模擬問題集 › GCP-ACE › 練習問題 3

GCP-ACE 練習問題 3|クラウド ソリューション環境の設定

Associate Cloud Engineer・無料公開(全 200 問中 15 問を無料公開中)

問題
あなたは会社の Google Cloud ガバナンスを担当しており、最近、Google Cloud プロジェクトをプロビジョニングするための新しい自動化プロセスを導入しました。この新しいプロセスの導入前に手動で作成されたプロジェクトがいくつか見つかりました。新しいプロセスについて伝えるために、これらのプロジェクトの作成者を特定する必要があります。どうすればよいですか。

選択肢と解説

  • 1
    プロジェクトに付与されている creator ラベルの値を確認して、プロジェクトの作成者を見つける。
  • 2
    Resource Manager を使用して、フォルダとプロジェクトの階層から担当部署を特定する。
  • 3
    プロジェクトにリンクされている Cloud Billing アカウントを確認し、その請求先アカウントのオーナーに連絡する。
  • ✓
    Google Cloud コンソールの IAM ページを使用して、オーナー(Owner)ロールを持つユーザーを特定する。

解説

【正解】D

【0からの解説】
①前提知識
Google Cloud のプロジェクトは、組織 → フォルダ → プロジェクトというリソース階層の中に作成されます。プロジェクトの作成には resourcemanager.projects.create 権限(通常はプロジェクト作成者 roles/resourcemanager.projectCreator ロール)が必要です。プロジェクト作成者ロールの説明にあるとおり、ユーザーがプロジェクトを作成すると、そのユーザーには新しいプロジェクトのオーナー(roles/owner)ロールが自動的に付与されます。つまり、手動で作られたプロジェクトでは、特に誰かが後から変更していない限り、作成したユーザーがオーナーとして IAM ポリシーに残っています。

②要件の整理
・手動で作成されたプロジェクトの「作成者(人)」を特定したい
・目的は本人に新しいプロセスを周知すること

③正解の理由
コンソールの [IAM] ページ(または gcloud projects get-iam-policy)でオーナー ロールを持つプリンシパルを確認すれば、プロジェクトを作成したユーザーを最も手軽に特定できます。補足として、厳密な作成者の記録は Cloud Audit Logs の管理アクティビティ監査ログ(CreateProject オペレーションの principalEmail)に残ります。オーナーが後から追加・変更されている可能性がある場合は、監査ログで裏付けを取るのが確実です。ただし、この問題の選択肢の中では D が作成者の特定に直接結びつく唯一の方法です。

【誤りの選択肢】
A:Google Cloud はプロジェクト作成時に creator のようなラベルを自動で付けません。ラベルはユーザーや自動化ツールが任意に付けるキーと値であり、手動で作られたプロジェクトには通常存在しないため、作成者の特定には使えません。
B:フォルダとプロジェクトの階層から分かるのは、プロジェクトがどのフォルダ(部署など)に属しているかまでで、個々の作成者は分かりません。また手動作成のプロジェクトが組織の想定どおりのフォルダに置かれているとも限りません。
C:請求先アカウントのオーナー(請求先アカウント管理者)は、課金を管理する人であって、プロジェクトを作成した人とは限りません。複数のプロジェクトが同じ請求先アカウントを共有していることも多く、作成者の特定にはなりません。

【参考】
プロジェクトを作成する | Resource Manager
ロールと権限 | Identity and Access Management (IAM)
Resource Manager の監査ロギング
← 練習問題 2練習問題 4 →
GCP-ACE の模擬問題集は全 200 問

本番形式の練習テスト 4 回を、試験モード/演習モードで受験できます。 全問に解説付き、ドメイン別の弱点分析にも対応。模試プラン(月額 ¥980)からご利用いただけます。

GCP-ACE の模試を受ける料金プランを見る

GCP-ACE の無料公開問題

問題 1問題 2問題 3問題 4問題 5問題 6問題 7問題 8問題 9問題 10問題 11問題 12問題 13問題 14問題 15