مهندس أمن سحابي في Google Cloud: التدريب العملي والتحضير المهني

نظرة عامة

تعد دورة مهندس أمن سحابي في Google Cloud برنامجا تحضيريا لاختبار Professional Cloud Security Engineer من Google، وهو اختبار لا يكتفي بقياس حفظ المبادئ النظرية، بل يتحقق من قدرة المرشح على التعامل الفعلي مع وحدة تحكم Google Cloud وأداة gcloud CLI وخدمة Organization Policy تحت ضغط الوقت. يتناول هذا البرنامج الممتد على 5 أيام أقسام دليل الاختبار الرسمي بالترتيب الذي تعتمده Google: ضبط الوصول على مستوى المشروع والمؤسسة، وتأمين الاتصالات وحماية المحيط، وحماية البيانات، وإدارة العمليات، ودعم المتطلبات التنظيمية. ويختتم كل يوم بأسئلة سيناريوهات موقوتة مصاغة بأسلوب دراسات الحالة المعتمد في الاختبار، ليتعلم المشاركون كيف يميزون الإجابة التي توصي بها Google من بين عدة حلول ممكنة تقنيا. تقدم هذه الدورة بواسطة أجايل للتدريب.

الفئة المستهدفة

• المهندسون الذين حجزوا موعدا لاختبار Professional Cloud Security Engineer خلال الأشهر القليلة المقبلة
• مسؤولو Google Workspace وCloud Identity المكلفون بتصميم حسابات المسؤول الأعلى والمجموعات
• فرق المنصات التي تدير بيئات Landing Zone المبنية بأدوات Cloud Foundation Toolkit أو Terraform
• محللو مراكز العمليات الأمنية SOC المنتقلون إلى Security Command Center Premium وChronicle
• حاملو شهادة Associate Cloud Engineer الساعون إلى أول اعتماد على المستوى الاحترافي

الإدارات والقطاعات المستهدفة

تفيد الدورة كل جهة تحتفظ مشاريعها على Google Cloud ببيانات خاضعة للتنظيم أو ببيانات العملاء.

• مجموعات هندسة المنصات التي تشغل بيئات GKE وCloud Run
• الفرق المصرفية الملزمة بقواعد حفظ المفاتيح ومسارات التدقيق
• منصات البيانات الصحية التي تجري تحليلات BigQuery على سجلات المرضى
• الجهات الحكومية التي تعتمد مجلدات Assured Workloads
• شركات التجزئة والإعلام التي تدير مواقع عالية الزيارات خلف Cloud Load Balancing

أهداف التعلم

بنهاية هذه الدورة، سيكون المشاركون قادرين على:

• المفاضلة بين السياسات الأساسية والمعرفة مسبقا والمخصصة وسياسات الرفض في سيناريو gcloud محدد.
• رسم محيط VPC Service Controls وإضافة مستويات الوصول وقواعد الدخول والخروج واختباره في وضع التشغيل التجريبي dry-run.
• اختيار خيار المفاتيح المناسب (التشفير الافتراضي من Google أو CMEK أو CSEK أو Cloud HSM أو Cloud EKM) وفق متطلبات البيانات المحددة.
• بناء مهمة فحص في Sensitive Data Protection وقالب لإزالة التعريف لجدول في BigQuery.
• قراءة نتائج Security Command Center وتوجيهها إلى Pub/Sub للمعالجة الآلية.
• الإجابة عن أسئلة الاختبار المتعلقة بقيود Organization Policy وAccess Transparency وKey Access Justifications.

جدول الدورة

اليوم 1: القسم الأول من الاختبار - ضبط الوصول

• صيغة الاختبار وأنماط الأسئلة وآلية تقييم دراسات الحالة
• Cloud Identity وGoogle Cloud Directory Sync والربط الموحد عبر SAML مع مزود هوية خارجي
• التسلسل الهرمي للموارد: عقدة المؤسسة والمجلدات والمشاريع ووراثة السياسات
• حسابات الخدمة مقابل حسابات المستخدمين، وانتحال الهوية، وتعطيل إنشاء المفاتيح بالقيود
• Workload Identity Federation لأعباء عمل GitHub Actions وAWS، مع اختبار قصير موقوت من 15 سؤالا حول التحكم في الوصول

