実践サンプルと問題集と指導には2026年最新のProfessional-Cloud-Security-Engineer日本語有効なテスト問題集 [Q73-Q92]

実践サンプルと問題集と指導には2026年最新のProfessional-Cloud-Security-Engineer日本語有効なテスト問題集

最新 [2026年01月01日] 100%合格率保証付きの素晴らしいProfessional-Cloud-Security-Engineer日本語試験問題PDF

質問 # 73
組織では、ターゲットを絞ったマーケティングキャンペーンに向けた顧客行動を予測するための高度な機械学習（ML）モデルを開発しています。トレーニングに使用するBigQueryデータセットには、機密性の高い個人情報が含まれています。AI/MLパイプラインのセキュリティ管理を設計する必要があります。モデルのライフサイクル全体を通じてデータのプライバシーを維持し、トレーニングプロセスで個人データが使用されないようにする必要があります。さらに、データセットへのアクセスを承認された一部のユーザーのみに制限する必要があります。どうすればよいでしょうか？

• A. Cloud Data Loss Prevention (DLP) API を使用してモデルのトレーニング前に機密データを匿名化し、厳格な Identity and Access Management (IAM) ポリシーを実装して BigQuery へのアクセスを制御します。
• B. 使用中のデータとコードの保護を強化するために、モデルを Confidential VMs にデプロイします。
  BigQuery へのアクセスを制御するために、厳格な Identity and Access Management (IAM) ポリシーを実装します。
• C. Identity-Aware Proxy を実装して、ユーザー ID とデバイスに基づいて BigQuery とモデルへのコンテキスト認識アクセスを強制します。
• D. パイプラインの顧客管理の暗号化キー (CMEK) を使用して、保存時の暗号化を実装します。
  BigQuery へのアクセスを制御するために、厳格な Identity and Access Management (IAM) ポリシーを実装します。

正解：A

解説：
Comprehensive and Detailed Explanation From Exact Extract:
The core security and privacy requirement is to prevent personal data from being used in the training process, which necessitates de-identification. Cloud Data Loss Prevention (DLP), also referred to as Sensitive Data Protection (SDP), is the specific Google Cloud tool for this purpose. The secondary requirement, restricting access, is handled by IAM.
Extracts:
"Sensitive Data Protection (SDP)... De-identification enables you to transform your data to reduce data risk while retaining data utility." (Source 1.4)
"De-identification techniques like encryption, obfuscate raw sensitive identifiers in your data. These techniques let you preserve the utility of your data for joining or analytics, while reducing the risk of handling the data." (Source 1.1)
"DLP provides tools to classify and de-identify sensitive elements or unwanted content within your data...
Find and remove sensitive elements from your data before model training." (Source 1.4) IAM policies are the standard mechanism to satisfy the requirement to "restrict access to the dataset to an authorized subset of people only." Option B combines the precise technical solution for privacy (DLP De- identification) with the necessary access control (IAM).

質問 # 74
組織は Google Cloud で一般データ保護規則 (GDPR) に準拠したいと考えています。EU 内でデータ所在地と運用主権を実装する必要があります。
あなたは何をするべきか？
2 つの答えを選択してください

• A. Cloud IDS を使用して EU 内の東西および南北のトラフィックを可視化し、VPC 内および VPC 間の通信を監視します。
• B. VPC フロー ログを使用して、EU 内の VPC 内および VPC 間のトラフィックを監視します。
• C. ID フェデレーションを使用して、EU 以外の団体からの Google Cloud リソースへのアクセスを制限します。
• D. 主要なアクセス正当性を使用して、国籍や地理的位置などの事前定義された属性に基づいて Google 担当者のアクセスを制限する
• E. 組織ポリシー サービスのリソースの場所の制約を使用して、新しいリソースの物理的な場所を制限します。

正解：D、E

解説：
https://cloud.google.com/architecture/framework/security/data-residency-sovereignty#manage_your_operational_sovereignty

質問 # 75
あなたは、プライベート クラウドから Google Cloud へのデータの移行を検討している組織のコンサルタントです。組織のコンプライアンス チームは Google Cloud に精通しておらず、Google Cloud でコンプライアンス要件を満たす方法についてガイダンスを必要としています。特定のコンプライアンス要件の 1 つは、お客様の保存データが特定の地理的境界内に存在することです。組織が Google Cloud でデータ所在地の要件を満たすために推奨するオプションはどれですか?

