Professional-Cloud-Security-Engineer日本語試験無料問題集（268題）「Google Cloud Certified - Professional Cloud Security Engineer Exam (Professional-Cloud-Security-Engineer日本語版) 認定」

出題：1

ユーザーに代わってユーザーの Google ドライブにアクセスする必要がある内部 App Engine アプリケーションを作成しています。あなたの会社は、現在のユーザーの資格情報に依存したくありません。また、Google が推奨するプラクティスにも従いたいと考えています。
あなたは何をするべきか？

A. 新しいサービスアカウントを作成し、すべてのアプリケーションユーザーにサービスアカウントユーザーの役割を付与します。

B. 専用の G Suite 管理者アカウントを使用し、これらの G Suite 資格情報でアプリケーションの操作を認証します。

C. 新しいサービスアカウントを作成し、すべてのアプリケーションユーザーを Google グループに追加します。このグループにサービスアカウントユーザーの役割を与えます。

D. 新しいサービスアカウントを作成し、それに G Suite ドメイン全体の委任を付与します。アプリケーションでそれを使用して、ユーザーを偽装します。

正解：D 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：2

セキュリティ監査により、プロジェクトのIdentity and Access Management（IAM）設定に複数の不整合が見つかりました。一部のサービスアカウントのロール権限が過度に高く、一部の外部協力者には必要以上のアクセス権が付与されています。IAMポリシーの変更、ユーザーアクティビティ、サービスアカウントの動作、機密性の高いプロジェクトへのアクセス状況を詳細に把握する必要があります。どうすればよいでしょうか？

A. OS Config Management エージェントを VM に展開します。OS Config Management を使用して、パッチ管理ジョブを作成し、システムの変更を監視します。

B. Cloud Monitoring のメトリックスエクスプローラーを有効にして、サービスアカウントの認証イベントを追跡し、それにリンクされたアラートを作成します。

C. Cloud Audit Logs を使用します。ログエクスポートシンクを作成し、これらのログをセキュリティ情報イベント管理 (SIEM) ソリューションに送信して、他のイベントソースとの相関関係を確認します。

D. IAM ポリシーの変更によって Google Cloud Functions がトリガーされるように設定します。ポリシーシミュレータを使用して変更を分析し、リスクの高い変更があった場合にアラートを送信し、イベントの詳細を保存します。

正解：C 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：3

設計によって、GDPR 要件に従ってデータ保護を実装しています。設計レビューの一環として、Compute Engine、Google Kubernetes Engine、Cloud Storage、BigQuery、Pub/Sub のワークロードを含むソリューションの暗号鍵を管理する必要があると言われました。この実装にはどのオプションを選択する必要がありますか?

A. 顧客管理の暗号鍵

B. クラウド外部キーマネージャー

C. 顧客提供の暗号化キー

D. Google のデフォルトの暗号化

正解：A 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：4

セキュリティ脆弱性評価を実施した結果、クラウド管理者がGoogle Cloud CLIセッションを数日間開いたままにしていることがわかりました。これらのセッションの有効期間を最小限に設定することで、攻撃者がこれらのセッションを悪用するリスクを軽減する必要があります。
何をすべきでしょうか?

A. 再認証頻度（または Google Cloud セッション制御）を 1 時間に設定します。

B. 組織ポリシーの制約を設定する
制約/iam.allowServiceAccountCredentialLifetimeExtension を 1 時間に設定します。

C. 組織ポリシー制約の constraints/iam. serviceAccountKeyExpiryHours を 1 時間に設定し、inheritFromParent を false に設定します。

D. Google セッションコントロールのセッション期間を 1 時間に設定します。

正解：A 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：5

貴社は、IT インフラストラクチャの大部分を Google Cloud に移行する予定です。既存のオンプレミス Active Directory を Google Cloud の ID プロバイダとして活用したいと考えています。貴社のオンプレミス Active Directory を Google Cloud と統合し、アクセス管理を構成するには、どの 2 つの手順を実行する必要がありますか（2 つ選択してください）。

