Associate Cloud Engineer
完全マスター教材

GCPのリソースは 組織 → フォルダ → プロジェクト → リソース の4層構造で管理される。ポリシーは上位から下位へ継承される。

# 組織ポリシーの確認
gcloud org-policies list --organization=ORG_ID

# フォルダの作成
gcloud resource-manager folders create \
  --display-name="Production" \
  --organization=ORG_ID

# プロジェクトの作成（フォルダ配下）
gcloud projects create my-project-id \
  --folder=FOLDER_ID \
  --name="My Project"

IAMは「誰が（Member）・何を（Permission）・どのリソースに（Resource）できるか」を定義する。ロールはアクセス制御の最小単位。

# IAMポリシーの確認
gcloud projects get-iam-policy PROJECT_ID

# ロールの付与
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:alice@example.com" \
  --role="roles/compute.instanceAdmin.v1"

# カスタムロール作成
gcloud iam roles create myCustomRole \
  --project=PROJECT_ID \
  --file=role-definition.yaml

# APIの有効化
gcloud services enable compute.googleapis.com
gcloud services enable container.googleapis.com
gcloud services enable sqladmin.googleapis.com

# 有効なAPIの一覧確認
gcloud services list --enabled

# クォータの確認
gcloud compute project-info describe --project=PROJECT_ID

ワークロードの性質に応じて最適なコンピューティングプラットフォームを選択することが、ACE試験の最重要テーマの一つ。

# インスタンステンプレートの作成
gcloud compute instance-templates create web-template \
  --machine-type=e2-medium \
  --image-family=debian-11 \
  --image-project=debian-cloud \
  --metadata-from-file startup-script=startup.sh

# マネージドインスタンスグループの作成（オートスケール）
gcloud compute instance-groups managed create web-mig \
  --template=web-template \
  --size=3 \
  --zone=us-central1-a

# オートスケーリングの設定
gcloud compute instance-groups managed set-autoscaling web-mig \
  --min-num-replicas=2 \
  --max-num-replicas=10 \
  --target-cpu-utilization=0.6 \
  --zone=us-central1-a

# GKE Autopilot クラスタの作成
gcloud container clusters create-auto my-cluster \
  --region=us-central1

# GKE Standard（プライベートクラスタ）の作成
gcloud container clusters create private-cluster \
  --zone=us-central1-a \
  --enable-private-nodes \
  --enable-private-endpoint \
  --master-ipv4-cidr=172.16.0.0/28

# kubectl の設定
gcloud container clusters get-credentials my-cluster \
  --region=us-central1

# Cloud Storage バケット作成（マルチリージョン）
gsutil mb -l US -c STANDARD gs://my-bucket-name

# ライフサイクルポリシーの設定
gsutil lifecycle set lifecycle.json gs://my-bucket-name

# Cloud SQL インスタンスの作成（HA構成）
gcloud sql instances create my-sql \
  --database-version=POSTGRES_15 \
  --tier=db-n1-standard-4 \
  --region=us-central1 \
  --availability-type=REGIONAL

# カスタムモードVPCの作成
gcloud compute networks create my-vpc \
  --subnet-mode=custom

# サブネットの作成
gcloud compute networks subnets create my-subnet \
  --network=my-vpc \
  --region=us-central1 \
  --range=10.0.0.0/24

# ファイアウォールルールの作成（タグベース）
gcloud compute firewall-rules create allow-http \
  --network=my-vpc \
  --allow=tcp:80,tcp:443 \
  --target-tags=web-server \
  --source-ranges=0.0.0.0/0

# Terraform でGCS バックエンドを設定する例（main.tf）
terraform {
  backend "gcs" {
    bucket = "my-tfstate-bucket"
    prefix = "terraform/state"
  }
}

