GCP PCSE 試験対策｜BeyondCorp Enterprise・VPC Service Controls・IAP 詳細

PCSE 試験のゼロトラスト領域を深掘りします。BeyondCorp Enterprise (Chrome Enterprise Premium)、Identity-Aware Proxy (IAP)、Context-Aware Access、Endpoint Verification、VPC Service Controls を体系的に整理します。

BeyondCorp Enterprise (Chrome Enterprise Premium)

Google 社内のゼロトラスト実装 BeyondCorp を商品化したもの。前提: 「ネットワークの内側 = 安全」を捨て、デバイス + ユーザー + コンテキストでアクセス可否を判定します。

主要コンポーネント

• Identity-Aware Proxy (IAP): HTTPS LB の前段認証ゲートウェイ
• Endpoint Verification: Chrome 拡張 + ネイティブで端末状態 (暗号化・OS・パッチ) を収集
• Context-Aware Access: Access Level (デバイス + IP + 地理 + 時間) で粒度制御
• Threat / DLP Protection: ブラウザ層でフィッシング・データ流出防御
• Access Context Manager: Access Level / Access Policy の中央管理

Identity-Aware Proxy (IAP)

• OAuth 2.0 で Google アカウント認証
• IAM の roles/iap.httpsResourceAccessor で許可ユーザー指定
• VPN 不要、Public IP 公開でも安全

Context-Aware Access の Access Level

Access Level "trusted-corp" =
  device.is_company_owned == true AND
  device.os == "ChromeOS" OR (device.os == "Windows" AND device.encryption_status == "ENCRYPTED") AND
  origin.region_code IN ("JP", "US") AND
  origin.ip IN_RANGE ("203.0.113.0/24")

VPC Service Controls (VPC SC)

基本概念

• Service Perimeter: 保護するプロジェクト + サービスのセット
• Ingress Policy: Perimeter 外からの API 呼び出し許可
• Egress Policy: Perimeter 内から外への API 呼び出し許可
• Access Level 連携: コンテキスト判定で動的許可

保護対象 (主要)

• BigQuery、Cloud Storage、Pub/Sub、Bigtable、Spanner
• Cloud SQL、Cloud KMS、Cloud Functions、Cloud Run
• Vertex AI、Dataflow、Dataproc
• Artifact Registry、Container Registry

運用パターン

ゼロトラスト統合アーキ (頻出)

1. Cloud Identity / Workspace でユーザー ID 統一
2. Endpoint Verification でデバイス状態収集
3. Access Context Manager で Access Level 定義
4. IAP で Web / SSH アクセスゲート
5. VPC Service Controls で BigQuery / GCS 等の API レイヤ保護
6. Cloud DLP / Sensitive Data Protection で PII マスキング
7. Security Command Center で脅威可視化

頻出ひっかけ問題

• VPC SC は Compute Engine VM 内のトラフィックを保護しない: Firewall Rule で対応
• IAP は IAM の iap.httpsResourceAccessor が必要: roles/owner では不可
• VPC SC + Service Account: SA がアクセス元として扱われるので Ingress 制御必要
• Restricted VIP: 199.36.153.4-7 で固定、Private DNS 設定必須

※ Google Cloud、BeyondCorp は Google LLC の商標です。最新情報は BeyondCorp Enterprise 公式 をご確認ください。