• A. 位置情報アクセス制御
• B. シールドされた VM インスタンス
• C. アクセス制御リスト
• D. Google クラウド アーマー
• E. 組織ポリシー サービスの制約

正解：E

解説：
https://cloud.google.com/resource-manager/docs/organization-policy/using-constraints#list-constraint

質問 # 76
組織内の仮想マシン (VM) 群を管理しています。多くの VM でパッチが適用されていないという問題が発生しています。VM での定期的なパッチ適用を自動化し、複数のプロジェクトにわたるパッチ管理データを表示する必要があります。
あなたは何をすべきでしょうか？（2つ選択してください。）

• A. Security Command Center ダッシュボードでパッチ管理データを表示します。
• B. Rapid Vulnerability Detection を使用して、Security Command Genter でパッチを展開します。
• C. OS パッチ管理を使用して、VM マネージャーでパッチ管理データを表示します。
• D. Artifact Registry でパッチ管理データを表示します。
• E. OS パッチ管理を使用して VM マネージャーでパッチを展開します。

正解：A、E

質問 # 77
あなたの会社は、Google Cloud リソースへのアクセスを提供するために、Cloud Identity で手動でユーザーを作成しています。環境が継続的に拡大しているため、Google Cloud Directory Sync (GCDS) インスタンスを承認し、それをオンプレミスの LDAP サーバーと統合して、何百人ものユーザーをオンボーディングしたいと考えています。次のことを行う必要があります。
ユーザーとグループのライフサイクルの変更を Cloud Identity のオンプレミス LDAP サーバーから複製します。
Cloud Identity で手動で作成されたユーザーを無効にします。
Google Cloud のスコープにユーザーとセキュリティ グループを含めるように、LDAP 検索属性をすでに構成しています。このソリューションを完了するには、次に何をすべきですか?

• A. 1. LDAP で見つからないドメイン ユーザーを一時停止するオプションを構成します。
  2. 定期的な GCDS タスクを設定します。
• B. 1. LDAP 検索属性を構成して、LDAP で見つからない手動で作成された Cloud ID ユーザーを除外します。
  2. ユーザーとグループのライフサイクルの変更後に GCDS を実行します。
• C. 1. LDAP で見つからないドメイン ユーザーを削除するオプションを構成します。
  2. ユーザーとグループのライフサイクルの変更後に GCDS を実行します。
• D. 1. LDAP 検索属性を構成して、LDAP で見つからない手動で作成された Cloud Identity ユーザーを除外します。
  2. 定期的な GCDS タスクを設定します。

正解：A

解説：
Explanation
To achieve the requirement "Disable any manually created users in Cloud Identity", configure GCDS to suspend rather than delete accounts if user accounts are not found in the LDAP directory in GCDS.
Ref:https://support.google.com/a/answer/7177267

質問 # 78
ある企業は、ミッションクリティカルなアプリケーションのコンテナ イメージで Google Kubernetes Engine（GKE）を使用しています。その企業は、イメージをスキャンして既知のセキュリティ問題がないか確認し、レポートを Google Cloud の外部に公開することなくセキュリティ チームと安全に共有したいと考えています。
あなたは何をするべきか？

