変更要約: Professional Cloud Security Engineer 第2章を新規作成（ドメイン2「境界防御」: Cloud NGFW/L7 検査・Identity-Aware Proxy・ロードバランサ・Certificate Authority Service・Cloud Armor・Secure Web Proxy・Cloud DNS セキュリティ(DNSSEC)・API 制限、VPC/ピアリング/Shared VPC/ファイアウォールのセキュリティ・N 層分離・VPC Service Controls、プライベート接続＝HA VPN/Cloud Interconnect/Private Google Access(オンプレ向け含む)/restricted Google access/Private Service Connect/Cloud NAT）。
2.2境界セグメンテーションとプライベート接続
VPC ネットワーク/VPC ピアリング/Shared VPC/ファイアウォールのセキュリティ特性、N 層アプリのネットワーク分離とデータカプセル化、VPC Service Controls のユースケースと構成、VPC 間/プロジェクト間のプライベート接続（Shared VPC・VPC ピアリング・オンプレ向け Private Google Access）、データセンターと VPC の暗号化接続（HA VPN・Cloud Interconnect）、VPC と Google API のプライベート接続（Private Google Access・restricted Google access・Private Service Connect）、Cloud NAT での外向きを理解します。
通信は分離とプライベート化で守ります。ネットワークをセグメント化し、データ持ち出しを境界で止め、Google API への到達を非公開にします。
2.2.1セグメンテーションと VPC Service Controls
ネットワークは VPC・サブネット・ファイアウォールルール でセグメント化し、N 層アプリは層ごとに ネットワーク分離 と データカプセル化 をします。複数プロジェクトの共通ネットワークは Shared VPC、別 VPC 接続は VPC ピアリング（非推移）です。最重要のデータ防御が VPC Service Controls＝BigQuery/Cloud Storage 等のマネージドサービスへの データ持ち出し（exfiltration）を サービス境界 で防ぎます（IAM とは別レイヤー）。盗まれた認証情報でも境界外へ出せないのが利点です。「マネージドサービスのデータ持ち出し防止＝VPC Service Controls」を結びます。
2.2.2プライベート接続と Google API への到達
データセンターと VPC は暗号化して接続します＝手軽な HA VPN（暗号トンネル・99.99% SLA）か、高帯域の Cloud Interconnect（暗号化が要れば MACsec/HA VPN over Interconnect）。Google API へは公開経路を避け、外部 IP なしの VM から Private Google Access、オンプレからは オンプレ向け Private Google Access、許可サービスのみに絞る restricted Google access（restricted.googleapis.com）、特定サービスへは Private Service Connect（PSC）でプライベート到達します。外向きの一般通信は外部 IP を持たせず Cloud NAT で出します。「Google API へ非公開到達＝Private Google Access/restricted access/PSC」「外部 IP なしの外向き＝Cloud NAT」を押さえます。
「要件 → 手段」が頻出。例：「盗まれた認証情報でもデータを境界外に出させない」＝VPC Service Controls、「外部 IP なし VM から Google API へ」＝Private Google Access、「許可した Google サービスのみに到達を絞る」＝restricted Google access、「特定マネージドサービスへ非公開接続」＝Private Service Connect、「データセンターと暗号化接続（手軽）」＝HA VPN、「外部 IP なしの外向き」＝Cloud NAT。
混同に注意：
①VPC Service Controls（データ持ち出し防止・サービス境界）と IAM（許可）は別レイヤー＝併用する。
②Private Google Access（Google API へ非公開到達）と Cloud NAT（一般インターネット外向き）は目的が別。
③VPC ピアリングは推移しない＝多段はハブ&スポークを検討。
2.2.3この節のまとめ
- セグメント化＝VPC/サブネット/ファイアウォール、データ持ち出し防止＝VPC Service Controls の境界
- DC 接続＝HA VPN/Cloud Interconnect、Google API へ非公開＝Private Google Access/restricted access/PSC
- 外部 IP なしの外向き＝Cloud NAT、Shared VPC で共通ネットワーク・ピアリングは非推移
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 認証情報が漏れた場合でも、BigQuery や Cloud Storage のデータを定義した境界の外へ持ち出せないようにしたい。最適なのはどれですか？
Q2. 外部 IP を持たない VM から、Cloud Storage などの Google API へプライベートに到達させたい。最適なのはどれですか？
Q3. 到達できる Google API を、許可したサービスのみに限定し、それ以外への流出経路を塞ぎたい。最適なのはどれですか？
Q4. データセンターと VPC を、手軽な暗号化トンネルで冗長に接続し 99.99% SLA を得たい。最適なのはどれですか？
Q5. 外部 IP を持たない多数の VM が、インターネットへ外向き通信できるようにしたい。最適なのはどれですか？