اليوم 2: القسم الثاني من الاختبار - الاتصالات وحماية المحيط

• سياسات جدران الحماية الهرمية، ووسوم الشبكة مقابل الوسوم الآمنة
• قواعد Cloud Armor وتوقيعات WAF المعدة مسبقا والحماية التكيفية
• Identity-Aware Proxy للوصول عبر SSH وRDP وتطبيقات الويب الداخلية
• خيارات Private Service Connect وPrivate Google Access وCloud NAT
• محيطات VPC Service Controls والجسور وسجلات التشغيل التجريبي، مع دراسة حالة موقوتة حول حدود الشبكة

اليوم 3: القسم الثالث من الاختبار - حماية البيانات

• الاكتشاف والفحص وإزالة التعريف في Sensitive Data Protection
• حلقات المفاتيح في Cloud KMS وفترات التدوير وإصدارات المفاتيح وجدولة الإتلاف
• مقارنة بين Cloud HSM وCloud EKM وKey Access Justifications
• إصدارات Secret Manager والنسخ المتماثل وصلاحيات IAM على كل سر على حدة
• الوصول الموحد على مستوى الحاويات والروابط الموقعة والأمان على مستوى الأعمدة في BigQuery، مع اختبار قصير موقوت لاختيار نموذج التشفير المناسب

اليوم 4: القسم الرابع من الاختبار - إدارة العمليات

• سجلات تدقيق Admin Activity وData Access وPolicy Denied، ومصارف السجلات المجمعة
• مستويات Security Command Center وأدوات الكشف وقواعد الكتم
• شهادات Binary Authorization مع فحص Artifact Registry
• تحصين GKE: Shielded Nodes وWorkload Identity وPolicy Controller
• دليل الاستجابة لتسرب مفتاح حساب خدمة، مع اختبار قصير موقوت حول العمليات والحوادث

اليوم 5: القسم الخامس من الاختبار - المتطلبات التنظيمية واختبار تجريبي كامل

• Assured Workloads وقيود مواقع الموارد وAccess Approval
• قيود Organization Policy الأكثر تكرارا في الاختبار
• اختبار تجريبي كامل من 50 سؤالا في ظروف موقوتة
• مراجعة الإجابات مع شرح أسباب خطأ الخيارات المضللة
• خريطة شخصية لنقاط الضعف وقائمة تحقق لحجز الاختبار الفعلي

التمارين التطبيقية

نقترح الأنشطة العملية التالية لترسيخ كل قسم من أقسام الاختبار داخل مشروع حقيقي على Google Cloud.

• نشاط مقترح: استبدال مفتاح حساب خدمة منزل بـ Workload Identity Federation في مسار CI.
• نشاط مقترح: إدخال BigQuery وCloud Storage ضمن محيط VPC Service Controls وقراءة مخالفات التشغيل التجريبي.
• نشاط مقترح: تشفير حاوية تخزين بمفتاح CMEK وتدويره وملاحظة الإصدار الذي يستخدمه كل كائن.
• نشاط مقترح: منع نشر الصور غير الموقعة على عنقود GKE باستخدام Binary Authorization.

الأسئلة الشائعة

ما الذي ينبغي أن يعرفه المرشحون قبل اليوم الأول؟

خبرة عملية في وحدة تحكم Google Cloud وأداة gcloud، إلى جانب معرفة تطبيقية ببروتوكولات TCP/IP وتشفير المفتاح العام. ويعد مستوى Associate Cloud Engineer أساسا مناسبا.

كم ساعة دراسية تغطي الدورة؟

تمتد الجلسات من أربع إلى خمس ساعات يوميا، بإجمالي يتراوح بين 20 و25 ساعة، تشمل أربعة اختبارات قصيرة موقوتة واختبارا تجريبيا كاملا.

متى أختار CMEK بدلا من التشفير الافتراضي من Google؟

لا يحتاج التشفير الافتراضي من Google إلى أي إعداد. أما CMEK فيختار عندما يلزم التحكم في التدوير، أو تعطيل المفتاح لجعل البيانات غير قابلة للقراءة، أو إثبات هوية من يحق له استخدام المفتاح في Cloud KMS أمام المدققين.

الخاتمة

يغادر المرشحون وقد تدربوا على كل قسم من أقسام الاختبار باستخدام أسماء خدمات Google وأنماطها الموصى بها، مع نتيجة اختبار تجريبي كامل وقائمة واضحة بالموضوعات الواجب مراجعتها قبل حجز اختبار Professional Cloud Security Engineer.