLP API to identify and transform PII, ensuring that the published reports are free from sensitive information while preserving data integrity.
References:
Cloud DLP Overview
De-identifying Sensitive Data


質問 # 57
あなたの会社のメッセージング アプリが FIPS 140-2 に準拠するために、GCP コンピューティング サービスとネットワーク サービスを使用することが決定されました。メッセージング アプリのアーキテクチャには、Compute Engine インスタンスのクラスタを制御するマネージド インスタンス グループ (MIG) が含まれています。インスタンスは、データ キャッシングにローカル SSD を使用し、インスタンス間の通信に UDP を使用します。アプリ開発チームは、標準に準拠するために必要な変更を喜んで行います。要件を満たすためにどのオプションを推奨する必要がありますか?

  • A. MIG で使用されるインスタンス テンプレートのディスク暗号化を Google マネージド キーに設定し、すべてのインスタンス間通信で BoringSSL ライブラリを使用します。
  • B. MIG が使用するインスタンス テンプレートのディスク暗号化をカスタマー マネージド キーに設定し、インスタンス間のすべてのデータ転送に BoringSSL を使用します。
  • C. BoringCrypto モジュールを使用して、すべてのキャッシュ ストレージと VM 間通信を暗号化します。
  • D. アプリ インスタンス間の通信を UDP から TCP に変更し、クライアントの TLS 接続で BoringSSL を有効にします。

正解：C

解説：
Explanation
https://cloud.google.com/security/compliance/fips-140-2-validated
Google Cloud Platform uses a FIPS 140-2 validated encryption module called BoringCrypto (certificate 3318) in our production environment. This means that both data in transit to the customer and between data centers, and data at rest are encrypted using FIPS 140-2 validated encryption. The module that achieved FIPS 140-2 validation is part of our BoringSSL library.


質問 # 58
組織では、仮想マシン（VM）を Google Cloud に移行しています。プロジェクト全体で使用されるオペレーティング システム イメージが信頼でき、セキュリティ要件を満たしていることを確認する必要があります。
何をすべきでしょうか?

  • A. 信頼できるイメージ リポジトリから新しい仮想マシンが作成された場合に自動的にトリガーされる Cloud Functions 関数を作成します。イメージが非推奨でないことを確認します。
  • B. 信頼できるイメージ リポジトリに一般的な脆弱性と露出 (CVE) が存在しないことを確認するセキュリティ スキャナーを自動化します。
  • C. 信頼されたイメージ プロジェクトからのイメージからのみブート ディスクを作成できるように強制する組織ポリシーを実装します。
  • D. すべてのプロジェクトで Shielded VM サービスを有効にして、信頼できるイメージ リポジトリの使用を強制する組織ポリシー制約を実装します。

正解：C

解説：
https://cloud.google.com/compute/docs/images/restricting-image-access


質問 # 59
あなたの会社の Google Cloud 組織には、約 200 のプロジェクトと 1,500 台の仮想マシンがあります。
ログとイベントの管理には統一された戦略がないため、セキュリティ運用チームの可視性が低下します。可視性を提供し、セキュリティ チームが環境の構成を確認できるログ管理ソリューションを設計する必要があります。
何をすべきでしょうか?

  • A. 1. 対象範囲内の各プロジェクトに専用のログシンクを作成します。
    2. 時間パーティショニングが有効になっている BigQuery データセットをログシンクの宛先として使用します。
    3. すべてのプロジェクトでログ メトリックに基づいてアラートを展開します。
    4. 各プロジェクトのセキュリティ運用チームに「監視閲覧者」ロールを付与します。
  • B. 1. 子リソースを含む「Production」フォルダ用のシンクを 1 つ作成し、子リソースを除外した組織レベルで取り込まれたログ用のシンクを 1 つ作成します。
    2. 送信先として、セキュリティ チームがアクセスできるプロジェクト内の、最小保持期間が 90 日のログ バケットを使用します。
    3. セキュリティ運用チームに組織レベルでセキュリティ レビュー担当者の役割を付与します。
  • C. 1. 「Production」フォルダー内のすべてのリソースのネットワーク ログとデータ アクセス ログを有効にします。
    2. 不要なコストと遅延を避けるため、ログシンクを作成しないでください。
    3. セキュリティ運用チームに、プロジェクト レベルで「ログ ビューアー」と「ブラウザー」のロールを付与します。
  • D. 1. すべての子リソースを含む組織レベルで 1 つのログ シンクを作成します。
    2. 宛先として Pub/Sub トピックを使用して、セキュリティ情報とイベントにログを取り込みましょう。
    オンプレミスで SIEM (セキュリティ管理) を導入し、適切なチームが SIEM にアクセスできるようにします。
    3. セキュリティ運用チームに組織レベルの閲覧者ロールを付与します。

正解：D

解説：
You need a SIEM to actually analyse the configurations of the environments.


