変更要約: Professional Security Operations Engineer 第1章を新規作成（ドメイン1「プラットフォーム運用」: Google SecOps(SIEM/SOAR)/Security Command Center/GTI/Cloud IDS のテレメトリ優先順位/ツール統合/重複ツールの正当化/カバレッジギャップ/自動化、ユーザー・サービスアカウント認証/IAM での機能・データ認可/Cloud Audit Logs(データアクセス)/自動化の API アクセス(サービスアカウント・API キー)/Workforce Identity Federation）。
1.2アクセスの構成と監査
セキュリティツール（SCC・Google SecOps）へのユーザー/サービスアカウント認証、IAM ロール/権限による機能アクセスとデータアクセスの認可、監査ログ（Cloud Audit Logs・データアクセスログ）の構成と分析、自動化のための API アクセス（サービスアカウント・API キー・SCC/SecOps/GTI）、Workforce Identity Federation による ID プロビジョニングを理解します。
セキュリティツール自体を安全に運用することが前提です。誰が何にアクセスできるかを最小権限で制御し、操作を監査します。
1.2.1認証・認可と ID プロビジョニング
SCC や Google SecOps への 認証 は、人は ユーザー アカウント、自動化は サービスアカウント で行います。認可 は IAM ロール/権限 で、機能アクセス（どの操作ができるか）と データアクセス（どのデータを見られるか）を分けて最小権限で付与します。アナリストには閲覧、検出エンジニアには検出ルール編集、というように役割で絞ります。外部 IdP の人を Google アカウントを作らずに使うには Workforce Identity Federation で ID をプロビジョニングします。「機能とデータの認可を分ける＝IAM ロールで最小権限」「外部 IdP の人を連携＝Workforce Identity Federation」を結びます。
1.2.2監査ログと自動化の API アクセス
セキュリティ運用の操作も証跡を残します＝Cloud Audit Logs の管理操作ログと、機微な データアクセスログ（明示的に有効化）を構成・分析し、「誰がどの検出ルールを変えたか/どのデータを見たか」を追えるようにします。自動化（SOAR プレイブックや外部連携）のための API アクセス は、サービスアカウント や API キー で SCC/SecOps/GTI のエンドポイントに安全に接続します。鍵は最小権限・短命・ローテーションで扱います。「セキュリティツールの操作証跡＝Cloud Audit Logs（データアクセスは要有効化）」「自動化の接続＝サービスアカウント/API キー」を押さえます。
「要件 → 手段」が頻出。例：「アナリストには閲覧だけ、検出エンジニアにはルール編集」＝IAM ロールで機能/データの認可を分離、「セキュリティツールの操作を監査」＝Cloud Audit Logs（データアクセスは要有効化）、「SOAR プレイブックを外部 API と連携」＝サービスアカウント/API キー、「外部 IdP の SOC アナリストを連携」＝Workforce Identity Federation。
混同に注意：
①機能アクセス（操作）とデータアクセス（閲覧範囲）は別の認可＝両方を最小権限で。
②データアクセスログは既定で無効＝機微操作の証跡には有効化。
③自動化の API キー/SA 鍵は漏えい源＝最小権限/ローテーション、可能なら Workload Identity Federation。
1.2.3この節のまとめ
- 認証＝ユーザー/サービスアカウント、認可＝IAM で機能/データを分離し最小権限
- 操作証跡＝Cloud Audit Logs（データアクセスは要有効化）、外部 IdP の人は Workforce Identity Federation
- 自動化の API アクセス＝サービスアカウント/API キーを最小権限/ローテーションで
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. SOC アナリストには検出結果の閲覧のみ、検出エンジニアには検出ルールの編集を許可したい。最適なのはどれですか？
Q2. 外部 IdP（Okta 等）で管理する SOC アナリストを、Google アカウントを作成せずにセキュリティツールへアクセスさせたい。最適なのはどれですか？
Q3. 誰がどの検出ルールを変更し、どの機微データにアクセスしたかの証跡を残したい。前提として必要なのはどれですか？
Q4. SOAR プレイブックから SCC や GTI の API を呼び出して自動連携したい。認証に使う最適な手段はどれですか？
Q5. 機能アクセスとデータアクセスの違いとして正しいものはどれですか？