Google Cloudセキュリティ

Cloud IAMとは

Google Cloud リソースへのアクセス制御を管理するサービス。「誰が（プリンシパル）」「何を（ロール）」「どのリソースに対して」できるかを定義するポリシーベースの認可システム。

ロールには基本ロール（Owner・Editor・Viewer）・事前定義ロール・カスタムロールの 3 種類があり、最小権限の原則に従い事前定義ロールかカスタムロールを使うことが推奨される。

プリンシパルには Google アカウント・グループ・サービスアカウント・ドメインなどがある。サービスアカウントは VM や Cloud Run などのワークロードがリソースにアクセスする際の ID として機能する。

試験での問われ方

CDL/ACE 最重要トピックの一つ。最小権限の原則の適用（Owner ロールを業務ユーザーに付与しない）、サービスアカウントキーの代わりに Workload Identity や Application Default Credentials を使う設計が問われる。

ACE ではポリシーの継承（組織→フォルダ→プロジェクト→リソース）と deny ポリシー（拒否が優先する）の仕組み、サービスアカウントの権限借用（Impersonation）と直接鍵ファイルの使用リスクの違いが引っかけになりやすい。