ハンズオンラボ — CDL Google Cloud Digital Leader

概要

前提条件

ステップ

1. 1.プロバイダー、プロジェクトサービス、命名

   GCPでは、リソースをプロビジョニングする前に、明示的なプロジェクトサービス（API）を有効にする必要があります。ここでは、storage.googleapis.com（ステップ2用）と billingbudgets.googleapis.com（ステップ4用）を有効にします。APIサーフェスが常にオンであるAWSと比較すると、GCPではプロジェクトごとにオプトインする必要があります。

   your-project-id を実際のプロジェクトIDに置き換えてください。

   コピー

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE with your GCP project ID
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-cdl"
       managed_by = "terraform"
     }
   }
   
   resource "google_project_service" "storage" {
     service            = "storage.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "budgets" {
     service            = "billingbudgets.googleapis.com"
     disable_on_destroy = false
   }

2. 2.一貫したアクセスとライフサイクルを持つCloud Storageバケットをプロビジョニングする

   プロビジョニング対象:

   • Cloud Storage

   Cloud StorageはGCPのS3に相当するサービスで、リージョン、マルチリージョン、デュアルリージョンのレプリケーションオプションを備えたオブジェクトストアです。CDL試験では、どのストレージクラスかという質問が繰り返し出題されます: Standard (ホット)、Nearline (30日超)、Coldline (90日超)、Archive (365日超)。

   ここでは、一貫したバケットレベルアクセス（CDLが推奨するセキュリティのデフォルト — 細粒度なオブジェクトごとのACLを無効にし、IAMのみを優先）と、30日経過後にNearlineへ移行するライフサイクルを有効にします。名前はすべてのGCPでグローバルに一意である必要があるため、ランダムな16進数をサフィックスとして追加します。

   コピー

   resource "random_id" "suffix" {
     byte_length = 4
   }
   
   resource "google_storage_bucket" "main" {
     name                        = "certlabpro-cdl-${random_id.suffix.hex}"
     location                    = "US"
     uniform_bucket_level_access = true
     force_destroy               = true # lab-only — never in production
   
     lifecycle_rule {
       condition {
         age = 30
       }
       action {
         type          = "SetStorageClass"
         storage_class = "NEARLINE"
       }
     }
   
     labels = local.labels
   
     depends_on = [google_project_service.storage]
   }

3. 3.Cloud Loggingを普遍的な監査基盤として有効にする

   プロビジョニング対象:

   • Cloud Logging

   GCPのCloud Loggingはほとんどのサービスでデフォルトで有効になっていますが、CDL試験では、監査ログの*必須 vs デフォルト vs データアクセス*の違いが問われます。必須監査ログ（管理アクティビティ）は常にオンで無料で、無効にできません。デフォルトログ（一部サービスのデータ書き込み）はオンですが、無効にできます。データアクセスログ（データ読み取り）はデフォルトでオフ — 明示的に有効にする必要があり、通常通り課金されます。

   ここでは、Cloud Storageのデータアクセスロギングを有効にし、ステップ2のバケット内のすべてのオブジェクトの読み取りがCloud Loggingに記録されるようにします。このラボは iam-audit-config プリミティブのデモンストレーションであり、本番環境のデプロイでは、[[gcp-pcse]] パターンを介して組織レベルでこのパターンが使用されます。

   コピー

   resource "google_project_iam_audit_config" "storage_data_access" {
     service = "storage.googleapis.com"
   
     audit_log_config {
       log_type = "DATA_READ"
     }
   
     audit_log_config {
       log_type = "DATA_WRITE"
     }
   }

4. 4.しきい値を超過した場合にメールで通知するCloud Billing予算を設定する

   プロビジョニング対象:

   • Cloud Billing

   CDL試験ではこのパターンが非常によく出題されます — Cloud Billingの予算とアラートは、コスト管理に関するCDL試験の定番問題です。月額10ドルの予算を設定し、予測支出の50% / 90% / 100%でアラートが送られるように構成します。アラートは請求先アカウント管理者へメールで通知されます（メールには追加の設定は不要です。Slack / PagerDutyの場合は、Pub/SubトピックとCloud Functionのファンアウトを追加します）。

   your-billing-account-id を実際のIDに置き換えてください。この予算は projects フィルターにより現在のプロジェクトのみにスコープ指定されます — CDL試験では、このプロジェクトごとの予算 vs 組織全体の予算の区別が問われます。

   コピー

   data "google_project" "current" {}
   
   resource "google_billing_budget" "monthly_10" {
     billing_account = "your-billing-account-id" # REPLACE — find via `gcloud beta billing accounts list`
     display_name    = "certlabpro-cdl-$10-monthly"
   
     budget_filter {
       projects = ["projects/${data.google_project.current.number}"]
     }
   
     amount {
       specified_amount {
         currency_code = "USD"
         units         = "10"
       }
     }
   
     threshold_rules {
       threshold_percent = 0.5
       spend_basis       = "FORECASTED_SPEND"
     }
   
     threshold_rules {
       threshold_percent = 0.9
       spend_basis       = "FORECASTED_SPEND"
     }
   
     threshold_rules {
       threshold_percent = 1.0
       spend_basis       = "CURRENT_SPEND"
     }
   
     depends_on = [google_project_service.budgets]
   }

クリーンアップ