変更要約: Professional Cloud Network Engineer 第6章を新規作成（ドメイン6「ネットワークセキュリティ」: Google Cloud Armor＝エッジ/バックエンドポリシー・WAF(SQLi/XSS/RFI)・高度な DDoS と Adaptive Protection・レート制限・bot 管理・Threat Intelligence、Cloud NGFW/VPC ファイアウォール＝戦略/階層型/実効ポリシー/L7 検査(Enterprise)/移行/ルール条件(優先度/プロトコル/方向/送信元・宛先)/ログ/マイクロセグメンテーション(セキュアタグ/SA/ネットワークタグ)/ティア(Essentials/Standard/Enterprise)、パブリック Cloud NAT(自動・手動 IP/静的・動的ポート)、Secure Web Proxy、自己管理 NVA(マルチ NIC/内部 LB ネクストホップ/ポリシーベースルート)/アウトオブバンド Network Security Integration/パケットミラーリング）。
6.1Cloud Armor と Cloud NGFW / VPC ファイアウォール
Google Cloud Armor のポリシー（エッジ/バックエンドセキュリティポリシー・WAF（SQLi/XSS/RFI）・高度なネットワーク DDoS と Adaptive Protection・レート制限・bot 管理・Threat Intelligence）と、Cloud NGFW/VPC ファイアウォールルール（ファイアウォール戦略・階層型ファイアウォール・実効ポリシー・L7 検査（NGFW Enterprise）・VPC ルールからの移行・ルール条件（優先度/プロトコル/方向/送信元/宛先）・ファイアウォールログ・マイクロセグメンテーション・NGFW のティア（Essentials/Standard/Enterprise））を理解します。
ネットワークセキュリティは「エッジ（公開境界）」と「内部（VPC 内の通信）」の両面で構成します。境界は Cloud Armor、内部は Cloud NGFW/VPC ファイアウォールが担います。
6.1.1Google Cloud Armor
Google Cloud Armor は外部 Application LB の前段で適用するセキュリティポリシーです。エッジ セキュリティポリシー（CDN/キャッシュ前）と バックエンド セキュリティポリシー（バックエンドサービス単位）を使い分けます。WAF ルール（SQL インジェクション・クロスサイトスクリプティング・リモートファイルインクルージョン などのプリコンフィグルール）で既知攻撃を遮断し、高度なネットワーク DDoS 防御 と Adaptive Protection（機械学習で異常を学習し緩和を提案）で大規模攻撃に備えます。さらに レート制限（送信元あたりの流量制御）、bot 管理（reCAPTCHA 連携）、Threat Intelligence（既知の悪性 IP/Tor などの脅威情報）でルールを強化します。「公開 Web を WAF/DDoS から守る＝Cloud Armor」を結びます。
6.1.2Cloud NGFW と VPC ファイアウォール
内部の通信制御は VPC ファイアウォールルール と Cloud NGFW ポリシーで行います。組織/フォルダに継承させる 階層型ファイアウォールポリシー と、リージョナル/グローバル/ネットワークのポリシーを組み合わせ、実効ポリシー（優先度で評価された最終結果）を意識します。ルール条件は 優先度・プロトコル/ポート・方向（ingress/egress）・送信元/宛先 で定義し、IP の代わりに セキュアタグ・サービスアカウント・ネットワークタグ を使った マイクロセグメンテーション で「誰が誰と話せるか」を最小化します。L7 の侵入防止が要れば NGFW Enterprise の レイヤー7 検査 を有効化します。ティアは Essentials・Standard・Enterprise があり、機能要件で選びます。VPC ルールから Cloud NGFW ポリシーへ移行 もできます。
「要件 → 手段」が頻出。例：「公開 Web を SQLi/XSS から守る」＝Cloud Armor の WAF プリコンフィグルール、「送信元あたりの流量を制限」＝レート制限、「学習型の DDoS 緩和提案」＝Adaptive Protection、「組織全体に継承させる FW」＝階層型ファイアウォールポリシー、「IP でなく ID で通信制御」＝セキュアタグ/サービスアカウントのマイクロセグメンテーション、「L7 侵入防止」＝NGFW Enterprise の L7 検査。
混同に注意：
①Cloud Armor（エッジ/L7・公開境界）と VPC ファイアウォール/NGFW（VPC 内通信）はレイヤーが別。
②実効ポリシーは優先度で決まる＝階層型・ネットワークの複数ポリシーが重なる点に注意。
③L7 検査は NGFW Enterprise ティアが前提（Essentials/Standard では不可）。
6.1.3この節のまとめ
- 公開境界＝Cloud Armor（WAF/DDoS/Adaptive Protection/レート制限/bot/Threat Intelligence）
- 内部通信＝VPC ファイアウォール/Cloud NGFW、階層型＋実効ポリシー、IP でなくタグ/SA でマイクロセグメンテーション
- L7 検査は NGFW Enterprise ティア、ティアは Essentials/Standard/Enterprise を機能要件で選ぶ
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 外部 Application LB の背後の公開 Web を、SQL インジェクションやクロスサイトスクリプティングから保護したい。最適なのはどれですか？
Q2. 組織全体に継承され、フォルダ/プロジェクトをまたいで一貫適用されるファイアウォールを実装したい。最適なのはどれですか？
Q3. IP アドレスではなく、ワークロードの ID（タグやサービスアカウント）に基づいて東西通信を最小化したい。手法はどれですか？
Q4. L7（アプリケーション層）の侵入防止（IPS）検査を Cloud NGFW で有効化したい。前提として必要なティアはどれですか？
Q5. 特定の送信元 IP からのリクエスト数が一定の閾値を超えたら制限し、L7 の DDoS やブルートフォースを緩和したい。Cloud Armor の機能はどれですか？