Professional Cloud Security Engineer（Google Cloud） 問題集

正解: C

正解の理由
公式の「Denial conditions」は、拒否の条件が true と評価されたとき、または評価できなかったときに deny ルールが適用され、主体は指定の権限を使えないと書いている。false のときだけルールは適用されない。条件のエラーが許可への抜け道にならないよう、評価できない場合も拒否側に倒す設計になっている。

違う選択肢
「直前の条件評価結果を再利用してアクセスを判定する」…過去の条件評価を主体ごとに再利用する規則ではない。
「そのdenyルールを飛ばし、allowの結果で判定する」…allowの条件評価と同一視して、denyを無視する動作にはならない。
「同じ階層の別denyがある場合に該当権限を拒否する」…別ルールの存在は不要で、このルール自身の評価規則により拒否される。

押さえどころ
タグ条件の変更は正常値と欠落・評価不能のケースを分けて確認する。条件の式が同じ形でも、allowとdenyでは評価結果の意味が異なる。