• A. * 1. Artifact Registry 設定で脆弱性スキャンを有効にします。
  * 2. Cloud Build を使用してイメージをビルドします
  * 3. 自動スキャンのために画像を A​​rtifact Registry にプッシュします。
  * 4. Artifact Registry のレポートを表示します。
• B. 1. Security Command Center プレミアム レベルで Container Threat Detection を有効にします。
  * 2. サポートされているバージョンの GKE にないすべてのクラスタを、可能な最新の GKE バージョンにアップグレードします。
  * 3. Security Command Center からの結果の表示と共有
• C. * 1. Cloud Build のオープンソース ツールを使用してイメージをスキャンします。
  * 2. gsutil を使用して、Cloud Storage の一般にアクセスできるバケットにレポートをアップロードします。
  * 3. スキャン レポートのリンクをセキュリティ部門と共有します。
• D. * 1. GitHub サブスクリプションを取得します。
  * 2. Cloud Build でイメージをビルドし、自動スキャンのために GitHub に保存します。
  * 3. GitHub からレポートをダウンロードし、セキュリティ チームと共有します

正解：A

解説：
Explanation
"The service evaluates all changes and remote access attempts to detect runtime attacks in near-real time." :
https://cloud.google.com/security-command-center/docs/concepts-container-threat-detection-overview This has nothing to do with KNOWN security Vulns in images

質問 # 79
あなたは、Google Cloud コンソールのログイン アクティビティ イベントと、Google Cloud リソースの構成を変更する API 呼び出しのセキュリティ ログをエクスポートして監査する任務を負っています。エクスポートは次の要件を満たす必要があります。
Google Cloud 組織内のすべてのプロジェクトの関連ログをエクスポートします。
ログをほぼリアルタイムで外部 SIEM にエクスポートします。
あなたは何をするべきか？（2つ選んでください。）

• A. includeChildren パラメータを使用して組織レベルでログ シンクを作成し、送信先を Pub/Sub トピックに設定します。
• B. 管理コンソールで Google Workspace 監査ログを Google Cloud と共有できるようにします。
• C. Pub/Sub 宛先を使用して、組織レベルでログ シンクを作成します。
• D. SIEM が監査ログ エントリの AuthenticationInfo フィールドを処理して ID 情報を収集することを確認します。
• E. 組織レベルでデータ アクセス監査ログを有効にして、すべてのプロジェクトに適用します。

正解：A、E

解説：
To meet the requirements for exporting and auditing security logs in near real-time for login activity events and API calls:
* Organization-Level Log Sink with Pub/Sub: Create a log sink at the organization level to ensure logs from all projects are captured. Use the includeChildren parameter to include logs from all child resources (projects). Set the destination to a Pub/Sub topic to facilitate near real-time log export to an external SIEM.
* Enable Data Access Audit Logs: Enable Data Access audit logs at the organization level to capture and export detailed information about API calls that modify configurations of Google Cloud resources across all projects.
These steps ensure comprehensive logging and real-time export capabilities, which are crucial for security auditing and monitoring.
References
* Audit Logs Overview
* Exporting with Sinks

質問 # 80
セキュリティ監査により、プロジェクトの Identity and Access Management (IAM) 構成にいくつかの不整合が見つかりました。一部のサービス アカウントに過度に許可されたロールがあり、少数の外部共同作業者には必要以上のアクセス権が与えられています。IAM ポリシー、ユーザー アクティビティ、サービス アカウントの動作、機密プロジェクトへのアクセスに対する変更を詳細に把握する必要があります。どうすればよいでしょうか。

• A. Cloud Audit Logs を使用するログ エクスポート シンクを作成し、これらのログをセキュリティ情報イベント管理 (SIEM) ソリューションに送信して、他のイベント ソースとの相関関係を確認します。
• B. Cloud Monitoring のメトリックス エクスプローラーを有効にして、サービス アカウントの認証イベントを追跡し、それにリンクされたアラートを作成します。
• C. IAM ポリシーの変更によってトリガーされるように Google Cloud Functions を構成する。ポリシー シミュレータを使用して変更を分析し、リスクのある変更があった場合にアラートを送信し、イベントの詳細を保存する。
• D. OS Config Management エージェントを VM に導入します。OS Config Management を使用してパッチ管理ジョブを作成し、システムの変更を監視します。

