ネットワーク & セキュリティの構成と運用
Google Cloud ACE 過去問・解説Cloud Armor の DDoS/WAF 保護を適用しているウェブサービスのログを Cloud Storage に保存し、Cloud KMS の CMEK で暗号化したい。正しい設計はどれか。
ACMEK 用の Cloud KMS キーで Cloud Storage バケットを作成し、Cloud Armor のログ出力先として設定する。そのバケットの CMEK キーに対して Cloud Logging のサービスエージェントに KMS 使用権限を付与する。
正解 ⭕⭕
【正解の理由】【正解】CMEK キーを使って Cloud Storage バケットを暗号化し、Cloud Armor のログをそのバケットへエクスポートする設計は、データ保存時の暗号化を確実に CMEK で行う正しい方法です。Cloud Logging のサービスエージェントに対して必要な KMS 権限を付与することも必須の要件です。
BCloud Armor ログは Cloud Logging の内部暗号化のみで保護される仕様であるため、エクスポート先となる Cloud Storage バケットに CMEK を設定して追加の暗号化を行うことはできない。
誤答CCloud KMS キーを直接 Cloud Armor のセキュリティポリシー設定に紐づけることで、生成される WAF ログに対して自動的に CMEK 暗号化を同時に適用する構成とする。
誤答DCloud Armor のログは自動的に Google 管理の暗号化キーで保護されるため、ログのエクスポート先である Cloud Storage 側で個別に CMEK を設定する必要はない。
誤答🎯正解の決め手・公式要点まとめ
正解を導く要点は、Cloud Armor ログを Cloud Storage にエクスポートする際の CMEK 設定と IAM 権限の組み合わせ。他の選択肢は CMEK の適用範囲や実装可能性を誤解している点。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。