プロジェクトの Identity and Access Management（IAM）構成の不整合に対処し、IAM ポリシーの変更、ユーザー アクティビティ、サービス アカウントの動作、機密プロジェクトへのアクセスを包括的に可視化するには、Google Cloud の監査機能を活用することが不可欠です。
* オプション A: Cloud Monitoring の Metrics Explorer は特定の指標を追跡できますが、IAM ポリシーの変更やユーザー アクティビティの詳細なログを提供するようには設計されていません。
* オプションB：Cloud Audit Logs は、IAM ポリシーの変更や認証などの管理アクティビティの詳細な記録を提供します。ログエクスポートシンクを作成することで、これらのログをセキュリティ情報イベント管理（SIEM）ソリューションに転送し、他のイベントソースとの相関分析や包括的な分析が可能になります。このアプローチにより、IAM 構成とユーザーアクティビティに関する必要な可視性が得られます。
* オプションC：IAMポリシーの変更に基づいてCloud Functionsをトリガーし、ポリシーシミュレーターで分析することは、プロアクティブなアプローチです。ただし、SIEMソリューションが提供するような詳細な履歴データや包括的な分析機能は提供されない可能性があります。
* オプション D: OS Config Management エージェントの導入では、VM 構成とパッチ管理に重点が置かれており、IAM ポリシーの監視やユーザー アクティビティの追跡には直接対応していません。
したがって、オプション B は、IAM 関連のアクティビティの詳細な可視性を獲得し、特定された不一致に対処するための最も効果的なソリューションです。
参考文献:
* クラウド監査ログの概要
* SIEMへのログのエクスポート

https://cloud.google.com/vpc/docs/vpc-peering

* Google Cloud 組織ノードで組織ポリシー制約「Google Cloud Platform - リソース ロケーション制限」を使用します。この組織ポリシー制約を使用すると、リソースを作成できるロケーションを制限できます。この制約をヨーロッパリージョンのみに設定すると、GDPR やその他の地域規制への準拠が確保されます。
* 実装: これを実装するには、組織ポリシーに制約constraints/gcp.resourceLocationsを設定する必要があります。europe-west1やeurope-west4などの許可されたリージョンを指定することで、これらのロケーションにのみリソースが作成されるようにすることができます。
参考文献
* リソースの場所の制限に関するドキュメント
* Google Cloud における GDPR コンプライアンス

* 均一なバケットレベルのアクセス: すべての Cloud Storage バケットに対して均一なバケットレベルのアクセスを有効にします。
この機能により、アクセス制御がバケット レベルで一貫して適用されるため、管理が簡素化され、セキュリティが向上します。
* ドメイン限定共有：組織ポリシーを通じてドメイン限定共有を適用します。このポリシーにより、組織のドメイン内のユーザーのみがバケット内のデータにアクセスでき、データの公開を防止できます。
* ポリシーの適用：必要なIAMポリシーを適用し、バケットがパブリックアクセスを許可されていないことを確認します。これらの設定を組み合わせることで、Cloud Storageバケット内のデータは非公開のままとなり、組織内の承認されたユーザーのみがアクセスできるようになります。参考資料：
* Google Cloud - 均一なバケットレベルのアクセス
* Google Cloud - 組織ポリシー サービス