質問 # 60
あなたは、組織の Google Cloud プロジェクトの 1 つ（プロジェクト A）を管理しています。AVPC Service Control (SC) 境界は、Pub/Sub を含むこのプロジェクトへの API アクセス リクエストをブロックしています。別のプロジェクト (プロジェクト B) のサービス アカウントで実行されているリソースは、プロジェクトの Pub/Sub トピックからメッセージを収集する必要があります。プロジェクト B は VPC SC 境界に含まれていません。最小特権の原則を使用して、プロジェクト B からプロジェクト A の Pub/Sub トピックへのアクセスを提供する必要があります。
あなたは何をするべきか？

  • A. プロジェクト A とプロジェクト B の間に境界ブリッジを作成し、両方のプロジェクト間で必要な通信を可能にします。
  • B. プロジェクト A の境界構成内の制限されたサービスのリストから Pub/Sub API を削除します。
  • C. プロジェクト B の開発者がプロ​​ジェクト A にある Pub/Sub トピックをサブスクライブできるアクセス レベルを作成します。
  • D. プロジェクト A の境界の受信ポリシーを構成し、プロジェクト B のサービス アカウントにメッセージを収集するためのアクセスを許可します。

正解：D

解説：
When dealing with VPC Service Controls (VPC SC), it's important to ensure that only authorized resources can access sensitive data and services. To allow a resource in Project B to access Pub/Sub in Project A without compromising security, you should configure an ingress policy for the service perimeter in Project A.
Identify the Service Account: Determine the service account in Project B that requires access to the Pub/Sub topic in Project A.
Configure Ingress Policy:
Go to the Google Cloud Console.
Navigate to Security > VPC Service Controls.
Select the service perimeter for Project A.
Add an ingress rule specifying the service account from Project B and allowing it access to the necessary Pub/Sub resources.
Define Conditions: Ensure that the ingress policy adheres to the principle of least privilege, granting only the necessary permissions to collect messages from the Pub/Sub topic.
Save and Apply: Save the policy and apply the changes to enforce the new access controls.
This approach maintains the security boundaries set by VPC SC while enabling the required access from Project B to Project A.
Reference:
VPC Service Controls Documentation
Configuring Ingress Policies


質問 # 61
インターネットに接続されているすべてのトラフィックを、Google Cloud からオンプレミスのインターネット接続を通じてルーティングしています。この目標は、可能な限り最大の帯域幅を使用して安全に達成したいと考えています。
あなたは何をするべきか？

  • A. Compute Engine でルーティング VM を作成します。VM をネクストホップとしてデフォルト ルートを構成します。
  • B. Cloud Interconnect を構成し、オンプレミスのファイアウォールを介してトラフィックをルーティングします。
  • C. HA VPN を使用したクラウド インターコネクトの構成 デフォルトの 0 0 0 0/0 ルートをオンプレミスの宛先に置き換えます。
  • D. Google Cloud への HA VPN 接続を作成します。デフォルトの 0 0 0 0/0 ルートを置き換えます。

正解：B


質問 # 62
Google Cloud 環境で、組織内のフォルダの 1 つに一元的なセキュリティ管理を定義し、VM への外部 IP アドレスの割り当てを拒否する組織ポリシーを設定しました。2 日後、そのフォルダの下に外部 IP アドレスを持つ新しい VM が存在するというアラートを受け取りました。
この警告の原因は何でしょうか?

  • A. VM は、組織のポリシー ルールが設定される前にプロジェクトで予約された静的外部 IP アドレスを使用して作成されました。
  • B. 組織ポリシー制約が適切に適用されなかったため、「ドライ ラン モード」で実行されています。
  • C. プロジェクト レベルで、組織ポリシー制御が 'allow' 値で上書きされました。
  • D. 組織レベルでの制約の値が「許可」であるため、フォルダー レベルのポリシー制約は効果がありません。

