変更要約: Professional Cloud Architect 第5章を新規作成（ドメイン3「セキュリティとコンプライアンス」: IAM/最小権限/組織統制＝基本ロール回避/事前定義・カスタム/グループ・サービスアカウント/Workload Identity Federation・組織ポリシー/ガードレール、データ保護とコンプライアンス＝GMEK/CMEK/CSEK/Cloud KMS/Cloud EKM・Sensitive Data Protection/Cloud DLP・データ所在地・Assured Workloads/Cloud Audit Logs/VPC Service Controls）。
5.1IAM・最小権限と組織の統制
IAM による最小権限の設計（基本ロール回避・事前定義/カスタムロール）、サービスアカウントと Workload Identity Federation、組織ポリシーによる制約の強制、そしてリソース階層に沿った権限継承とガードレールの設計を理解します。
セキュリティの出発点は 「誰が何にアクセスできるか」の統制です。Architect は IAM と 組織ポリシーで、最小権限と一貫したガードレールを設計します。
5.1.1IAM と最小権限
IAM は「誰（メンバー）に・どのロール（権限）を・どのリソースで」許可するかを定めます。広範すぎる 基本ロール（オーナー/編集者/閲覧者）は避け、用途に合う 事前定義ロールや、必要な権限だけを集めた カスタムロール を 最小権限 で付与します。権限は グループ単位で与えると管理しやすくなります。アプリやワークロードには サービスアカウントを使い、外部 ID からは鍵を配らず Workload Identity Federation で安全に連携します。「人もアプリも最小権限」「鍵配布を避ける＝Workload Identity Federation」を押さえます。
5.1.2組織ポリシーとガードレール
組織ポリシーは、リソース階層に沿って制約を強制します（例：特定リージョン以外でのリソース作成を禁止、外部 IP の付与を禁止）。これは IAM の「許可」とは別の「ガードレール（やってはいけないことの強制）」です。組織→フォルダ→プロジェクトの階層で継承され、全社一貫のルールを上位でまとめて効かせられます。「全社一貫の制約＝組織ポリシー（継承）」「許可は IAM、禁止/制約は組織ポリシー」と結びます。
「要件 → 手段」が頻出。例：「最小権限で閲覧だけ」＝事前定義/カスタムロール、「アプリに権限」＝サービスアカウント、「外部 ID から鍵なしで連携」＝Workload Identity Federation、「特定リージョン以外で作成禁止」＝組織ポリシー、「権限をまとめて管理」＝グループへの付与。
混同に注意：
①基本ロールは広すぎる＝原則 事前定義/カスタムで最小権限。
②IAM（許可）と組織ポリシー（制約の強制）は別レイヤー。
③サービスアカウント鍵の配布は避け、可能なら Workload Identity Federation / 短期credential。
組織の ID 基盤は Cloud Identity（ユーザー/グループ/デバイスの一元管理・SSO）で、Google Workspace と同じ ID をクラウドの権限に結び付けます。セキュリティ態勢は Security Command Center で一元的に可視化し、設定ミス・脆弱性・脅威を検出してリスクを優先度付けします。
5.1.3この節のまとめ
- IAM は最小権限：基本ロールを避け事前定義/カスタムを、権限はグループで管理
- アプリはサービスアカウント、外部 ID は Workload Identity Federation（鍵配布回避）
- 組織ポリシーは制約を階層継承で強制（許可の IAM とは別レイヤー）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. データセットに閲覧だけを最小権限で許可したい。最も適したロールはどれですか？
Q2. 特定リージョン以外でのリソース作成を組織全体で禁止したい。使うのはどれですか？
Q3. アプリケーションやワークロードに権限を与える主体として最も適切なのはどれですか？
Q4. 外部 ID（他クラウドやオンプレ）から、サービスアカウント鍵を配らずに安全に連携したい。使うのはどれですか？
Q5. IAM と組織ポリシーの関係として正しいものはどれですか？
Q6. 多数のユーザーへの権限付与を管理しやすくしたい。最も適した方法はどれですか？