正解：A

解説：
The problem requires gaining "detailed visibility into changes to IAM policies, user activity, service account behavior, and access to sensitive projects" due to security inconsistencies Cloud Audit Logs: Cloud Audit Logs records administrative activities, data access, and system events across Google Cloud These logs are the primary source of truth for tracking "who did what, where, and when" in your Google Cloud environment Extract Reference: "Cloud Audit Logs maintains the following audit logs for each project, folder, and organization: Admin Activity audit logs, Data Access audit logs, System Event audit logs, Policy Denied audit logs" Extract Reference: "Admin Activity audit logs contain log entries for API calls or other actions that modify the configuration or metadata of resources Data Access audit logs record API calls that read the configuration or metadata of resources, as well as user-provided data" (Google Cloud Documentation: "Cloud Audit Logs overview" - https://cloudgooglecom/logging/docs/audit) These logs directly capture:Changes to IAM policies: Recorded in Admin Activity logs User activity: Recorded in Admin Activity and Data Access logs Service account behavior: Actions performed by service accounts are logged in the same way as user actions Access to sensitive projects: Data Access logs, especially for sensitive data services, record access events Log Export Sinks: To gain "detailed visibility" and enable "correlation with other event sources," these audit logs should be exported to a centralized Security Information and Event Management (SIEM) solution Log sinks allow you to route logs from Cloud Logging to various destinations, including BigQuery, Cloud Storage, or Pub/Sub (which can then feed into a SIEM) Extract Reference: "You can use sinks to route some or all of your logs to supported destinations" and "Many security information and event management (SIEM) systems can ingest logs through Cloud Pub/Sub" (Google Cloud Documentation: "Routing and storage overview | Cloud Logging" - https://cloudgooglecom/logging/docs/routing-overview) Let's evaluate the other options:
A OS Config Management agent: This service manages operating system configurations, patching, and inventory on VMs It is not designed to monitor or log IAM policy changes, user activity, or service account behavior within Google Cloud's IAM system B Metrics Explorer in Cloud Monitoring: While Cloud Monitoring can provide some metrics related to service account authentication, it focuses on time-series data and operational health metrics It does not provide the detailed, event-level audit records necessary for forensic analysis of IAM policy changes, specific user actions, or granular access events to sensitive data that Cloud Audit Logs offer D Cloud Functions triggered by IAM policy changes + Policy Simulator: This describes a reactive automation pattern for some IAM changes While useful for immediate alerting on risky modifications, it's a custom solution for a subset of the requirements It doesn't inherently provide "detailed visibility" into all user activity or comprehensive service account behavior across all projects, nor does it replace the robust logging and correlation capabilities of a SIEM solution ingesting raw audit logs Cloud Audit Logs are the fundamental data source this approach would rely on Therefore, leveraging Cloud Audit Logs and exporting them to a SIEM is the most comprehensive and recommended approach for gaining detailed visibility into IAM-related changes and activities across your Google Cloud organization

質問 # 81
あなたは、侵害されたサービス アカウント キーを調査しているセキュリティ チームの一員です。サービス アカウントによって作成された新しいリソースを監査する必要があります。
あなたは何をするべきか？

• A. Stackdriver Monitoring ワークスペースをクエリします。
• B. 管理アクティビティ ログを照会します。
• C. データ アクセス ログを照会します。
• D. アクセスの透明性ログを照会します。

正解：B

解説：
Explanation
Admin activity logs are always created to log entries for API calls or other actions that modify the configuration or metadata of resources. For example, these logs record when users create VM instances or change Identity and Access Management permissions.

