Professional Cloud Architect（Google Cloud） 無料問題 6 / 10 ・ 分野3: セキュリティとコンプライアンスを考慮した設計
障害対応の間だけ、運用担当者に特権のあるサービス アカウントで作業させたい。監査のため、後から「どの担当者がそのサービス アカウントとして操作したか」を記録で確かめられることが条件である。サービス アカウントの使い方を説明した IAM のページに沿った方法はどれか。
- 障害対応の間だけコンソールでサービス アカウントに切り替えさせる。切り替えた本人の ID もほとんどの監査ログに残る
- 障害対応の間だけ権限借用で短期の認証情報を得させる。借用した本人の ID もほとんどの監査ログに残る
- 障害対応の間だけそのサービス アカウントの VM に SSH させる。操作した本人の ID がほとんどの監査ログに残る
- 障害対応の間だけサービス アカウント キーを渡す。使った本人の ID もほとんどの監査ログに残る
正解と解説を見る
正解: B
正解の理由
ページは、権限借用では認証済みのプリンシパルがサービス アカウントのトークンを得て、サービス アカウントとして認証すると説明する。一時的に強いアクセスを与える使い方を挙げ、得られる短期の認証情報は数時間以内で切れると書く。権限借用でリソースにアクセスすると、ほとんどの監査ログに本人の ID と借用したサービス アカウントの ID の両方が残る。
違う選択肢
「障害対応の間だけサービス アカウント キーを渡す。使った本人の ID もほとんどの監査ログに残る」… ページは、サービス アカウント キーで認証する場合、関わる ID はサービス アカウントだけで、監査ログにはサービス アカウントの ID しか残らないと書いている。キーを使った人は記録から分からない。
「障害対応の間だけそのサービス アカウントの VM に SSH させる。操作した本人の ID がほとんどの監査ログに残る」… VM に付けたサービス アカウントで動く場合も、関わる ID はそのサービス アカウントだけで、VM の中でコードを動かした人の ID は監査ログに残らない。ページは、特権のあるリソースへの SSH のような使い方は権限昇格と否認の危険を生むと書いている。
「障害対応の間だけコンソールでサービス アカウントに切り替えさせる。切り替えた本人の ID もほとんどの監査ログに残る」… ページは、Google Cloud コンソールでは常に利用者本人の認証情報で認証し、サービス アカウントを借用してリソースにアクセスすることはできないと書いている。コンソールで切り替える方法そのものが無い。
関連する設定
権限借用には iam.serviceAccounts.getAccessToken の権限が要り、サービス アカウント トークン作成者のロールなどに含まれる。gcloud の --impersonate-service-account フラグを使うと、コマンドの実行に短期の認証情報が使われる。権限の組み合わせで作業が足りるかを試すときや、サービス アカウントでしか動かせないアプリケーションを手元で開発するときにも使える。
Professional Cloud Architect（Google Cloud）の演習アプリ（無料10問・全問は解錠で）へ