Workforce Identity Federation は、外部パートナーに独自の ID プロバイダ（IdP）を使用して Google Cloud リソースへのアクセスを許可するための、Google が推奨する最新の方法です。これにより、独自のディレクトリにゲストアカウントを作成する際の「ID ライフサイクル管理」の負担を回避できます。
Google Cloud ドキュメント (Workforce Identity Federation の概要) によると、次のようになります。
Workforce Identity Federation を使用すると、外部 ID プロバイダ（IdP）を使用して、従業員、パートナー、請負業者などのユーザーグループである Workforce を認証および承認し、ユーザーが Google Cloud サービスにアクセスできるようになります。Workforce Identity Federation を使用すると、既存の IdP から Google Cloud ID にユーザー ID を同期する必要がありません。このアプローチのメリットは次のとおりです。
* 同期なし: Cloud Identity/Workspace でパートナー アカウントを作成または管理しません (オプション C は不要になります)。
* セキュリティ: パートナーの従業員が退職した場合、その従業員のホーム IdP アカウントが無効になると、Google Cloud データベースへのアクセスが自動的に取り消されます。
* スコープ指定アクセス: IAM ロール (roles/cloudsql.client など) を Workforce Pool またはそのプール内の特定のグループに明示的に付与し、他のリソースにアクセスできないようにします。
他のオプションが間違っている理由:
* A は不正解です。パブリック IP は大きなセキュリティ リスクであり、集中型の ID ガバナンスを提供しません。
* B は不正解です。フェデレーションなしでは、本番環境のデータベースに対して、安全かつ管理しやすい方法で別の組織の Cloud Identity のアカウントに直接「アクセス権を付与」することはできません。
参照：
Google Cloud ドキュメント:「Workforce Identity Federation」(https://cloud.google.com/iam/docs)
/workforce-identity-federation）。
Google Cloud セキュリティ エンジニア 学習ガイド:「高度な ID 管理 - フェデレーション」のセクション。

説明
https://cloud.google.com/architecture/identity/federating-gcp-with-active-directory-synchronizing-user-accounts?
https://cloud.google.com/architecture/identity/federating-gcp-with-active-directory-synchronizing-user-accounts?

https://cloud.google.com/confidential-computing/confidential-vm/docs/creating-cvm-instance#considerations Confidential VM はライブマイグレーションをサポートしていません。VM で Confidential Computing を有効にできるのは、インスタンスを初めて作成する場合のみです。https://cloud.google.com/confidential-computing/confidential-vm/docs
/cvmインスタンスの作成

To identify all principals who can change firewall rules, you need to determine which users or service accounts have permissions that allow them to modify firewall rules in your Google Cloud project. The correct permissions to check for this are compute.firewalls.create and compute.firewalls.delete. These permissions enable a user to create and delete firewall rules, respectively.
The Policy Analyzer tool in Google Cloud allows you to query and analyze IAM policies to identify which principals have specific permissions. By using Policy Analyzer, you can effectively identify all principals with the compute.firewalls.create and compute.firewalls.delete permissions.
Open Policy Analyzer: Go to the Google Cloud Console, navigate to IAM & Admin, and select Policy Analyzer.
Set Up Query: Create a new query specifying the permissions compute.firewalls.create and compute.firewalls.
delete.
Run Query: Execute the query to retrieve a list of principals who have these permissions.
Review Results: Analyze the results to identify all users and service accounts with the capability to modify firewall rules.
この方法により、ファイアウォール ルールを変更できるすべてのプリンシパルの包括的なリストが得られるため、監査とセキュリティ体制が強化されます。
Google Cloud Policy Analyzer のドキュメント
Google Cloud IAM ドキュメント