[2024-07-06更新,237問] 無料Google Professional-Cloud-Security-Engineer試験問題集、Professional-Cloud-Security-Engineer最速合格(ページ 40)

Professional-Cloud-Security-Engineer 試験問題 191

エンベロープ暗号化を活用し、アプリケーション層でデータを暗号化するには、Google が推奨する方法に従う必要があります。
あなたは何をするべきか？

A. データ暗号化キー（DEK）をローカルで生成してデータを暗号化し、Cloud KMS で新しいキー暗号化キー（KEK）を生成して DEK を暗号化します。暗号化されたデータと暗号化された DEK の両方を保存します。

B. データ暗号化キー（DEK）をローカルで生成してデータを暗号化し、Cloud KMS で新しいキー暗号化キー（KEK）を生成して DEK を暗号化します。暗号化されたデータと KEK の両方を保存します。

C. Cloud KMS で新しいデータ暗号化キー (DEK) を生成してデータを暗号化し、ローカルでキー暗号化キー (KEK) を生成してキーを暗号化します。暗号化されたデータと暗号化された DEK の両方を保存します。

D. Cloud KMS で新しいデータ暗号化キー（DEK）を生成してデータを暗号化し、ローカルでキー暗号化キー（KEK）を生成してキーを暗号化します。暗号化されたデータと KEK の両方を保存します。

Professional-Cloud-Security-Engineer 試験問題 192

あなたは、組織の Google Cloud 環境に Security Command Center を構成する任務を与えられました。セキュリティチームは、組織のコンピューティング環境における潜在的な暗号通貨マイニングに関するアラートと、セキュリティに影響を与える一般的な Google Cloud の構成ミスに関するアラートを受け取る必要があります。これらのアラートを設定するには、どの Security Command Center 機能を使用する必要がありますか? (2つお選びください。)

A. イベント脅威の検出

B. コンテナの脅威の検出

C. セキュリティ健全性分析

D. クラウドデータ損失防止

E. Google Cloud Armor

Professional-Cloud-Security-Engineer 試験問題 193

あなたの組織は、Cloud NAT を介したインターネットアクセスを備えた Virtual Private Cloud (VPC) 内のプライベート IP のみで仮想マシン (VM) を運用しています。毎日、すべての VM に重要な OS アップデートを適用し、概要レポートを提供する必要があります。どうすればよいですか?

A. 出力ファイアウォールルールが送信トラフィックを許可していることを検証します。各 VM にログインし、OS 固有の更新コマンドを実行します。毎日の更新については、重要なパッチで毎日更新するように Cloud Scheduler ジョブを構成します。

B. VM Manager が VM にインストールされ、実行されていることを確認します。OSパッチ管理サービスにて。重要なパッチを毎日更新するようにパッチジョブを設定します。

C. VM にパブリック IP を割り当てます。エグレスファイアウォールルールがすべての送信トラフィックを許可していることを検証します各 VM にログインします。また、毎日の cron ジョブを設定して、アクティビティが少ない夜間に OS アップデートを有効にします。

D. 最新のパッチを Cloud Storage バケットにコピーします。各 VM にログインします。バケットからパッチをダウンロードしてインストールします。

Professional-Cloud-Security-Engineer 試験問題 194

顧客は、クラウドコンピューティングの柔軟な性質を利用するアプリケーションを Compute Engine にデプロイしました。
インフラストラクチャオペレーションエンジニアと協力して、Windows Compute Engine VM が最新の OS パッチをすべて適用して最新の状態に保たれるようにするにはどうすればよいでしょうか?

A. パッチが利用可能になったら新しい基本イメージを構築し、CI/CD パイプラインを使用して VM を再構築し、段階的にデプロイします。

B. ドメインコントローラを Compute Engine に統合し、グループポリシーオブジェクトを介して毎週のパッチをロールアウトします。

C. Deployment Manager を使用して、更新された VM を新しいサービス提供インスタンスグループ (IG) にプロビジョニングします。

D. 毎週のメンテナンス期間中にすべての VM を再起動し、スタートアップスクリプトがインターネットから最新のパッチをダウンロードできるようにします。

Professional-Cloud-Security-Engineer 試験問題 195

フロントエンドがサブネット A のマネージドインスタンスグループにデプロイされ、データレイヤーが同じ VPC 上のサブネット B の mysql Compute Engine 仮想マシン (VM) に保存されているアプリケーションがあります。サブネット A とサブネット B には、他のいくつかの Compute Engine VM が保持されます。アプリケーションのフロントエンドに、ポート 3306 上のアプリケーションの mysql インスタンス内のデータへのアクセスのみを許可したいとします。
あなたは何をするべきか？

A. サブネット A の送信元 IP 範囲から、ポート 3306 上の mysql Compute Engine VM に適用されるタグ「data-tag」への通信を許可する受信ファイアウォールルールを構成します。

B. フロントエンドの一意のサービスアカウントからポート 3306 上の mysql Compute Engine VM の一意のサービスアカウントへの通信を許可する受信ファイアウォールルールを構成します。

C. ネットワークタグ「fe-tag」をサブネット A のすべてのインスタンスに適用するように構成し、ネットワークタグ「data-tag」をサブネット B のすべてのインスタンスに適用するように構成します。次に、送信ファイアウォールルールを構成します。 data-tag でタグ付けされた Compute Engine VM から fe-tag でタグ付けされた宛先 Compute Engine VM への通信を許可します。

D. ネットワークタグ「fe-tag」をサブネット A のすべてのインスタンスに適用するように構成し、ネットワークタグ「data-tag」をサブネット B のすべてのインスタンスに適用するように構成します。次に、イングレスファイアウォールルールを構成します。 fe-tag でタグ付けされた Compute Engine VM から data-tag でタグ付けされた宛先 Compute Engine VM への通信を許可します。