【正解】D
【0からの解説】
①前提知識
Google Cloud のプロジェクトは、組織 → フォルダ → プロジェクトというリソース階層の中に作成されます。プロジェクトの作成には resourcemanager.projects.create 権限(通常はプロジェクト作成者 roles/resourcemanager.projectCreator ロール)が必要です。プロジェクト作成者ロールの説明にあるとおり、ユーザーがプロジェクトを作成すると、そのユーザーには新しいプロジェクトのオーナー(roles/owner)ロールが自動的に付与されます。つまり、手動で作られたプロジェクトでは、特に誰かが後から変更していない限り、作成したユーザーがオーナーとして IAM ポリシーに残っています。
②要件の整理
・手動で作成されたプロジェクトの「作成者(人)」を特定したい
・目的は本人に新しいプロセスを周知すること
③正解の理由
コンソールの [IAM] ページ(または gcloud projects get-iam-policy)でオーナー ロールを持つプリンシパルを確認すれば、プロジェクトを作成したユーザーを最も手軽に特定できます。補足として、厳密な作成者の記録は Cloud Audit Logs の管理アクティビティ監査ログ(CreateProject オペレーションの principalEmail)に残ります。オーナーが後から追加・変更されている可能性がある場合は、監査ログで裏付けを取るのが確実です。ただし、この問題の選択肢の中では D が作成者の特定に直接結びつく唯一の方法です。
【誤りの選択肢】
A:Google Cloud はプロジェクト作成時に creator のようなラベルを自動で付けません。ラベルはユーザーや自動化ツールが任意に付けるキーと値であり、手動で作られたプロジェクトには通常存在しないため、作成者の特定には使えません。
B:フォルダとプロジェクトの階層から分かるのは、プロジェクトがどのフォルダ(部署など)に属しているかまでで、個々の作成者は分かりません。また手動作成のプロジェクトが組織の想定どおりのフォルダに置かれているとも限りません。
C:請求先アカウントのオーナー(請求先アカウント管理者)は、課金を管理する人であって、プロジェクトを作成した人とは限りません。複数のプロジェクトが同じ請求先アカウントを共有していることも多く、作成者の特定にはなりません。
【参考】
プロジェクトを作成する | Resource Managerロールと権限 | Identity and Access Management (IAM)Resource Manager の監査ロギング