クラウドアカウント・リソース階層の設定と管理
Google Cloud ACE 過去問・解説組織内のユーザー管理を一元化し、外部IdPからのアクセスを制御したい。Workforce Identity 連携（Workforce Identity Federation）を利用して外部IdPからの認証を受け入れる場合、組織レベルで許可するドメインを制限する適切な方法はどれか。
A組織ポリシーの制約 constraints/iam.allowedPolicyMemberDomains を構成し、信頼できる外部IdPのドメインIDのみを許可する。
正解 ⭕⭕
【正解の理由】【正解】 この組織ポリシー制約を適用することで、IAMポリシーで指定可能なIDを信頼できる特定の顧客IDやドメインに制限できます。Workforce Identity 連携でも外部ディレクトリの不正な追加を防ぎ、組織レベルで統一的なセキュリティ境界を確立できます。
BCloud Identity グループを作成して外部IdPのユーザーを手動同期し、個別のグループ単位でアクセス権限を管理する。
誤答CWorkforce Identity プールを組織全体で共有せず、各プロジェクト単位で個別に重複して作成・運用する。
誤答DCloud Audit Logs のデータアクセスログを有効化し、未許可のドメインからのリクエストを自動的にブロックする。
誤答🎯正解の決め手・公式要点まとめ
正解は「組織ポリシーの制約 constraints/iam.allowedPolicyMemberDomains を構成し、信頼できる外部IdPのドメインIDのみを許可する」です。Google Cloud では、組織ポリシー制約「ドメインによるIDの制限（constraints/iam.allowedPolicyMemberDomains）」を使用することで、IAM ポリシーに追加可能なメンバーを特定の顧客IDや外部IdPのドメインに限定できます。Workforce Identity 連携環境においても、この制約により組織レベルで未承認の外部ドメインからのアクセス追加を防止できます。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。