Professional-Cloud-Security-Engineer-JPN 試験問題を無料オンラインアクセス

貴社は業界固有の規制に従う必要があります。そのため、org1 という組織内のすべての新しい Cloud Storage リソースに顧客管理暗号鍵（CMEK）を適用する必要があります。
どのようなコマンドを実行する必要がありますか?

• A.* organization policy:constraints/gcp.restrictStorageNonCraekServices
  * binding at: orgl
  * policy type: allow
  * policy value: all supported services
• B.* organization policy: constraints/gcp.restrictHonCmekServices
  * binding at: orgl
  * policy type: deny
  * policy value: storage.googleapis.com
• C.* organization policy: constramts/gcp.restrictNonCmekServices
  * binding at: orgl
  * policy type: allow
  * policy value: storage.googleapis.com
• D.* organization policy: constraints/gcp.restrictStorageNonCraekServices
  * binding at: orgl
  * policy type: deny
  * policy value: storage.gcogleapis.com

あなたは、規制が厳しく、積極的なコンプライアンスが求められる業界の金融機関で働いています。コンプライアンス要件を満たすには、特定の設定、データレジデンシー、組織ポリシー、そして人事データへのアクセス制御を継続的に維持する必要があります。どうすればよいでしょうか？

• A.Security Command Center のコンプライアンス ページに移動し、必要なコンプライアンス基準に対するステータスのレポートを表示します。定期的に違反をトリアージし、コンプライアンスを維持してください。
• B.定義された制御と要件を適用するために必要なコンプライアンス プログラム用の Assured Workloads フォルダーを作成します。
• C.組織レベルで組織ポリシー制約を適用して、新しいリソースが作成される場所を制限します。
• D.必要なセキュリティコンプライアンス態勢を記述したposture.yamlファイルを作成します。Security Command Center Premiumで、gcloud sec postures create POSTURE_NAME --posture-from-file=posture.yamlコマンドを使用して、この態勢を適用します。

会社のオンプレミス データセンターと VPC ホスト ネットワークの間に Cloud Interconnect 接続を設定する必要があります。オンプレミス アプリケーションが、パブリック インターネット経由ではなく、Cloud Interconnect 経由でのみ Google API にアクセスできるようにしたいと考えています。サポートされていない API への流出リスクを軽減するために、VPC Service Controls でサポートされている API のみを使用する必要があります。ネットワークをどのように構成する必要がありますか?

• A.制限付きの googleapis.com を使用して、Cloud Interconnect 接続を介してルートとしてアドバタイズされる、Google Cloud 内からのみルーティング可能な一連の IP アドレスを使用して Google API にアクセスします。
• B.「all-apis」の API バンドルを使用して、Private Service Connect エンドポイントの IP アドレスを設定します。これは、クラウド相互接続接続を介したルートとしてアドバタイズされます。
• C.private.googleapis.com を使用して、Google Cloud 内からのみルーティング可能な一連の IP アドレスを使用して Google API にアクセスします。これらの IP アドレスは、接続を介してルートとしてアドバタイズされます。
• D.地域のサブネットとグローバル動的ルーティング モードで限定公開の Google アクセスを有効にします。

アプリケーション ログを Cloud Storage にエクスポートしています。ログシンクが均一なバケットレベルのアクセス ポリシーをサポートしていないというエラー メッセージが表示されます。このエラーをどのように解決する必要がありますか?

• A.バケットのアクセス制御モデルを変更します
• B.roles/logging.logWriter Identity and Access Management (IAM) ロールをログ シンク ID のバケットに追加します。
• C.正しいバケットの宛先でシンクを更新します。
• D.roles/logging.bucketWriter Identity and Access Management (IAM) ロールをログ シンク ID のバケットに追加します。

フロントエンドがサブネット A のマネージド インスタンス グループにデプロイされ、データレイヤーが同じ VPC のサブネット B の mysql Compute Engine 仮想マシン (VM) に格納されているアプリケーションがあります。サブネット A とサブネット B は、他のいくつかの Compute Engine VM を保持しています。アプリケーションのフロントエンドがポート 3306 でアプリケーションの mysql インスタンスのデータにアクセスできるようにするだけです。
あなたは何をするべきか？

• A.サブネット A のすべてのインスタンスに適用されるネットワーク タグ「fe-tag」と、サブネット B のすべてのインスタンスに適用されるネットワーク タグ「data-tag」を構成します。次に、通信を許可するイングレス ファイアウォール ルールを構成します。 fe-tag でタグ付けされた Compute Engine VM から、data-tag でタグ付けされた宛先 Compute Engine VM へ。
• B.フロントエンドの一意のサービス アカウントからポート 3306 の mysql Compute Engine VM の一意のサービス アカウントへの通信を許可するイングレス ファイアウォール ルールを構成します。
• C.サブネット A の src IP 範囲からポート 3306 の mysql Compute Engine VM に適用されるタグ「data-tag」への通信を許可するイングレス ファイアウォール ルールを構成します。
• D.サブネット A のすべてのインスタンスに適用されるネットワーク タグ「fe-tag」と、サブネット B のすべてのインスタンスに適用されるネットワーク タグ「data-tag」を構成します。次に、通信を許可するエグレス ファイアウォール ルールを構成します。 data-tag でタグ付けされた Compute Engine VM から、fe-tag でタグ付けされた宛先 Compute Engine VM へ。