Associate Cloud Engineer（Google Cloud） 無料問題 5 / 10 ・ 分野2: クラウド ソリューションの計画と実装
OS Login を有効にしていないプロジェクトで、外部委託の技術者に1台の VM へ SSH で入ってもらう。プロジェクト内のほかの VM には入らせたくない。技術者の公開鍵の登録の仕方として、SSH 鍵を VM に追加するページの説明に合うものはどれか。
- 公開鍵を対象の VM のインスタンス メタデータの値に追加する
- 対象の VM でプロジェクト全体の鍵をブロックし、鍵をプロジェクトのメタデータに追加する
- 公開鍵を対象の VM があるゾーンのメタデータの値に追加する
- 公開鍵を対象の VM の ~/.ssh/authorized_keys に直接書き込む
正解と解説を見る
正解: A
正解の理由
OS Login を使わない VM は、SSH 鍵を Compute Engine のプロジェクトとインスタンスのメタデータに置く。ページは、プロジェクトのメタデータの鍵はプロジェクト内のすべての VM へのアクセスに使え、インスタンスのメタデータの鍵は個別の VM へのアクセスに使える、と書いている。1台だけに入らせたいなら、その VM のインスタンス メタデータに公開鍵を足す。
違う選択肢
「対象の VM でプロジェクト全体の鍵をブロックし、鍵をプロジェクトのメタデータに追加する」… プロジェクトのメタデータの鍵は、プロジェクト全体の鍵をブロックしている VM を除く、プロジェクト内のすべての VM で使える。ブロックした対象の VM だけがその鍵を受け付けず、入らせたくないほかの VM には入れてしまうので、ねらいと逆になる。
「公開鍵を対象の VM の ~/.ssh/authorized_keys に直接書き込む」… VM の ~/.ssh/authorized_keys に直接書いた公開鍵は、VM のゲスト エージェントに上書きされることがある、とページは注意している。コンソール・gcloud CLI・REST のサポートされた方法で追加することを勧めている。
「公開鍵を対象の VM があるゾーンのメタデータの値に追加する」… ページは、SSH 鍵についてはゾーンのメタデータの値を設定できない、と書いている。SSH 鍵を置けるのはプロジェクトとインスタンスのメタデータである。
あわせて覚えること
メタデータで鍵を管理すると、プロジェクトのメタデータを変更できる人やサービス アカウントが全 VM に鍵を足せるため、意図しない相手にアクセスを与える危険がある、とページは注意している。期限切れの鍵はメタデータから自動では消えない（新しい接続には使えない）。OS Login を有効にした VM では、ゲスト エージェントがメタデータの鍵を無視する。