変更要約: Professional Cloud Architect 第5章を新規作成（ドメイン3「セキュリティとコンプライアンス」: IAM/最小権限/組織統制＝基本ロール回避/事前定義・カスタム/グループ・サービスアカウント/Workload Identity Federation・組織ポリシー/ガードレール、データ保護とコンプライアンス＝GMEK/CMEK/CSEK/Cloud KMS/Cloud EKM・Sensitive Data Protection/Cloud DLP・データ所在地・Assured Workloads/Cloud Audit Logs/VPC Service Controls）。
5.1IAM・最小権限と組織の統制
IAM による最小権限の設計（基本ロール回避・事前定義/カスタムロール）、サービスアカウントと Workload Identity Federation、組織ポリシーによる制約の強制、そしてリソース階層に沿った権限継承とガードレールの設計を理解します。
セキュリティの出発点は 「誰が何にアクセスできるか」の統制です。Architect は IAM と 組織ポリシーで、最小権限と一貫したガードレールを設計します。
5.1.1IAM と最小権限
IAM は「誰（メンバー）に・どのロール（権限）を・どのリソースで」許可するかを定めます。広範すぎる 基本ロール（オーナー/編集者/閲覧者）は避け、用途に合う 事前定義ロールや、必要な権限だけを集めた カスタムロール を 最小権限 で付与します。権限は グループ単位で与えると管理しやすくなります。アプリやワークロードには サービスアカウントを使い、外部 ID からは鍵を配らず Workload Identity Federation で安全に連携します。「人もアプリも最小権限」「鍵配布を避ける＝Workload Identity Federation」を押さえます。
5.1.2組織ポリシーとガードレール
組織ポリシーは、リソース階層に沿って制約を強制します（例：特定リージョン以外でのリソース作成を禁止、外部 IP の付与を禁止）。これは IAM の「許可」とは別の「ガードレール（やってはいけないことの強制）」です。組織→フォルダ→プロジェクトの階層で継承され、全社一貫のルールを上位でまとめて効かせられます。「全社一貫の制約＝組織ポリシー（継承）」「許可は IAM、禁止/制約は組織ポリシー」と結びます。