正解：C

解説：
Understand Organization Policies:
Organization policies allow you to enforce restrictions on Google Cloud resources to adhere to your organization's security and compliance requirements.
Policies can be set at the organization, folder, or project level, with project-level policies able to override higher-level policies unless explicitly prevented.
Identify the Policy Constraint:
The specific constraint in question is likely constraints/compute.vmExternalIpAccess, which controls whether VMs can have external IP addresses.
Check Policy Overwrites:
Navigate to the Organization Policies page in the Google Cloud Console.
Check the policy settings at the project level under the affected folder to see if there is an override in place with an 'allow' value.
This override would permit the creation of VMs with external IP addresses despite the higher-level restriction.
Resolve the Policy Conflict:
If an override is found, remove or modify the project-level policy to align with the organizational policy denying external IP addresses.
Communicate with project administrators to ensure they understand and comply with the overarching security policies.
Reference:
Organization Policy Best Practices
Managing Policy Constraints


質問 # 63
セキュリティ運用チームは、組織内のすべてのプロジェクトのセキュリティ関連のログにアクセスする必要があります。
次の要件があります。
ログへの表示アクセスのみを持つことで、最小特権モデルに従います。
管理アクティビティ ログにアクセスできます。
データ アクセス ログにアクセスできます。
アクセスの透明性ログにアクセスできる。
セキュリティ運用チームに付与する必要がある Identity and Access Management (IAM) ロールはどれですか?

  • A. 役割/閲覧者
  • B. roles/logging.privateLogViewer
  • C. ロール/logging.viewer
  • D. ロール/logging.admin

正解：B

解説：
roles/logging.privateLogViewer (Private Logs Viewer) includes all the permissions contained by roles/logging.viewer, plus the ability to read Data Access audit logs in the _Default bucket.
https://cloud.google.com/logging/docs/access-control


質問 # 64
あなたは会社の新しい Google Cloud 組織の作成を担当しています。スーパー管理者アカウントを作成するときに実行する必要がある 2 つのアクションはどれですか? （2つ選んでください。）

  • A. Google Cloud Console の組織レベルで特権管理者の Identity and Access Management (1AM) ロールを無効にします。
  • B. Google 管理コンソールでアクセス レベルを作成して、特権管理者が Google Cloud にログインできないようにします。
  • C. プライベート接続を使用してスーパー管理者アカウントを作成し、資格情報がインターネット経由で送信されないようにします。
  • D. 物理トークンを使用して、多要素認証 (MFA) でスーパー管理者の資格情報を保護します。
  • E. 特権管理者ユーザーの日常的な活動のために、特権のない ID を提供します。

正解：D、E

解説：
https://cloud.google.com/resource-manager/docs/super-admin-best-practices#discourage_super_admin_account_usage
- Use a security key or other physical authentication device to enforce two-step verification - Give super admins a separate account that requires a separate login


質問 # 65
VM への外部 IP アドレスの割り当てを拒否する組織ポリシーを設定した組織内のフォルダの 1 つに対して、Google Cloud 環境で一元的なセキュリティ制御を定義します。2 日後、そのフォルダーの下に外部 IP アドレスを持つ新しい VM に関するアラートが届きます。
このアラートの原因は何でしょうか?

  • A. 組織ポリシーの制約が適切に適用されず、「ドライラン モード」で実行されています。
  • B. プロジェクト レベルで、組織ポリシー コントロールが「許可」値で上書きされました。
  • C. フォルダー レベルのポリシー制約は、組織レベルでのその制約の "allow" 値のため、何の効果もありません。
  • D. VM は、組織のポリシー ルールが設定される前にプロジェクトで予約された静的外部 IP アドレスを使用して作成されました。

正解：D


質問 # 66
顧客は、モバイル ワーカーが Google Cloud Platform (GCP) でホストされている CRM Web インターフェイスにアクセスできるようにしたいと考えています。CRM には、企業ネットワーク上のユーザーのみがアクセスできます。顧客は、それをインターネット経由で利用できるようにしたいと考えています。あなたのチームは、2 要素認証をサポートするアプリケーションの前に認証レイヤーを必要としています。これらの要件を満たすために、お客様はどの GCP プロダクトを実装する必要がありますか?

  • A. クラウド エンドポイント
  • B. Cloud Identity-Aware Proxy
  • C. クラウド VPN
  • D. クラウドアーマー

正解：B

解説：
Explanation
Cloud IAP is integrated with Google Sign-in which Multi-factor authentication can be enabled.https://cloud.google.com/iap/docs/concepts-overview


質問 # 67
......

有効なProfessional-Cloud-Security-Engineer日本語試験最新問題で2026年最新の学習ガイド：https://www.passtest.jp/Google/Professional-Cloud-Security-Engineer-JPN-shiken.html

関するブログ

もっと
Professional-Cloud-Security-Engineer-JPN 無料問題集