Cloud Digital Leader（Google Cloud） 無料問題 9 / 10 ・ 分野5: Google Cloud で実現する信頼とセキュリティ
オンプレミスでは、社内 LAN につながっていることを社内アプリを使わせる主な根拠にしてきた。Google のインフラストラクチャ セキュリティ設計の概要は、Google 自身の従業員が社内のアプリにアクセスするときの扱いをどう説明しているか。
- VPN で社内 LAN に入った端末に、社内のアプリへのアクセスをまとめて許可する
- 社内 LAN に接続した端末を信頼し、LAN の内側から来た要求は社内のアプリへ通す
- 管理された端末で、想定したネットワークと場所から接続したときに、アプリの単位で公開する
- 社内のアプリをインターネットから切り離し、データセンターに置いた専用の端末から操作させる
正解と解説を見る
正解: C
正解の理由
インフラストラクチャ セキュリティ設計の概要の「Keeping employee devices and credentials safe」は、社内 LAN に接続していることはアクセス権を与える主な仕組みではない、と明言している。代わりにゼロトラストのセキュリティで従業員のアクセスを守り、アプリケーション レベルのアクセス管理によって、従業員が管理された端末を使い、想定したネットワークと地理的な場所から接続しているときに限って社内アプリを公開する。端末は、個々のマシンに発行した証明書と、構成（ソフトウェアが最新か等）についての主張にもとづいて信頼される。この取り組みが BeyondCorp である。ネットワークの内側か外側かではなく、端末と利用者ごとに確かめる点が、境界に頼るオンプレミスの守り方との違いである。
違う選択肢
「社内 LAN に接続した端末を信頼し、LAN の内側から来た要求は社内のアプリへ通す」… LAN の内側を信頼する境界型の考え方で、概要ページが「主な仕組みではない」と退けている方式そのものである。ゼロトラストは、ネットワークの内側か外側かにかかわらず、端末も利用者も既定では信頼しない。
「VPN で社内 LAN に入った端末に、社内のアプリへのアクセスをまとめて許可する」… VPN で LAN に入れたあとにまとめて許可するのも、ネットワークの境界の内側を信頼する考え方である。概要ページは、端末の証明書と構成、接続元のネットワークと場所を見てアプリ単位で公開すると書いている。
「社内のアプリをインターネットから切り離し、データセンターに置いた専用の端末から操作させる」… 概要ページは、場所を物理的に限る方式ではなく、管理された端末から想定した場所で接続したときにアプリを公開する方式を書いている。専用端末に閉じ込める運用は述べていない。
サービス同士でも同じ
同じページは、インフラ上のサービスの間にも信頼を前提にせず、内部のネットワーク分割やファイアウォールを主なセキュリティの仕組みにしない、と書いている。サービスは暗号の資格情報で身元を証明し、認証と認可でアクセスを制御する。