CertPass

Question 141

あなたの組織の記録データはCloud Storageに存在します。すべての記録データを最低7年間保持する必要があります。このポリシーは永続的でなければなりません。どうすべきですか？

1. 記録データを含むバケットを特定します。 2. 保持ポリシーを適用し、7年間保持するように設定します。 3. ログベースのアラートを使用してバケットを監視し、保持ポリシーに変更がないことを確認します。

1. 記録データを含むバケットを特定します。 2. 保持ポリシーを適用し、7年間保持するように設定します。 3. ストレージバケットの更新権限を含むIAM (Identity and Access Management) ロールをすべて削除します。

1. 記録データを含むバケットを特定します。 2. データが保持されることを保証するために、バケットポリシーのみを有効にします。 3. バケットロックを有効にします。

1. 記録データを含むバケットを特定します。 2. 保持ポリシーを適用し、7年間保持するように設定します。 3. バケットロックを有効にします。

Question 142

あなたの組織では、Compute Engine VM で実行されるすべてのワークロードを保護し、インスタンスがブートレベルまたはカーネルレベルのマルウェアによって侵害されるのを防ぎたいと考えています。また、ハードウェアベースのソリューションを使用して、VMで使用中のデータが基盤となるホストシステムから読み取られないようにする必要もあります。どうすればよいでしょうか？

1. セキュアブート、仮想トラステッドプラットフォームモジュール (vTPM)、および整合性モニタリングを含む Google Shielded VM を使用する。 2. VM 設定をチェックし、メトリクスを生成し、定期的に関数を実行するための Cloud Run 関数を作成する。

1. Security Command Center (SCC) プレミアムで Virtual Machine Threat Detection を有効化する。 2. SCC で検出結果を監視する。

1. セキュアブート、仮想トラステッドプラットフォームモジュール (vTPM)、および整合性モニタリングを含む Google Shielded VM を使用する。 2. Confidential Computing を有効化する。 3. 組織のポリシーを使用してこれらのアクションを強制する。

1. Google Cloud Marketplace のセキュアな強化イメージを使用する。 2. イメージをデプロイする際に、Confidential Computing オプションを有効化する。 3. 組織のポリシーを使用して、正しいイメージと Confidential Computing の使用を強制する。

Question 143

あなたはユーザーをGoogle Cloudに移行しています。エンドポイントデバイス上のGoogleウェブセッションおよびGoogle Cloud CLI SDKセッションにおいて、クッキーリプレイ攻撃が発生しています。これらの脅威のリスクを軽減する必要があります。何をすべきですか？（2つ選択してください。）

Googleセッション制御をより短い期間に設定する。

OAuth 2.0アクセストークンの組織ポリシーをより短い期間に設定する。

Google Cloudサービスに対する再認証ポリシーをより短い期間に設定する。

セッション管理機能を持つサードパーティIDプロバイダーを設定する。

2段階認証プロセス（2SV）でセキュリティキー認証を強制する。

Question 144

あなたは、規制の厳しい業界に属する組織のミッションクリティカルなワークロードを管理しています。このワークロードは、エンドポイントコンピュータからCloud Storageにアップロードされた機密データを分析・処理するためにCompute Engine VMを使用しています。コンプライアンスチームは、このワークロードが機密データのデータ保護要件を満たしていないことを検出しました。以下の要件を満たす必要があります。 • データ暗号化キー（DEK）をGoogle Cloudの境界外で管理する。 • サードパーティプロバイダーを通じて暗号鍵の完全な制御を維持する。 • Cloud Storageにアップロードする前に機密データを暗号化する。 • Compute Engine VMでの処理中に機密データを復号する。 • Compute Engine VMで使用中にメモリ内の機密データを暗号化する。どうすべきですか？（2つ選択）

顧客管理の暗号鍵（CMEK）を設定して、Cloud Storageにアップロードする前に機密データを暗号化し、VMにダウンロードした後に機密データを復号する。

Cloud External Key Manager（Cloud EKM）を設定して、Cloud Storageにアップロードする前に機密データを暗号化し、VMにダウンロードした後に機密データを復号する。

機密データにアクセスするためにConfidential VMを作成する。

機密データにアクセスするために、Compute Engine VMをConfidential VMに移行する。

既存のCompute Engine VMとCloud StorageバケットにまたがるVPC Service Controlsサービス境界を作成する。

Question 145

あなたの組織は、一般データ保護規則（GDPR）に準拠したいと考えています。DevOpsチームがヨーロッパリージョンでのみGoogle Cloudリソースを作成できるようにしたいと考えています。どうすればよいですか？

Identity-Aware Proxy (IAP) と Access Context Manager を使用して、Google Cloud リソースのロケーションを制限する。

Google Cloud 組織ノードで、組織ポリシーの制約「Google Cloud Platform – リソースロケーションの制限」を使用する。

Google Cloud 組織ノードで、組織ポリシーの制約「リソースサービスの利用制限」を使用する。

Identity and Access Management (IAM) のカスタムロールを使用して、DevOps チームがヨーロッパリージョンでのみリソースを作成できるようにする。

Professional Cloud Security Engineer