ある企業が、Google CloudのCompute Engineにおいて、特定のVMが利用できる最大CPU数やストレージ容量に上限を設定し、開発者が無制限にリソースをプロビジョニングすることを防ぎたいと考えています。最も適切なアプローチはどれですか？
- A. 各開発者のGoogleアカウントを削除してアクセスを制限する
- B. IAMの組織ポリシー（Organization Policy）でリソースタイプごとの制約を設定し、プロジェクトレベルで許可されるリソースの種類や設定を制限する
- C. 過剰プロビジョニングは技術的に防止できないため、月次レビューで手動で修正する
- D. Google Cloud ConsoleのUIを物理的に遮断して開発者がアクセスできないようにする
解答と解説を見る
正解: B
組織ポリシー（Organization Policy）を使うと、特定のVMマシンタイプのみ許可（例：n2-standard系のみ）、特定リージョン以外でのリソース作成禁止、外部IPアドレスの割り当て禁止等のガードレールをプロジェクトやフォルダー単位に設定できる。これにより開発者が誤って高コストなリソースをプロビジョニングするリスクを軽減できる。アカウント削除は開発業務を完全に阻害。UIの物理遮断は非現実的でAPIアクセスは防げない。月次手動レビューは後手対応でリアルタイムの制御ができない。
📚 関連サービスの解説: Cloud IAM