変更要約: Professional Cloud Security Engineer 第1章を新規作成（ドメイン1「アクセスの構成」: Cloud Identity/GCDS/SSO(SAML/OAuth)/スーパー管理者/ユーザーライフサイクル/Workforce Identity Federation、サービスアカウント/既定 SA/鍵の監査/Workload Identity Federation/短命credential/なりすまし/2SV、IAM 事前定義・カスタム/職務分掌/IAM 条件/IAM 拒否ポリシー/グループ/Access Context Manager/Policy Intelligence/Privileged Access Manager、リソース階層/フォルダ/プロジェクト/組織ポリシー(事前ビルド・カスタム)/継承）。
1.1Cloud Identity・サービスアカウント・認証
Cloud Identity の管理（Google Cloud Directory Sync・サードパーティ IdP との SSO・スーパー管理者・ユーザーライフサイクル自動化・Workforce Identity Federation）、サービスアカウントの保護（既定 SA・鍵の監査/緩和・短命credential・Workload Identity Federation・なりすまし）、認証（パスワード/セッションポリシー・SAML/OAuth・2 段階認証）を理解します。
Professional Cloud Security Engineer は、Google Cloud の安全な設計/実装/運用を担います。最初の柱がアイデンティティ＝誰がワークロードや人を表し、どう認証するかです。鍵の漏えいを避け、フェデレーションと短命credentialを使いこなします。
1.1.1Cloud Identity と人の認証
人の ID は Cloud Identity で管理します。オンプレ AD のユーザー/グループは Google Cloud Directory Sync（GCDS）で同期し、サードパーティ IdP との SSO（SAML/OAuth）で認証を委譲します。最強権限の スーパー管理者アカウント は厳重に保護（最小人数・2SV・緊急用）し、ユーザーライフサイクル の作成/無効化を自動化します。外部 IdP の人の ID をそのまま Google Cloud で使うには Workforce Identity Federation を使い、アカウントを作らずに連携します。認証強度は 2 段階認証（2SV）と パスワード/セッション管理ポリシー で底上げします。「外部 IdP の人を連携＝Workforce Identity Federation」「最強権限＝スーパー管理者を厳重保護」を結びます。
1.1.2サービスアカウントとワークロード認証
ワークロードの ID は サービスアカウント で表します。既定のサービスアカウント は過剰権限になりがちなので無効化/最小化し、必要な場面を見極めて専用 SA を作成/無効化/認可します。最大のリスクは サービスアカウント鍵 の漏えいなので、可能な限り鍵を作らず、外部/オンプレ/CI/CD からは Workload Identity Federation でキーレス連携し、一時的な権限は 短命credential（short-lived credentials）と サービスアカウントのなりすまし（impersonation）で得ます。やむを得ず鍵を使う場合は 監査・ローテーション・無効化で被害を抑えます。「鍵を持たせない＝Workload Identity Federation／なりすまし」「一時権限＝短命credential」を押さえます。
「要件 → 手段」が頻出。例：「オンプレ AD を Google に同期」＝GCDS、「外部 IdP の人をアカウント作成なしで利用」＝Workforce Identity Federation、「外部/CI/CD のワークロードを鍵なしで認証」＝Workload Identity Federation、「一時的に別 SA の権限で実行」＝サービスアカウントのなりすまし／短命credential、「最強権限を厳重保護」＝スーパー管理者の最小化＋2SV。
混同に注意：
①Workforce Identity Federation（人/外部 IdP）と Workload Identity Federation（ワークロード/外部システム）を取り違えない。
②サービスアカウント鍵のダウンロードは最後の手段＝漏えい源。
③既定の SA は過剰権限になりがち＝無効化/最小化する。
1.1.3この節のまとめ
- 人＝Cloud Identity/GCDS/SSO、外部 IdP の人は Workforce Identity Federation、スーパー管理者を厳重保護
- ワークロード＝サービスアカウント、鍵を避け Workload Identity Federation/なりすまし/短命credential
- 認証強度＝2 段階認証＋パスワード/セッションポリシー、SAML/OAuth で SSO
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 外部の ID プロバイダ（IdP）で管理している「人間のユーザー」を、Google アカウントを作成せずに Google Cloud のリソースへアクセスさせたい。最適なのはどれですか？
Q2. オンプレや外部システムのワークロードを、サービスアカウント鍵を持たせずに Google Cloud へ認証させたい。最適なのはどれですか？
Q3. CI/CD のジョブが一時的に特定のサービスアカウントの権限で実行する必要がある。鍵を作らずに実現する最適な手段はどれですか？
Q4. オンプレの Active Directory のユーザーとグループを Cloud Identity に同期したい。使うツールはどれですか？
Q5. 最強の権限を持つスーパー管理者アカウントのリスクを抑える運用として、最も適切なのはどれですか？