Associate Cloud Engineer（Google Cloud） 無料問題 4 / 10 ・ 分野1: クラウド ソリューション環境の設定
協力会社の社員用に Workforce プールを作った。プールの利用者には、自社の組織の外にあるリソースへアクセスさせたくない。Workforce Identity Federation のページが注意している点として正しいものはどれか。
- 組織内のサービス アカウントの権限借用を許すと、プールの利用者が組織の外へ出られる
- プール ID を知っているほかの組織から、プールの利用者にロールを付けられてしまう
- ほかの組織のリソースで許可ポリシーを付ければ、プールの利用者もそこへ直接アクセスできる
- Workforce プールを VPC Service Controls の境界に入れないと、利用者が組織の外へ出られる
正解と解説を見る
正解: A
正解の理由
ページは、Workforce プールのプリンシパルは、自分が属する組織の外のリソースに直接アクセスできないと書いている。ただし、組織内のサービス アカウントの権限を借用（impersonate）する権限を与えると、サービス アカウントには同じ制限が無いため、この制約を迂回できる。組織の外へ出さないという目的なら、プールの利用者にどのサービス アカウントの権限借用を与えているかまで確かめる必要がある。
違う選択肢
「ほかの組織のリソースで許可ポリシーを付ければ、プールの利用者もそこへ直接アクセスできる」… ページは、Workforce プールのプリンシパルは、自分が属する組織の外のリソースに直接アクセスできないと書いている。ほかの組織のリソースで許可ポリシーを付与しても、直接アクセスさせることはできない。
「プール ID を知っているほかの組織から、プールの利用者にロールを付けられてしまう」… ページが書いているのは、権限があればプールを ID で組織内のすべてのプロジェクトとフォルダから参照できる、という組織の中での参照である。プールのプリンシパルは組織の外のリソースに直接アクセスできず、ほかの組織から付与して使わせる形にはならない。
「Workforce プールを VPC Service Controls の境界に入れないと、利用者が組織の外へ出られる」… Workforce プールは組織レベルのリソースで、VPC Service Controls は組織レベルのリソースを境界に直接加えることに対応していない、とページは書いている。境界の中から Workforce の STS API に届かせるには、下り（egress）のルールを構成する。
押さえどころ
組織の外へ出さないという目的なら、プールの利用者にどのサービス アカウントの権限借用を与えているかまで確かめる必要がある。プールは、従業員用とパートナー用のように分けて複数作れる。プール ID は Google Cloud のすべての Workforce プールの中でグローバルに一意でなければならない。