クラウドアカウント・リソース階層の設定と管理
Google Cloud ACE 過去問・解説ケース: Cloud Runで動作するアプリケーションSA-appに対して、Cloud Storageの特定バケットのオブジェクトを読み取り、同一プロジェクト内のCompute Engineインスタンスを起動/停止、Cloud Loggingへのログエントリ作成を許可する最小権限の設定として、以下のうち最も適切な選択はどれか？
ASA-app にプロジェクトレベルで roles/storage.objectViewer、roles/compute.instanceAdmin.v1、roles/logging.logWriter を割り当てる。Cloud Run サービスをこの SA に紐づけて実行する。
誤答BSA-app にカスタムロールを作成し、permissions に compute.instances.start、compute.instances.stop、storage.objects.list、storage.objects.get、logging.logEntries.create を含めて割り当てる。追加のロールは付与しない。
正解 ⭕⭕
【正解の理由】【正解】 正解。必要な権限のみを含むカスタムロールを作成してSAに割り当てることで、最小権限の原則を満たす。Cloud Runの実行アイデンティティとしてこのSAを使用することで、特定の操作だけが許可される。
CSA-app に roles/viewer のみを割り当てる。
誤答DCloud Run サービスには複数のサービスアカウントを割り当てることはできないため、別々のサービスアカウントを用意するか、上記と同等の権限を検討する。
誤答🎯正解の決め手・公式要点まとめ
最小権限の原則を守るには、必要な権限だけを含むカスタムロールを作成して1つのSAに割り当て、Cloud Runの実行アイデンティティとして使用することが基本。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。