# Cloud Build で terraform plan を自動実行
gcloud builds submit --config cloudbuild.yaml .

# IAP 経由で外部IPなしのVMにSSH接続
gcloud compute ssh my-instance \
  --zone=us-central1-a \
  --tunnel-through-iap

# スナップショットの作成
gcloud compute disks snapshot my-disk \
  --snapshot-names=my-snapshot \
  --zone=us-central1-a

# Cloud Run のトラフィック分割（カナリアデプロイ）
gcloud run services update-traffic my-service \
  --to-revisions=rev1=90,rev2=10 \
  --region=us-central1

# GKE の Pod 一覧確認
kubectl get pods -n default -o wide
kubectl get services --all-namespaces

# ライフサイクルポリシーJSON例
{
  "rule": [{
    "action": {"type": "SetStorageClass", "storageClass": "NEARLINE"}
    "condition": {"age": 30}
  },{
    "action": {"type": "Delete"}
    "condition": {"age": 365}
  }]
}

# BigQuery クエリ実行（コスト確認付き）
bq query --use_legacy_sql=false \
  --dry_run \
  'SELECT * FROM `project.dataset.table` LIMIT 100'

# Cloud SQL のバックアップ作成
gcloud sql backups create \
  --instance=my-sql-instance

# 静的外部IPの予約
gcloud compute addresses create my-static-ip \
  --region=us-central1

# Cloud NAT の設定（Cloud Router 経由）
gcloud compute routers create my-router \
  --network=my-vpc \
  --region=us-central1

gcloud compute routers nats create my-nat \
  --router=my-router \
  --auto-allocate-nat-external-ips \
  --nat-all-subnet-ip-ranges \
  --region=us-central1

Cloud Monitoring・Cloud Logging・Cloud Trace・Cloud Profiler を組み合わせて可観測性（Observability）を実現する。ACEで頻出の実践的トピック。

# Cloud Monitoring アラートポリシーの作成
gcloud alpha monitoring policies create \
  --policy-from-file=alert-policy.json

# ログシンクの作成（BigQueryへ転送）
gcloud logging sinks create my-bq-sink \
  bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET \
  --log-filter='resource.type="gce_instance"'

# Ops Agent のインストール（Compute Engine VM内で実行）
curl -sSO https://dl.google.com/cloudagents/add-google-cloud-ops-agent-repo.sh
bash add-google-cloud-ops-agent-repo.sh --also-install

# 監査ログの確認
gcloud logging read \
  'logName="projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity"' \
  --limit=50

# IAMポリシーの確認
gcloud projects get-iam-policy PROJECT_ID \
  --format=json

# 特定ロールの付与（条件付き）
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="group:dev-team@example.com" \
  --role="roles/compute.viewer" \
  --condition='expression=request.time.getHours("Asia/Tokyo") >= 9 && request.time.getHours("Asia/Tokyo") <= 18,title=BusinessHoursOnly'

# ロールの削除
gcloud projects remove-iam-policy-binding PROJECT_ID \
  --member="user:alice@example.com" \
  --role="roles/editor"

サービスアカウントは 「人間ではなくアプリケーション・VM・サービスのための IAM メンバー」。適切に管理しないとセキュリティリスクになる。

# サービスアカウントの作成
gcloud iam service-accounts create my-app-sa \
  --display-name="My App Service Account" \
  --project=PROJECT_ID

# サービスアカウントにロールを付与
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:my-app-sa@PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/storage.objectViewer"

# GKE Workload Identity の設定
# 1. K8s ServiceAccount と GCP SA をバインド
gcloud iam service-accounts add-iam-policy-binding GSA_NAME@PROJECT_ID.iam.gserviceaccount.com \
  --role=roles/iam.workloadIdentityUser \
  --member="serviceAccount:PROJECT_ID.svc.id.goog[NAMESPACE/KSA_NAME]"

# 2. K8s SA にアノテーション付与
kubectl annotate serviceaccount KSA_NAME \
  --namespace=NAMESPACE \
  iam.gke.io/gcp-service-account=GSA_NAME@PROJECT_ID.iam.gserviceaccount.com