A. 各 Active Directory グループに対応する権限を持つ Identity and Access Management (1AM) ロールを作成します。

B. 各 Active Directory グループに対応する権限を持つ Identity and Access Management (1AM) グループを作成します。

C. Google Cloud Directory Sync をインストールし、Active Directory と Cloud Identity に接続します。

D. Cloud Identity SAML 統合を使用して、ユーザーとグループを Google Cloud にプロビジョニングします。

E. Identity Platform を使用して、ユーザーとグループを Google Cloud にプロビジョニングします。

正解：B,C 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：6

あなたは会社のセキュリティ管理者です。Cloud IAM の LDAP ディレクトリからのメールアドレスを持つすべてのセキュリティグループを同期したいと考えています。
あなたは何をするべきか？

A. LDAP 検索ルールを使用してセキュリティグループを同期するように Google Cloud Directory Sync を構成します。
双方向同期を容易にするための属性として「ユーザーの電子メールアドレス」。

B. 管理ツールを使用して、グループオブジェクトクラスの属性に基づいてサブセットを同期します。Google ドメインでグループを作成します。Google ドメインで作成されたグループには、明示的な Google Cloud Identity and Access Management (IAM) ロールが自動的に付与されます。

C. 管理ツールを使用して、電子メールアドレス属性に基づいてサブセットを同期します。Google ドメインでグループを作成します。Google ドメインで作成されたグループには、明示的な Google Cloud Identity and Access Management (IAM) ロールが自動的に付与されます。

D. LDAP 検索ルールを使用してセキュリティグループを同期するように Google Cloud Directory Sync を構成します。
一方向の同期を容易にする属性として「ユーザーの電子メールアドレス」。

正解：D 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：7

場所を特定し、さまざまな種類のモデルを一貫した方法で展開するには、ユーザーが承認されたモデルにのみアクセスできるようにする必要があります。何をすべきでしょうか?

A. vertexaiallowedModels制約を制限する組織ポリシーを実装する

B. Vertex AI のユーザーアクティビティログを定期的に監査し、承認されていないモデルへのアクセスを識別して取り消します。

C. 特定のモデルへのアクセスを制限するために、個々のモデルガーデンにIAM権限を設定します。

D. Vertex AI プロジェクト内でカスタムモデルをトレーニングし、これらのモデルへのユーザーアクセスを制限します。

正解：A 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：8

Compute Engine で実行されるアプリケーションから機密性の高い構成データを保存および取得するためのソリューションを推奨するよう求められました。どのオプションをお勧めしますか?

A. Compute Engine のゲスト属性

B. Compute Engine カスタムメタデータ

C. クラウド鍵管理サービス

D. シークレットマネージャー

正解：D 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：9

お客様の内部セキュリティチームは、Cloud Storage 上のデータを暗号化するために独自の暗号鍵を管理する必要があり、顧客指定の暗号鍵（CSEK）を使用することにしました。
チームはこのタスクをどのように完了する必要がありますか?

A. gsutil コマンドラインツールを使用してオブジェクトを Cloud Storage にアップロードし、暗号鍵の場所を指定します。

B. オブジェクトを暗号化してから、gsutil コマンドラインツールまたは Google Cloud Platform Console を使用してオブジェクトを Cloud Storage にアップロードします。

C. Google Cloud Platform Console で暗号化キーを生成し、指定されたキーを使用してオブジェクトを Cloud Storage にアップロードします。

D. 暗号化キーを Cloud Storage バケットにアップロードしてから、オブジェクトを同じバケットにアップロードします。

正解：A 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：10

Google Cloud フットプリントのネットワークセグメンテーションを監査する必要があります。現在、本番環境と非本番環境の Infrastructure as a Service（IaaS）環境を運用しています。すべての VM インスタンスは、サービスアカウントのカスタマイズなしでデプロイされています。
カスタムネットワーク内のトラフィックを観察すると、トラフィックを適切にセグメント化するためにタグベースの VPC ファイアウォールルールが設定されているにもかかわらず、すべてのインスタンスが優先度 1000 で自由に通信できることに気付きました。この動作の最も可能性の高い理由は何でしょうか。

