第2章 · 通信のセキュリティと境界防御·v1.0.0·更新 2026/7/16·読了目安約16分

変更要約: Professional Cloud Security Engineer 第2章を新規作成（ドメイン2「境界防御」: Cloud NGFW/L7 検査・Identity-Aware Proxy・ロードバランサ・Certificate Authority Service・Cloud Armor・Secure Web Proxy・Cloud DNS セキュリティ(DNSSEC)・API 制限、VPC/ピアリング/Shared VPC/ファイアウォールのセキュリティ・N 層分離・VPC Service Controls、プライベート接続＝HA VPN/Cloud Interconnect/Private Google Access(オンプレ向け含む)/restricted Google access/Private Service Connect/Cloud NAT）。

2.1境界セキュリティと周辺防御

この節の要点

ネットワーク境界制御（Cloud NGFW ルール/ポリシー・Identity-Aware Proxy [IAP]・ロードバランサ・Certificate Authority Service）、Cloud NGFW のアプリケーション層（L7）検査、プライベート/パブリック IP、Web アプリケーションファイアウォール（Google Cloud Armor）、Secure Web Proxy、Cloud DNS のセキュリティ設定、構成された API の継続的な監視と制限を理解します。

境界防御は「公開境界（インターネット側）」と「アプリへの到達制御」を多層で構成します。WAF・IAP・ファイアウォールを重ね、最小の公開面にします。

2.1.1エッジ防御とアプリ到達制御

公開 Web は外部ロードバランサの前段で Google Cloud Armor（WAF・SQLi/XSS、DDoS、レート制限）で守ります。アプリへの到達は Identity-Aware Proxy（IAP）で「ID＋コンテキストに基づくアクセス」にし、VPN なしでゼロトラスト的に内部アプリへ公開できます。VPC 内の通信は Cloud NGFW のルール/ポリシーで制御し、必要なら Enterprise ティアの L7（アプリケーション層）検査を有効化します。外向きの宛先を URL/SNI で制御するには Secure Web Proxy、内部 TLS 証明書の発行/管理は Certificate Authority Service（CAS）を使います。「公開 Web の WAF＝Cloud Armor」「ID ベースのアプリ公開＝IAP」「内部 CA＝Certificate Authority Service」を結びます。

2.1.2DNS セキュリティと API の制限

名前解決は Cloud DNS のセキュリティ設定＝DNSSEC（応答の改ざん防止）や DNS サーバーポリシーで守ります。プライベート/パブリック IP を使い分け、内部リソースに不要な公開 IP を持たせません。攻撃面を減らすため、使う API を継続的に監視・制限します（組織ポリシーの API 制限、VPC Service Controls での境界、不要 API の無効化）。「DNS 改ざん防止＝DNSSEC」「攻撃面の縮小＝不要 API/公開 IP を排除」を押さえます。

試験ポイント

「要件 → 手段」が頻出。例：「VPN なしで ID ベースに内部アプリを公開」＝Identity-Aware Proxy、「公開 Web を WAF/DDoS から守る」＝Cloud Armor、「外向き先を URL/SNI で許可リスト」＝Secure Web Proxy、「内部 TLS 証明書を発行/管理」＝Certificate Authority Service、「アプリ層で侵入検査」＝Cloud NGFW Enterprise の L7 検査、「DNS 改ざん防止」＝DNSSEC。

注意

混同に注意：
①IAP（ID＋コンテキストでアプリ公開）と Cloud Armor（L7 WAF/DDoS）は役割が別＝併用する。
②Secure Web Proxy（外向き先を URL/SNI 制御）と Cloud NAT（一般外向き）は目的が別。
③L7 検査は Cloud NGFW Enterprise ティアが前提。

Cloud Armor(WAF/DDoS)・Identity-Aware Proxy(ID ベース公開)・Cloud NGFW(L7 検査)、Certificate Authority Service・Secure Web Proxy・Cloud DNS(DNSSEC)・API 制限を示す図。 — 多層で公開面を絞る

2.1.3この節のまとめ

公開 Web＝Cloud Armor（WAF/DDoS）、内部アプリの ID ベース公開＝Identity-Aware Proxy
内部 CA＝Certificate Authority Service、外向き URL/SNI 制御＝Secure Web Proxy、L7 検査＝Cloud NGFW Enterprise
DNS 改ざん防止＝DNSSEC、攻撃面縮小＝不要 API/公開 IP を排除

進捗の記録にはログインが必要です。

理解度チェック

（軽い確認用）

Q1. VPN を使わずに、ユーザーの ID とコンテキストに基づいて内部 Web アプリへのアクセスを制御・公開したい。最適なのはどれですか？

Q2. 公開 HTTPS アプリを SQL インジェクションや DDoS から保護したい。最適なのはどれですか？

Q3. 社内向けに、プライベート CA を運用して TLS 証明書を発行・管理したい。最適なのはどれですか？

Q4. 公開ゾーンの DNS 応答が改ざん（キャッシュポイズニング）されないよう署名で検証可能にしたい。Cloud DNS の設定はどれですか？

Q5. VM の外向き通信について、許可された URL/SNI のみへ出られるよう制御したい。最適なのはどれですか？

理解度を確認第2章「通信のセキュリティと境界防御」の問題を解く