CertPass

Question 36

あなたは本番環境で稼働中のJavaアプリケーションを分析しています。すべてのアプリケーションには、Cloud ProfilerとCloud Traceがデフォルトでインストールされ、設定されています。どのアプリケーションがパフォーマンスチューニングを必要としているかを判断したいと考えています。何をすべきですか？（2つ選択してください）

アプリケーションの実時間（wall-clock time）とCPU時間を確認します。もし差が大きい場合は、CPUリソースの割り当てを増やします。

アプリケーションの実時間（wall-clock time）とCPU時間を確認します。もし差が大きい場合は、メモリリソースの割り当てを増やします。

アプリケーションの実時間（wall-clock time）とCPU時間を確認します。もし差が大きい場合は、ローカルディスクストレージの割り当てを増やします。

アプリケーションのレイテンシ時間、実時間（wall-clock time）、CPU時間を確認します。もしレイテンシ時間がエラーバジェットを徐々に消費しており、かつ実時間とCPU時間の差が小さい場合は、そのアプリケーションを最適化対象としてマークします。

アプリケーションのヒープ使用量を確認します。もし使用量が低い場合は、そのアプリケーションを最適化対象としてマークします。

Question 37

あなたの組織では、複数のGoogle Cloudプロジェクトのすべてのアプリケーションログを、中央のCloud Loggingプロジェクトに保存しています。セキュリティチームは、各プロジェクトチームはそれぞれのログのみを閲覧でき、運用チームのみがすべてのログを閲覧できるというルールを適用したいと考えています。あなたは、コストを最小限に抑えながら、セキュリティチームの要件を満たすソリューションを設計する必要があります。どうすべきでしょうか？

各プロジェクトチームに、中央ロギングプロジェクトのプロジェクト `_Default` ビューへのアクセス権を付与します。運用チームには、中央ロギングプロジェクトのログ閲覧者アクセス権を付与します。

各プロジェクトチームに対してIdentity and Access Management (IAM) ロールを作成し、それぞれのGoogle Cloudプロジェクトの `_Default` ログビューへのアクセスを制限します。運用チームには、中央ロギングプロジェクトの閲覧者アクセス権を付与します。

各プロジェクトチーム用にログビューを作成し、各プロジェクトチームにはそれぞれのアプリケーションログのみを表示するようにします。運用チームには、中央ロギングプロジェクトの `_AllLogs` ビューへのアクセス権を付与します。

各プロジェクトチーム用にログをBigQueryテーブルにエクスポートします。プロジェクトチームには、それぞれのテーブルへのアクセス権を付与します。運用チームには、中央ロギングプロジェクトのログ書き込み担当者アクセス権を付与します。

Question 38

あなたの会社では、CI/CDのためにGoogle Cloud VMインスタンス上でJenkinsを実行しています。Terraformを使用してインフラストラクチャ・アズ・コード（IaC）による自動化を行うために、機能を拡張する必要があります。Terraformを実行するJenkinsインスタンスがGoogle Cloudリソースを作成する権限を持つようにする必要があります。Googleが推奨するベストプラクティスに従うことを目指しています。何をすべきですか？

Jenkins VMインスタンスに、適切なIdentity and Access Management (IAM) 権限を持つサービスアカウントがアタッチされていることを確認します。

Secret Managerが認証情報を取得できるように、Terraformモジュールを使用します。

Terraformを実行するインスタンス専用のサービスアカウントを作成します。秘密鍵の値をダウンロードし、JenkinsサーバーのGOOGLE_CREDENTIALS環境変数にコピーします。

Terraformコマンドを実行する前に、Jenkinsのステップとして `gcloud auth application-default login` コマンドを追加します。

Question 39

あなたがサポートしている本番システムで多数の障害が発生しています。これらの障害すべてに対してアラートを受信しますが、アラートは1分以内に自動的に再起動される不健康なシステムが原因です。サイト信頼性エンジニアリング（SRE）プラクティスに従いながら、スタッフの燃え尽きを防ぐプロセスを設定したいと考えています。何をすべきでしょうか？

対応が不要なアラートを排除する

エラーバジェットが枯渇しないように、関連するSLOを再定義する

異なるタイムゾーンのエンジニアにアラートを分散する

各アラートに対してインシデントレポートを作成する

Question 40

あなたの会社がセキュリティのシフトレフトに取り組む一環として、情報セキュリティチームは全てのチームに対し、全てのGoogle Kubernetes Engine (GKE) クラスタにガードレールを実装し、信頼され承認されたイメージのみのデプロイを許可するよう求めています。あなたは、情報セキュリティチームのセキュリティのシフトレフトという目標を達成する方法を決定する必要があります。何をすべきでしょうか？

Artifact Registry で Container Analysis を有効にし、コンテナイメージ内の一般的な脆弱性および暴露 (CVE) を確認する

CI/CD パイプライン中に Binary Authorization を使用してイメージを証明する

GKE クラスタに最小権限モデルを作成するために、Identity and Access Management (IAM) ポリシーを設定する。

実行中の Pod の脆弱性を監視するために、GKE に Falco または Twistlock をデプロイする

Professional Cloud DevOps Engineer