A. すべての VM インスタンスは同じネットワークサブネットに存在します。

B. すべての VM インスタンスは同じネットワークルートで構成されています。

C. VPC ファイアウォールルールは、優先度 1001 の同じサービスアカウントに基づいてソース/ターゲット間のトラフィックを許可しています。

D. VPC ファイアウォールルールは、優先度 999 の同じサービスアカウントに基づいてソース/ターゲット間のトラフィックを許可しています。

E. すべての VM インスタンスにそれぞれのネットワークタグがありません。

正解：D 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：11

組織は、アプリケーションホスティングサービスに Google Cloud Platform (GCP) を採用しており、Cloud Identity アカウントのパスワード要件を設定するためのガイダンスを必要としています。組織には、企業の従業員のパスワードに最小文字数を含める必要があるというパスワードポリシー要件があります。
組織が新しい要件を通知するために使用できる Cloud Identity パスワードガイドラインはどれですか?

A. パスワードの最小長を 6 文字に設定します。

B. パスワードの最小長を 10 文字に設定します。

C. パスワードの最小長を 8 文字に設定します。

D. パスワードの最小長を 12 文字に設定します。

正解：C 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：12

組織では、規制の厳しい業界に属するミッションクリティカルなワークロードを管理しています。このワークロードでは、エンドポイントのコンピュータから Cloud Storage にアップロードされた機密データを Compute Engine VM を使用して分析・処理しています。コンプライアンスチームは、このワークロードが機密データのデータ保護要件を満たしていないことを検出しました。以下の要件を満たす必要があります。
* Google Cloud 境界外でデータ暗号化キー (DEK) を管理します。
* サードパーティプロバイダーを通じて暗号化キーを完全に制御します。
* 機密データをクラウドストレージにアップロードする前に暗号化する
* Compute Engine VMでの処理中に機密データを復号化する
* Compute Engine VM で使用中にメモリ内の機密データを暗号化するにはどうすればよいでしょうか?
2つの回答を選択してください

A. 機密データにアクセスするために、Compute Engine VM を Confidential VMs に移行します。

B. Cloud 外部キーマネージャーを構成して、機密データを Cloud Storage にアップロードする前に暗号化し、VM にダウンロードした後に復号化します。

C. 顧客管理の暗号鍵を構成して、機密データを Cloud Storage にアップロードする前に暗号化し、VM にダウンロードした後に機密データを復号します。

D. 既存の Compute Engine VM と Cloud Storage バケット全体に VPC Service Controls のサービス境界を作成します。

E. 機密データにアクセスするための Confidential VM を作成します。

正解：B,E 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：13

金融サービス会社には、厳格な規制フレームワークに基づく監査要件があり、すべての管理およびデータアクセスアクティビティについて包括的で不変の監査証跡を必要とし、データが 7 年間保持されることが保証されています。現在のログ記録は個々のプロジェクト間で断片化されています。監査にアクセスできる、一元化された改ざん防止の長期ログ記録ソリューションを確立する必要があります。どうすればよいですか。

A. Pub/Sub を実装して、各プロジェクトのすべての監査ログを外部のセキュリティ情報イベント管理 (SIEM) にリアルタイムでストリーミングし、長期的な分析を行う

B. 組織レベルの Cloud Logging シンクを確立して、オブジェクト保持ロック付きの専用の Cloud Storage バケットに Cloud Audit Logs をエクスポートします。

C. 各プロジェクト内のすべての Google Cloud サービスに対して Cloud Audit Logs を個別に構成し、30 日間の保持ポリシーでリージョンの Cloud Logging バケットにログを保存します。

D. 組織全体で Security Command Center を有効にして、脅威を一元的に可視化し、すべての Google Cloud プロジェクトのコンプライアンス体制を管理します。

正解：B 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：14

非機密データのキー管理の複雑さを軽減し、機密データを保護しながら、キーの常駐とローテーションスケジュールを制御する柔軟性を提供する保管時の暗号化戦略を実装する必要があります。FIPS 140-2 L1 準拠は、すべてのデータタイプに必要です。あなたは何をするべきか？

