Cloud Digital Leader（Google Cloud） 無料問題 10 / 10 ・ 分野5: Google Cloud で実現する信頼とセキュリティ
Google の担当者が障害対応などで自社の顧客データにアクセスしたとき、その記録を確かめたい。さらに、アクセスの前に自社の承認を必須にしたい。Google Cloud のドキュメントに照らして、合う組み合わせはどれか。
- 記録は Access Transparency のログで確かめ、事前の承認は Access Approval で求める
- 記録は Cloud Audit Logs で確かめ、事前の承認は Access Approval で求める
- 記録は Access Transparency のログで確かめ、事前の承認は Assured Workloads のフォルダで求める
- 記録は Cloud Audit Logs で確かめ、事前の承認は IAM の拒否ポリシーで求める
正解と解説を見る
正解: A
正解の理由
Access Transparency の概要ページは、Access Transparency のログが、Google の担当者が顧客データにアクセスしたときの操作を記録し、対象のリソースと操作、時刻、理由、アクセスした人（物理的な所在地、雇用主体、職種）の情報を含む、と書いている。また、Access Approval を使うと、Google の担当者が顧客データにアクセスする要求を承認できる、と説明している。Google のセキュリティ概要も、Access Approval を有効にすると、サポートの担当者や技術者がデータにアクセスするには顧客の明示的な承認が要る、と書いている。記録は Access Transparency、事前の承認は Access Approval、と対にして覚える。
違う選択肢
「記録は Cloud Audit Logs で確かめ、事前の承認は IAM の拒否ポリシーで求める」… Cloud Audit Logs は、利用者の組織のメンバーが自社のリソースで行った操作を記録するもので、Google の担当者のアクセスは Access Transparency のログが記録する。IAM の拒否ポリシーは、プリンシパルに特定の権限を使わせないための仕組みで、Google の担当者からのアクセス要求を承認する仕組みではない。
「記録は Access Transparency のログで確かめ、事前の承認は Assured Workloads のフォルダで求める」… 記録の側は合っているが、Assured Workloads は、規制の対象となるワークロードのために、データの所在地やアクセス、担当者の統制の境界をフォルダ単位で構成するサービスである。アクセスの要求ごとに承認するのは Access Approval である。
「記録は Cloud Audit Logs で確かめ、事前の承認は Access Approval で求める」… 承認の側は合っているが、Google の担当者のアクセスの記録は Cloud Audit Logs ではなく Access Transparency のログに残る。Access Transparency の概要ページは、両者を合わせると顧客の操作と Google の管理者のアクセスの両方の監査記録がそろう、と書いている。
信頼を得る仕組み
Access Transparency の概要ページは、この機能を、透明性、利用者の信頼、利用者のデータの所有に対する Google の長期的な取り組みの一部と位置づけている。規制の要件として、Google の担当者によるアクセスを記録・監査・制限することにも使える。