変更要約: Professional Cloud Security Engineer 第4章を新規作成（ドメイン4「運用」: CI/CD の CVE スキャン(Artifact Analysis)/Binary Authorization(GKE/Cloud Run)/イメージのハードニング・VM パッチ管理/CSPM・カスタム組織ポリシー・Security Health Analytics カスタムモジュール、ネットワークログ(Cloud NGFW/VPC フローログ/Packet Mirroring/Cloud IDS/Log Analytics)・ロギング戦略・インシデント対応・ログへの安全なアクセス・外部 SIEM エクスポート・Cloud Audit Logs/データアクセスログ・ログシンク/集約シンク・Security Command Center）。
4.1インフラとアプリのセキュリティ自動化
CI/CD パイプラインでの CVE スキャン自動化、GKE/Cloud Run を守る Binary Authorization、VM/コンテナイメージの作成自動化（ハードニング・メンテナンス・VM パッチ管理）、大規模なポリシーとドリフト検出（クラウドセキュリティポスチャ管理 [CSPM]・カスタム組織ポリシー・Security Health Analytics のカスタムモジュール）を理解します。
セキュリティは手作業では追いつきません。パイプラインに検査を組み込み、信頼できる成果物だけをデプロイし、構成ドリフトを自動で検出します。
4.1.1サプライチェーンとイメージの保護
CI/CD では CVE スキャン（既知脆弱性）を自動化し、Artifact Analysis でイメージ/パッケージを継続スキャンします。デプロイ時は Binary Authorization で「署名・検証済みのイメージだけ」を GKE/Cloud Run に通し、信頼できない成果物を止めます（Artifact Analysis が検出、Binary Authorization が強制）。基盤の堅牢化は、ハードニング 済みの VM/コンテナイメージ を自動生成（ゴールデンイメージ）し、VM パッチ管理（OS パッチの一括適用）でメンテナンスします。「署名済みのみデプロイ＝Binary Authorization」「脆弱性の検出＝Artifact Analysis（CVE スキャン）」を結びます。
4.1.2ポスチャ管理とドリフト検出
大規模では構成の安全性を継続評価する クラウドセキュリティポスチャ管理（CSPM）が必要です。Google Cloud では Security Command Center（SCC）の Security Health Analytics が設定ミスを検出し、独自の検査は カスタムモジュール で追加します。望ましくない構成への ドリフト を防ぐには カスタム組織ポリシー（Custom Org Policy）で要件を制約として強制します。「設定ミスの自動検出＝Security Health Analytics」「独自ルールでガードレール＝カスタム組織ポリシー／カスタムモジュール」を押さえます。
「要件 → 手段」が頻出。例：「署名・検証済みのイメージだけ GKE/Cloud Run にデプロイ」＝Binary Authorization、「イメージの既知脆弱性を継続検出」＝Artifact Analysis（CVE スキャン）、「OS パッチを一括適用」＝VM パッチ管理、「設定ミスを自動検出」＝Security Command Center の Security Health Analytics、「独自の検査ルールを追加」＝カスタムモジュール、「望ましくない構成を制約で禁止」＝カスタム組織ポリシー。
混同に注意：
①Artifact Analysis（脆弱性の検出）と Binary Authorization（署名済みのみ強制）は役割が別＝組み合わせる。
②Security Health Analytics（設定ミス検出）と組織ポリシー（制約の強制）は検出と予防の違い。
③手作業の構成変更はドリフト源＝IaC＋ポリシーで防ぐ。
4.1.3この節のまとめ
- CI/CD で CVE スキャン（Artifact Analysis）、デプロイは Binary Authorization で署名済みのみ
- イメージのハードニング＋VM パッチ管理で基盤を堅牢化
- CSPM＝Security Command Center の Security Health Analytics（＋カスタムモジュール）、ドリフトはカスタム組織ポリシーで予防
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 信頼できないコンテナイメージのデプロイを防ぎ、署名・検証済みのイメージだけを GKE / Cloud Run に通したい。最適なのはどれですか？
Q2. コンテナイメージやパッケージの既知の脆弱性（CVE）を、CI/CD で継続的に検出したい。最適なのはどれですか？
Q3. Google Cloud 全体の設定ミス（公開バケット、過剰なファイアウォール等）を一元的に自動検出したい。最適なのはどれですか？
Q4. 多数の VM に OS の脆弱性パッチを一括で適用・管理したい。最適なのはどれですか？
Q5. 組織標準の独自要件（例：すべての Cloud SQL は限定公開 IP のみ）への構成ドリフトを、制約として強制し予防したい。最適なのはどれですか？