質問 # 82
あなたのチームは、BigQuery 内に 1PB の機密データを保持しており、その中には個人を特定できる情報 (PII) が含まれています。分析のために、組織内の別のチームにこのデータセットへのアクセスを提供する必要があります。PII を保護しながら、BigQuery データセットを他のチームと共有する必要があります。どうすればよいでしょうか。

• A. BigQuery データセットを Cloud Storage にエクスポートします。VPC Service Control 境界を作成し、チームのプロジェクトのみがバケットにアクセスできるようにします。
• B. データの仮名化技術を実装して、PII フィールドを識別不可能な値に置き換えます。
  他のチームに仮名化されたデータセットへのアクセス権を付与します。
• C. データセットのフィルター処理されたコピーを作成し、機密データを別のプロジェクトのハッシュ値に置き換えます。他のチームにこの新しいプロジェクトへのアクセス権を付与します。
• D. BigQuery の行レベルのアクセス ポリシーを利用して、他のチームのユーザー ID に基づいて PII 列をマスクします。

正解：D

解説：
https://cloud.google.com/bigquery/docs/row-level-security-intro?hl=es-
419#filter_row_data_based_on_region

質問 # 83
サードパーティの ID プロバイダ (IdP) から Cloud Identity に ID を同期する予定です。一部の従業員が会社のメールアドレスを使用して Google サービスにアクセスするためのコンシューマー アカウントを設定していることがわかりました。組織がこれらのコンシューマー アカウントの構成、セキュリティ、ライフサイクルを管理できるようにする必要があります。
あなたは何をすべきでしょうか？（2つ選択してください。）

• A. Google Cloud Directory Sync（GCDS）を使用して、管理対象外の消費者アカウントのメールをユーザー エイリアスとして移行します。
• B. 企業の従業員に、管理されていない消費者アカウントを削除することを義務付けます。
• C. ID を同期する前に、サードパーティの IdP 内の管理されていないコンシューマー アカウントを削除します。
• D. 転送ツールを使用して、企業の従業員に管理されていない消費者アカウントを企業ドメインに転送するよう招待します。
• E. Cloud Identity には存在するがサードパーティの IdP には存在しないアカウントを調整します。

正解：D、E

解説：
https://cloud.google.com/architecture/identity/reconciling-orphaned-managed-user-accounts

質問 # 84
あなたの組織では、BigQuery と Cloud Storage に保存されているライブ ユーザー アクティビティ データを処理する ML モデルを使用して、リアルタイムの推奨エンジンを構築しています。開発された新しいモデルはすべて Artifact Registry に保存されます。この新しいシステムは、モデルを Google Kubernetes Engine にデプロイし、メッセージ キューに Pub/Sub を使用します。最近の業界ニュースでは、ML モデルのサプライ チェーンを悪用した攻撃が報告されています。このサーバーレス アーキテクチャのセキュリティ、特に開発およびデプロイ パイプラインへのリスクを強化する必要があります。何をすべきでしょうか。

• A. ML モデルに使用される外部ライブラリと依存関係を可能な限り制限します。
  BigQuery および Cloud Storage からユーザーデータにアクセスするために使用される暗号化キーを継続的にローテーションします。
• B. 開発中および事前デプロイ中にコンテナ イメージの脆弱性スキャンを有効にします。Artifact Registry から継続的インテグレーションおよび継続的デプロイ (CVCD) パイプラインにデプロイされたイメージに Binary Authorization を適用します。
• C. Cloud Run インスタンスへの外部トラフィックを制限するための厳格なファイアウォール ルールを作成します。侵入検知システム (IDS) を統合して、Pub/Sub メッセージ フローの異常をリアルタイムで検出します。
• D. モデル開発前にすべてのトレーニング データを徹底的にサニタイズして、ポイズニング攻撃のリスクを軽減します。認証には IAM を使用し、コード リポジトリとクラウド サービスにロールベースの制限を適用します。

正解：B

解説：
Supply chain risks happen by exploiting vulnerabilities in the images. So scanning the image and blocking deployment secures against supply chain risks. This also matches with the requirement related to the deployment pipeline.

