セクション1 要点と暗記：データ処理システムの設計 🎯
試験直前の総ざらい用。暗記すべき表と一問一答でセクション1を固めます。
🔑 暗記必須テーブル
暗号化の3方式
| 方式 | 鍵管理 | キーワード |
|---|---|---|
| デフォルト | 何もしなくても暗号化される | |
| CMEK | 顧客（KMS） | 鍵のローテーション/失効を制御 |
| CSEK | 顧客（持ち込み） | 鍵をGCPに預けない |
セキュリティ層の役割分担
| 課題 | 解決サービス |
|---|---|
| 誰が何にアクセスできるか | Cloud IAM |
| 組織全体に制約を強制 | 組織ポリシー |
| データの外部持ち出し防止 | VPC Service Controls |
| PIIの検出・マスキング | Cloud DLP |
| 暗号鍵の管理 | Cloud KMS |
| 列レベルアクセス制御 | ポリシータグ |
| 元テーブル非公開で結果共有 | 承認済みビュー |
整合性とストレージ
| 要件 | ストレージ |
|---|---|
| 強整合・グローバル分散 | Spanner |
| 強整合・リージョナルRDB | Cloud SQL / AlloyDB |
| 結果整合・大量低レイテンシ | Bigtable |
| 結果整合・ドキュメント/同期 | Firestore |
移行サービス
| 用途 | サービス |
|---|---|
| DB移行（低ダウンタイム） | Database Migration Service |
| 継続的CDC | Datastream |
| 他DWH/SaaS定期取込 | BigQuery Data Transfer Service |
| 巨大データのオフライン転送 | Transfer Appliance |
| 他クラウド/オンプレ→GCS | Storage Transfer Service |
✅ 一問一答（確認テスト）
Q1. IAMで権限を最小化したが、認証情報漏洩によるデータ持ち出しを防ぎたい。追加すべきは？
A. VPC Service Controls（サービス境界を作り、境界外へのデータ移動をブロック）
Q2. 鍵をGoogle Cloudに一切預けず、自社で完全に保持したい暗号化方式は？
A. CSEK（顧客提供暗号鍵）
Q3. グローバル規模で強整合なトランザクションが必要なRDBは？
A. Cloud Spanner
Q4. アナリストに集計結果だけ見せ、元の個人情報テーブルへの直接アクセスは与えたくない。使う機能は？
A. 承認済みビュー（Authorized View）。加えて列レベルはポリシータグ、行レベルは行レベルセキュリティ。
Q5. オンプレの800TBの履歴データをGoogle Cloudへ移行したい。ネットワーク帯域が限られる。最適な方法は？
A. Transfer Appliance（物理アプライアンスでオフライン転送）
Q6. オンプレのMySQLの変更をリアルタイムにBigQueryへ複製し続けたい。使うサービスは？
A. Datastream（サーバーレスCDC）
Q7. EUの顧客データはEU域内に保存する法的要件がある。設計上のポイントは？
A. データセット/リソースのロケーションをEUに固定（BigQueryデータセットは作成後変更不可）。組織ポリシーで誤配置を防止。
Q8. IoTセンサーから毎秒数百万件の書き込み、ミリ秒での読み取りが必要。結果整合性で良い。ストレージは？
A. Bigtable
Q9. BigQuery内のSQL変換をバージョン管理し、依存関係とテストを宣言的に管理したい。使うツールは？
A. Dataform
Q10. データをGCPに移動せず、AWS S3上のデータをBigQueryで分析したい。使う機能は？
A. BigQuery Omni（マルチクラウド分析。BigLakeも関連）
🎯 ひっかけ注意ポイント
- 「IAMで十分」と思わせて実はVPC SCが答え（境界防御）
- 「自前で暗号化実装」よりCMEK/CSEK（マネージド鍵管理）
- 「大量データを通常のネットワークで転送」よりTransfer Appliance（オフライン）
- 「データをコピーして各所に配る」よりAnalytics Hub / BigQuery Omni（コピー不要）
- BigQueryデータセットのロケーションは後から変えられない点を突く問題
📝 セルフチェック
- 暗記テーブル4つを白紙から再現できる
- 一問一答を全問即答できる
- 問題集セクション1 で80%以上取れた