弱点補強: VPC Service Controls × IAP Context-Aware Access — Service Perimeter不在(個人GCPプロジェクトへPII持ち出し自由)→bigquery.googleapis.com/storage.googleapis.comにPerimeter × クロスプロジェクト連携未整理→両プロジェクトを同一Perimeterに包含 × いきなりenforce計画→Dry-run段階移行 × VPN固定IPアリストのみ→IAP+Access Level(デバイスポリシー) × 個人付与のIAP権限→グループ付与+四半期棚卸し × IPのみのAccess Level→ip_subnetworks+regions+device_policy AND条件 × VPC_SC_DENIED無アラート→ログベースメトリクス+通知（MOps 会員360度ビュー PIIデータ持ち出し防止・管理コンソールゼロトラスト化 Bad→Good 7点）

問題は2つの防御層の欠如に分類できる。(1) データの持ち出し（Exfiltration）を防ぐネットワーク境界の欠如 — IAMは「誰が」「何に」アクセスできるかしか制御できず、「アクセスできたデータをどこへ運べるか」は制御できない。VPC Service Controls は API 呼び出しレベルで境界（Perimeter）を張り、境界外への EXPORT・COPY 等をブロックする、IAMとは独立したもう一段の防御層。(2) 管理コンソールへの接続元の信頼性検証の欠如 — 従来のVPN+IPアリストは「どこから来たか」しか見ておらず、「その端末が信頼できる状態か」（パッチ適用済み・暗号化済み等）を見ていない。IAP の Context-Aware Access（Access Level）は、IP・地域・デバイスポリシーを組み合わせた条件をリクエスト単位で評価する。どちらも「一度信頼したら無条件に許可し続ける」のではなく、アクセスのたびに複数条件を再評価するゼロトラストの考え方が共通軸になる。

• 問題①: VPC Service Controls不在 → google_access_context_manager_service_perimeter で bigquery.googleapis.com/storage.googleapis.com を対象に Perimeter を作成し、境界外への EXPORT/COPY をブロックする
• 問題②: mops-prod/mops-analytics間の正当な連携経路が未整理 → 両プロジェクトを同一 Perimeter に含めるか、Perimeter Bridge（相互アクセス許可）を設定する
• 問題③: いきなりenforceで有効化する計画 → use_explicit_dry_run_spec = true のDry-runモードで数週間ログを観察し、想定外のブロックがないことを確認してから status へ昇格する
• 問題④: VPN固定IPアリストのみでデバイス状態未検証 → 管理コンソール（Cloud Run）の前段に IAP を有効化し、Access Level の device_policy（画面ロック・会社支給端末・暗号化状態）を条件に含める
• 問題⑤: IAPアクセス権限の棚卸し未実施 → roles/iap.httpsResourceAccessor を個人付与ではなくグループ（IdPと同期）に付与し、四半期ごとの Access Review を運用に組み込む
• 問題⑥: Access LevelがIPのみ → ip_subnetworks に加えて regions（許可国コード）・device_policy を AND 条件で組み合わせる
• 問題⑦: VPC_SC_DENIEDの監査ログにアラートなし → Cloud Logging の該当ログエントリをログベースメトリクス化し、Monitoring Alert Policy で即時通知する

# Access Level（デバイスポリシー + IP + 地域）
resource "google_access_context_manager_access_level" "corp_trusted" {
  parent = "accessPolicies/${var.access_policy_id}"
  name   = "accessPolicies/${var.access_policy_id}/accessLevels/corp_trusted"
  title  = "corp_trusted"
  basic {
    conditions {
      ip_subnetworks = ["203.0.113.0/24"]      # 修正⑥: 社内VPN出口IP
      regions         = ["JP"]                  # 修正⑥: 許可国コード
      device_policy {
        require_screen_lock = true              # 修正④
        require_corp_owned  = true              # 修正④
      }
    }
  }
}

# Service Perimeter（Dry-runで開始, 修正①③）
resource "google_access_context_manager_service_perimeter" "mops_perimeter" {
  parent         = "accessPolicies/${var.access_policy_id}"
  name           = "accessPolicies/${var.access_policy_id}/servicePerimeters/mops_data_perimeter"
  title          = "mops_data_perimeter"
  perimeter_type = "PERIMETER_TYPE_REGULAR"

  use_explicit_dry_run_spec = true              # 修正③: まずDry-runで影響範囲を可視化
  spec {
    resources           = ["projects/${var.mops_prod_project_number}", "projects/${var.mops_analytics_project_number}"]  # 修正②
    restricted_services  = ["bigquery.googleapis.com", "storage.googleapis.com"]
  }
}