GCP PDOのサンプル問題（本番形式・解説付き）

解説

サービスが CMEK を使うにはそのサービスのサービスエージェントに roles/cloudkms.cryptoKeyEncrypterDecrypter を付ける必要があり、付け忘れがトラブルの典型です。鍵の所在地はデータレジデンシー要件で揃えるもので、CMEK を有効にした直後に一斉に扱えなくなる原因としては、権限の付け忘れのほうが先に疑われます。自動ローテーションは対称鍵で設定できる機能で、未設定でも利用は妨げられません。保護レベルの選択は要件に応じたもので、CMEK の前提ではありません。

解説

kpt は Kubernetes の構成パッケージを Git から取得し、関数(kpt functions)で変換して適用するツールで、テンプレート言語を使わず実際の YAML を操作する点が Helm と異なる。Helm はテンプレート言語で YAML を生成する。Packer は VM イメージを宣言的にビルドするツール、Jenkins は CI サーバーであり、いずれも構成パッケージの変換には当たらない。

解説

Data Access ログはデータの読み書きを記録し、BigQuery を除いて既定は無効で、ADMIN_READ / DATA_READ / DATA_WRITE を種別ごとに有効化します。誰がこの顧客データを読んだかを要求される規制では必須になります。Admin Activity は常に有効ですが構成・メタデータを変更する操作の記録であり、読み出しの記録ではありません。System Event は Google のシステムが行った操作の記録で、利用者の読み出しは含みません。Policy Denied はセキュリティポリシーで拒否された操作の記録で、成功した読み出しを残しません。

解説

ゾーン障害では、リージョン MIG とマルチゾーンの GKE ノードプールが自動的に吸収します。connection draining は既存接続を完了させる仕組みで、他ゾーンへ引き継ぐ機能ではありません。DNS のフェイルオーバーは TTL に左右されるため即時ではなく、最後の手段とされています。Cloud Armor は悪性トラフィックやレート超過への対処で、ゾーン障害の吸収とは関係がありません。

解説

取り込み量のメトリクス(logging.googleapis.com/billing/bytes_ingested、Monitoring の取り込み量)にアラートを置き、リソースタイプ別・プロジェクト別に分解したダッシュボードを作ると、急増時にどのソースが原因かを即座に特定できます。月次の集計では急増を即時に把握できません。予算は通知するだけで支出を止めず、閾値で監視系のシンクを停止する仕組みでもありません。推奨事項の Export は Active Assist の運用で、監視の取り込み量の分解には対応しません。