質問 # 85
あなたの組織は最近、Security Command Center {SCO 標準レベルをアクティブ化しました。誤って一般公開された Cloud Storage バケットがいくつかあります。インシデントの影響を調査し、修正する必要があります。
あなたは何をするべきか？

• A. * 1 バケットの権限を変更してアクセスを制限します
  * 2 バケットの使用ログをクエリして、データへの不正アクセスを報告します。
  * 3 リグレッションを回避するには、組織ポリシー storage.publicAccessPrevention を強制します。
• B. * 1 権限を変更して、許可されたユーザーのアクセスを制限します
  * 2 すべての運用プロジェクトの周囲に VPC Service Controls 境界を適用し、不正なアクセスを即座に阻止します。
  * 3 管理者のアクティビティ監査ログを確認して、不正なアクセスを報告します。
• C. * 1 バケットの権限を変更してアクセスを制限します
  * 2 バケットへの不正アクセスについてデータ アクセス監査ログを照会します。
  * 3 設定ミスを修正した後、Security Command Center で結果をミュートします。
• D. * 1 バケットからすべてのユーザーにアクセスを許可する Identity and Access Management (IAM) を削除します。
  ※2 組織ポリシーストレージを適用します。リグレッションを防ぐための unifromBucketLevelAccess
  ※3 データアクセスログを照会し、不正アクセスを報告します。

正解：C

解説：
■■

質問 # 86
あなたは、Google Cloud で会社の ID を管理する責任があります。あなたの会社は、すべてのユーザーに 2 段階認証プロセス (2SV) を適用しています。ユーザーのアクセスをリセットする必要がありますが、ユーザーは 2SV の第 2 要素を失いました。
リスクを最小限に抑えたい。あなたは何をするべきか？

• A. Google 管理コンソールで、スーパー管理者アカウントを使用して、ユーザー アカウントの資格情報をリセットします。
  最初のログイン後に資格情報を更新するようユーザーに依頼します。
• B. Google 管理コンソールで、適切なユーザー アカウントを選択し、ユーザーがサインインできるようにバックアップ コードを生成します。ユーザーに 2 番目の要素を更新するように依頼します。
• C. Google 管理コンソールで、すべてのユーザーの 2SV 要件を一時的に無効にします。ログインして、新しい第 2 要素をアカウントに追加するようユーザーに依頼します。すべてのユーザーに対して 2SV 要件を再度有効にします。
• D. Google 管理コンソールで、適切なユーザー アカウントを選択し、このアカウントの 2SV を一時的に無効にします。ユーザーに 2 番目の要素を更新するよう依頼してから、このアカウントの 2SV を再度有効にします。

正解：B

解説：
Explanation
https://support.google.com/a/answer/9176734
Use backup codes for account recovery If you need to recover an account, use backup codes. Accounts are still protected by 2-Step Verification, and backup codes are easy to generate.

質問 # 87
組織は、インスタンスのログ データをヨーロッパ内に保管するための規制に準拠する必要があります。ワークロードは、新しいプロジェクトのオランダのリージョン europe-west4 でホストされます。データを国内に保管するには Cloud Logging を構成する必要があります。
あなたは何をするべきか？

• A. europe-west4 に新しい tog バケットを作成します。そして、_Def auit buckKet を新しいバケットにリダイレクトします。
• B. 組織ポリシーの制約 gcp.resourceLocations を europe-west4 に構成します。
• C. すべてのログを europe-west4 の Cloud Storage バケットにエクスポートするようにログシンクを構成します。
• D. gcloud CLI ログ設定更新を使用して、ログ ストレージ リージョンを eurcpe-west4 に設定します。

正解：A

質問 # 88
あなたは会社の新しい Google Cloud 組織の作成を担当しています。スーパー管理者アカウントを作成するときに実行する必要がある 2 つのアクションはどれですか? （2つ選んでください。）

• A. Google Cloud Console の組織レベルで特権管理者の Identity and Access Management (1AM) ロールを無効にします。
• B. プライベート接続を使用してスーパー管理者アカウントを作成し、資格情報がインターネット経由で送信されないようにします。
• C. Google 管理コンソールでアクセス レベルを作成して、特権管理者が Google Cloud にログインできないようにします。
• D. 物理トークンを使用して、多要素認証 (MFA) でスーパー管理者の資格情報を保護します。
• E. 特権管理者ユーザーの日常的な活動のために、特権のない ID を提供します。

