GCP PCDのサンプル問題（本番形式・解説付き）

解説

Spot VM は大幅な割引を受けられる代わりにいつでも停止されうる VM で、途中で止められても再実行できるバッチ処理に向き、費用を最も大きく下げられる。確約利用割引(CUD)は1年または3年の使用量を確約する割引で、使わなくても課金され、夜間だけ動くバッチには割に合わない。継続利用割引(SUD)は月内の稼働時間が長いと自動で適用される割引で、申し込むものではなく、夜間だけの稼働では効きが小さい。推奨事項(Recommender)に従う縮小は過大な VM を適正にする手法で、割引の幅は Spot VM に及ばない。

解説

まず指標で異常の範囲と時刻を掴み、次にトレースでその時間帯の遅い区間を特定し、最後にログで具体的な原因を読む順序にすれば、絞り込みながら調べられて無駄が少ない。プロファイルから始める順序は、異常の範囲を掴む前に関数の細部へ入ってしまう。トレースから始める順序は、どのリクエストを見るべきかが決まらない。ログから始める順序は、範囲と時刻が分からないまま大量のログを読むことになる。

解説

新しいプロジェクトでは使うサービスの API を有効にする必要があり、gcloud services enable run.googleapis.com で Cloud Run の API を有効にすればデプロイが通る。gcloud auth application-default login はクライアントライブラリが使う認証情報(ADC)を作る操作で、API の有効化とは関係しない。gcloud container clusters get-credentials は GKE クラスタの接続情報を取得するコマンドで、Cloud Run には関係しない。gcloud config set project は操作の対象を決めるだけで、既定のプロジェクトは正しく設定済みであり、API も有効にならない。

解説

開発者に IAM の roles/container.clusterViewer を与えてクラスタへの接続だけを許し、名前空間単位の Role と RoleBinding でそのチームの名前空間だけに操作の範囲を絞る二段構えが適切です。GKE では IAM と RBAC のどちらか一方で許可されれば操作できるので、プロジェクト単位で全クラスタの Kubernetes のオブジェクトを扱える roles/container.developer を与えると、他チームの名前空間にも触れられてしまいます。Pod Security Admission は特権コンテナなどを名前空間の単位で制限する仕組みで、操作の権限を与えるものではありません。RBAC を無効にして IAM だけで制御する構成は、名前空間ごとの細かい制御ができなくなります。roles/container.admin を全員に与えると、クラスタ全体の管理まで任せることになり、最小権限に反します。

解説

Active Assist の推奨事項(Recommender)は実際の使用状況からマシンタイプの縮小を推奨するので、使用率を自分で集計せずに判断材料が得られる。Spot VM は中断耐性のあるバッチ向けの割引で、どこまで縮小するかを示す仕組みではない。確約利用割引(CUD)は使用量を確約して割引を受ける仕組みで、確約量から逆算しても使用状況に基づく判断材料にはならない。継続利用割引(SUD)は月内の稼働時間が長いと自動で適用される割引で、稼働時間は分かっても縮小できる規模は分からない。