A. 非機密データを Google のデフォルトの暗号化で暗号化し、機密データを Cloud Key Management Service で暗号化します。

B. 非機密データと機密データを Cloud Key Management Service で暗号化する

C. 非機密データと機密データを Cloud External Key Manager で暗号化します。

D. 非機密データは Google のデフォルトの暗号化で暗号化し、機密データは Cloud External Key Manager で暗号化します。

正解：A 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：15

ユーザーが共有 VPC ホストプロジェクトを誤って削除するのを防ぎたい。どの組織レベルのポリシー制約を有効にする必要がありますか?

A. compute.sharedReservationsOwnerProjects

B. compute.restrictXpnProjectLienRemoval

C. compute.restrictSharedVpcSubnetworks

D. compute.restrictSharedVpcHostProjects

正解：B 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：16

管理アプリケーションは、Virtual Private Cloud（VPC）インスタンス内のマネージドグループ内の仮想マシン（VM）のポート5601で実行されていますが、現在インターネットにアクセスできません。ポート5601のウェブインターフェースをユーザーに公開し、Google認証情報による認証と承認を適用したいと考えています。どうすればよいでしょうか？

A. OS ログインを有効にして要塞ホストを構成し、VPC ファイアウォールでポート 5601 への接続を許可します。ブラウザの SSH を使用して Google Cloud コンソールから要塞ホストにログインし、次にウェブアプリケーションにログインします。

B. パブリックネットワークにセキュアシェルアクセス（SSH）の要塞ホストを設定し、その要塞ホストのみがポート5601でアプリケーションに接続できるようにします。要塞ホストをジャンプホストとして使用してアプリケーションに接続します。

C. Google 認証情報を使用して、Identity-Aware Proxy (IAP) 保護を備えたマネージドグループを指す HTTP ロードバランシングインスタンスを構成します。VPC ファイアウォールを変更して、IAP ネットワーク範囲からのアクセスを許可します。

D. デフォルトのルートポイントをデフォルトのインターネットゲートウェイに設定して VPC ルーティングを変更します。VPC ファイアウォールルールを変更して、インターネット 0.0.0.0/0 からアプリケーションインスタンスのポート 5601 へのアクセスを許可します。

正解：C 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

出題：17

組織では、多くのオープンソースプロジェクトに関係するソフトウェアを開発しており、ソフトウェアサプライチェーンの脅威を懸念しています。ソフトウェアが改ざんされていないことを証明するために、ビルドの来歴を提供する必要があります。
何をすべきでしょうか?

A. * 1- Cloud Build を使用して、ソフトウェアアーティファクトのサプライチェーンレベル (SLSA) レベル 3 保証を生成します。
* 2. Google Cloud コンソール内のセキュリティ分析情報サイドパネルでビルドの由来を表示します。

B. * 1、ソフトウェアコードをオープンソースとしてGitHubで公開します。
* 2. バグ報奨金プログラムを設立し、オープンソースコミュニティに脆弱性の確認、報告、修正を奨励します。

C. * 1. ソフトウェアプロセスを確認します。
* 2. 秘密鍵と公開鍵のペアを生成し、Pretty Good Privacy (PGP) プロトコルを使用して、企業の住所と連絡先を含むファイルとともに出力ソフトウェア成果物に署名します。
* 3. PGP 署名された証明書を公開 Web ページに公開します。

D. * 1. 外部監査人を雇ってレビューと出所の提供を依頼する
* 2. 範囲と条件を定義します。
* 3. セキュリティ部門または担当者からサポートを受けます。

正解：A 解答を投票する

解説: (GoShiken メンバーにのみ表示されます)

Professional-Cloud-Security-Engineer日本語試験無料問題集「Google Cloud Certified - Professional Cloud Security Engineer Exam (Professional-Cloud-Security-Engineer日本語版) 認定」