正解：D、E

解説：
https://cloud.google.com/resource-manager/docs/super-admin-best-practices#discourage_super_admin_account_usage
- Use a security key or other physical authentication device to enforce two-step verification - Give super admins a separate account that requires a separate login

質問 # 89
次のアクションのうち、Vertex AI 内の特定のモデルへのアクセスが組織全体で適切に制限されることを保証するものはどれですか。

• A. vertexai.allowedModels 制約を制限する組織ポリシーを実装します。
• B. Vertex AI のユーザー アクティビティ ログを定期的に監査し、承認されていないモデルへのアクセスを識別して取り消します。
• C. 特定のモデルへのアクセスを制限するために、個々の Model Garden に対して IAM 権限を設定します。
• D. Vertex AI プロジェクト内でカスタム モデルをトレーニングし、これらのモデルへのユーザー アクセスを制限します。

正解：A

解説：
The problem states that the organization is using Model Garden and needs to ensure users can only access approved models. This implies a need for a central, enforceable control mechanism.
Organization Policies and Constraints: Google Cloud Organization Policy Service allows administrators to centrally control resources across an organization. Constraints are specific types of restrictions that can be applied. For AI Platform (which includes Vertex AI and Model Garden), there are specific constraints designed to control model usage.
vertexai.allowedModels Constraint: This specific organization policy constraint is designed precisely to restrict which models can be used within a given organization, folder, or project. It provides a centralized way to define a list of approved models that users are allowed to access.Extract Reference: "The vertexai.
allowedModels constraint allows you to specify a list of model URIs that are allowed to be used within the resource hierarchy." and "This constraint helps organizations enforce compliance and control which models are consumed by their users." (Google Cloud documentation, typically found under Organization Policy Service constraints for Vertex AI or AI Platform) Let's evaluate the other options:
A). Configure IAM permissions on individual Model Garden to restrict access to specific models: IAM (Identity and Access Management) typically grants permissions at a broader resource level (e.g., project, dataset, model resource). While you can control who can manage models, directly restricting access to specific models within Model Garden for consumption via IAM roles on individual models is not the primary mechanism for enforcing a list of approved models across an organization in a preventative way. Organization policies are designed for this kind of broad, preventative control.
B). Regularly audit user activity logs in Vertex AI to identify and revoke access to unapproved models:
Auditing logs is a reactive measure. While important for monitoring and detecting violations, it does not prevent users from accessing unapproved models in the first place. The requirement is to ensure they can only access approved models, implying a proactive control.
C). Train custom models within your Vertex AI project and restrict user access to these models: This is about managing access to custom-trained models, not about controlling access to the collection of models in Model Garden, which often includes pre-trained or publicly available models that need to be whitelisted. It doesn't address the requirement of ensuring users only access approved models from the broader Model Garden collection.
Therefore, implementing an organization policy with the vertexai.allowedModels constraint is the most effective and Google-recommended way to centrally ensure that users can only access approved models within an organization using Model Garden.

質問 # 90
顧客は、平文のシークレットをソース コード管理 (SCM) システムに保存する代わりの方法を必要としています。
お客様は、Google Cloud Platform を使用してこれをどのように達成する必要がありますか?

• A. Cloud Data Loss Prevention API を実行してシークレットをスキャンし、Cloud SQL に保存します。
• B. Cloud Source Repositories を使用し、シークレットを Cloud SQL に保存します。
• C. ローカル SSD を使用して SCM を Compute Engine VM にデプロイし、プリエンプティブル VM を有効にします。
• D. シークレットを顧客管理の暗号鍵 (CMEK) で暗号化し、Cloud Storage に保存します。

