問題演習 | PCSE

本サイトのインタラクティブ採点付き問題集です。クリックして選択 → 「採点する」で結果と解説を表示。20 問 各セクション混合。
詳細な解説付き問題集（セクション別 70 問・模試 100 問）は /03_問題集/ および /04_模擬試験/ を参照。

Q1📘 S1

スタートアップが IAM 戦略を設計する。Google が推奨するベストプラクティスは？

A. 全員に Owner 付与 B. 個人に事前定義ロール直接付与 C. Google グループに最小権限の事前定義ロール D. SA 鍵を社員に配布

最小権限 + グループ単位付与が IAM のベストプラクティス。

Q2🔧 S1

GitHub Actions から GCP API を呼ぶ際、SA 鍵を撒きたくない。最適な方式は？

A. SA 鍵 JSON を GitHub Secrets に保管 B. Workload Identity Federation で OIDC 連携 C. 個人 Cloud Identity アカウントを共有 D. SA を Cloud Functions 化

Workload Identity Federation で鍵レス CI/CD。OIDC トークン → SA impersonate。

Q3🔧 S2

IAM で権限最小化済。認証情報漏洩によるデータ持ち出しを防ぎたい。追加すべきは？

A. すべて CMEK で暗号化 B. VPC Service Controls で境界構築 C. Cloud Armor で IP 制限 D. SA 鍵作成禁止

VPC SC は IAM とは別レイヤ。境界外への egress をブロック。

Q4📘 S2

社員に VPN なしで社内 Web へセキュアアクセス。使うのは？

A. Cloud Armor B. Identity-Aware Proxy (IAP) C. VPC Service Controls D. HA VPN

IAP は ID ベースのアクセス制御。BeyondCorp の中核。

Q5🔧 S3

鍵を Google Cloud に一切預けず、社内 HSM で管理したい。使うのは？

A. CMEK（Cloud KMS） B. Cloud HSM C. Cloud External Key Manager (EKM) D. Google 既定暗号化

EKM は外部 KMS（社内 HSM）が鍵を保持。CMEK は KMS 内、Cloud HSM も GCP 内。

Q6🔧 S3

クレカ番号を桁数・形式を維持しつつ可逆に変換。手法は？

A. Redaction B. Generalization C. Format-Preserving Encryption (FPE) D. Hashing

FPE は形式維持で可逆。鍵があれば元に戻せる。

Q7📘 S4

Cloud Audit Logs の4種類のうち、既定無効・有料なのは？

A. Admin Activity B. Data Access C. System Event D. Policy Denied

Data Access のみ既定無効・有料。読み書きの記録なのでコストが大きい。

Q8🔧 S4

未署名コンテナの GKE デプロイをブロック。使うのは？

A. Binary Authorization B. SCC Standard C. Cloud IDS D. Artifact Registry の vuln scan のみ

Binary Authorization で署名済みのみ許可。Attestor を信頼する署名で検証。

Q9🔧 S5

EU 居住者データを EU 内に保管、EU サポート人員のみ、Google アクセスは承認制。組み合わせは？

A. Assured Workloads (EU Sovereign Controls) + Access Approval B. 組織ポリシー `gcp.resourceLocations` のみ C. CMEK + Audit Logs D. VPC SC のみ

Assured Workloads (EU Sovereign Controls) が地域 + 人員制約、Access Approval で承認制。

Q10📘 S5

Google サポートのアクセスを「承認制」にしたい。使うのは？

A. Access Transparency B. Access Approval C. Cloud Audit Logs D. Compliance Reports Manager

Approval = 能動的な承認制ゲート。Transparency = 受動的ログ。

Q11📘 S1

全社員に最も強い MFA を強制したい。試験での正解の型は？

A. SMS B. TOTP C. ハードウェアセキュリティキー（FIDO） D. メール認証

FIDO セキュリティキーがフィッシング耐性最強。

Q12🎯 S2

VPC SC を本番影響なしで検証したい。使うモードは？

A. Enforcement B. Dry Run C. Inspection D. Audit-only

Dry Run モードで `dryRunPolicy` を構成。違反はログ化されるが実際にはブロックしない。

Q13🔧 S3

VM のメモリ上の処理データも暗号化。使うのは？

A. CMEK B. Confidential VM C. Cloud KMS D. OS Login

Confidential VM = 使用中暗号化。AMD SEV / Intel TDX。

Q14🔧 S4

GCE 上の暗号通貨マイナーを検出。使うのは？

A. Event Threat Detection B. VM Threat Detection C. Container Threat Detection D. Security Health Analytics

VM Threat Detection（SCC Premium 以上）が GCE のマイナー検出専門。

Q15🔧 S5

すべての BigQuery / GCS で CMEK を強制したい。組織ポリシーは？

A. `gcp.restrictNonCmekServices` B. `gcp.resourceLocations` C. `iam.disableServiceAccountKeyCreation` D. `compute.requireOsLogin`

CMEK でないサービス利用を禁止する組織ポリシー。

Q16🎯 S2

SaaS 提供者が顧客 VPC からプライベート IP で消費。VPC Peering 代替は？

A. Cloud VPN B. Private Service Connect (PSC) C. Shared VPC D. Cloud Interconnect

PSC の Producer/Consumer モデル。推移的接続なし問題を回避。

Q17🔧 S1

開発者に SA を VM に「割り当てる」だけ許可。トークン発行は不可。付与するロールは？

A. `roles/iam.serviceAccountUser` B. `roles/iam.serviceAccountTokenCreator` C. `roles/iam.serviceAccountKeyAdmin` D. `roles/owner`

User = 割り当てのみ。TokenCreator = impersonate。混同に注意。

Q18🎯 S2

オンプレからの API アクセスで Public IP を完全遮断、VPC SC 連携も。設定は？

A. Cloud NAT B. Private Google Access + `private.googleapis.com` C. Restricted Google Access + `restricted.googleapis.com` + VPC SC D. Cloud Armor

Restricted（199.36.153.4/30）+ VPC SC で Public 経由完全遮断。

Q19🔧 S4

組織全体のログを 1 つの Pub/Sub に集約して Chronicle に流したい。使うのは？

A. プロジェクト Sink を全プロジェクトに作る B. Aggregated Sink を組織レベルで作成 C. Cloud Monitoring Workspace D. BigQuery にエクスポート

Aggregated Sink で組織レベル集約。Pub/Sub 経由 SIEM 連携が標準。

Q20🎯 S5

Assured Workloads のコンプライアンスタイプを後から変更できるか？

A. いつでも変更可能 B. 24 時間以内なら可能 C. 変更不可（新規作成して移行） D. Google サポートに依頼すれば可

作成時のみ指定、後から変更不可。設計時に注意。

📚 さらに練習するには詳細な解説付き問題集（セクション別 70 問・模試 100 問）は /03_問題集/ および /04_模擬試験/ を参照。

問題演習（採点付き）