正解：D

解説：
Storing secrets securely is crucial for maintaining the integrity and confidentiality of your applications. Here is how you can achieve this using Google Cloud Platform:
* Encrypt the Secrets: Use Customer-Managed Encryption Keys (CMEK) to encrypt your secrets. CMEK allows you to have greater control over the encryption keys used to protect your data. This ensures that even if the storage medium is compromised, the secrets remain protected by strong encryption.
* Store in Cloud Storage: Store the encrypted secrets in Google Cloud Storage. Cloud Storage is a secure and scalable object storage service. By using encrypted storage, you can ensure that the secrets are securely stored and can only be accessed by authorized entities.
This method provides a secure and managed way to store secrets, ensuring that they are not exposed in plain text within your source code management system.
References
* Customer-Managed Encryption Keys (CMEK)
* Google Cloud Storage Security

質問 # 91
次のリソース階層があります。示されているように、階層内の各ノードに組織ポリシーがあります。VPC A で拒否されるロードバランサーのタイプはどれですか?

• A. フォルダーのポリシーに従って、INTERNAL_TCP_UDP、INTERNAL_HTTP_HTTPS を拒否します。
• B. フォルダーとプロジェクトのポリシーに従って、EXTERNAL_TCP_PROXY、EXTERNAL_SSL_PROXY、INTERNAL_TCP_UDP、および INTERNAL_HTTP_HTTPS が拒否されます。
• C. グローバル ノードのポリシーに従って、すべてのロード バランサ タイプが拒否されます。
• D. プロジェクトのポリシーに従って、EXTERNAL_TCP_PROXY、EXTERNAL_SSL_PROXY は拒否されます。

正解：B

解説：
Understanding Organization Policies:
Organization policies are rules that can be set at different levels of the resource hierarchy in GCP to enforce governance and compliance.
These policies can be set at the organization node, folders, and projects, and they are inherited down the hierarchy unless explicitly overridden.
Hierarchy and Policy Inheritance:
The provided resource hierarchy has an organization node (Example.com), folders (Folder 1 and Folder 2), and a project (Project 2) under Folder 2 with a specific VPC (VPC A).
Each node in the hierarchy can have its own policies, and these policies are inherited by child nodes unless overridden.
Analyzing the Policies in the Hierarchy:
Organization Node Policy:
json
Copy code
{ "constraint": "constraints/compute.restrictLoadBalancerCreationForTypes", "listPolicy": { "allValues": "DENY" } } This policy at the organization node denies all load balancer types.
Folder 2 Policy:
json
Copy code
{ "constraint": "constraints/compute.restrictLoadBalancerCreationForTypes", "listPolicy": { "deniedValues": ["INTERNAL_TCP_UDP", "INTERNAL_HTTP_HTTPS"] } } This policy at Folder 2 denies the creation of INTERNAL_TCP_UDP and INTERNAL_HTTP_HTTPS load balancers.
Project 2 Policy:
json
Copy code
{ "constraint": "constraints/compute.restrictLoadBalancerCreationForTypes", "listPolicy": { "deniedValues": ["EXTERNAL_TCP_PROXY", "EXTERNAL_SSL_PROXY"] } } This policy at Project 2 denies the creation of EXTERNAL_TCP_PROXY and EXTERNAL_SSL_PROXY load balancers.
Policy Application to VPC A:
Since policies are inherited, VPC A (which is within Project 2 under Folder 2) will be affected by the policies of both Folder 2 and Project 2.
Combining the denied values from both Folder 2 and Project 2:
From Folder 2: INTERNAL_TCP_UDP, INTERNAL_HTTP_HTTPS
From Project 2: EXTERNAL_TCP_PROXY, EXTERNAL_SSL_PROXY
Conclusion:
VPC A will have the following load balancer types denied: INTERNAL_TCP_UDP, INTERNAL_HTTP_HTTPS, EXTERNAL_TCP_PROXY, EXTERNAL_SSL_PROXY.
Reference:
GCP Documentation on Organization Policies
GCP Documentation on Constraints and List Policies

質問 # 92
......

Professional-Cloud-Security-Engineer日本語時間限定！無料アクセス：https://www.passtest.jp/Google/Professional-Cloud-Security-Engineer-JPN-shiken.html