CertPass

Question 116

あなたの組織には、IKEv1を使用し、BGPをサポートしないレガシーVPNデバイスがあります。オンプレミス環境からGoogle Cloudへの接続を確立する必要があります。オンプレミス環境では172.16.100.0/24、172.16.101.0/24、172.16.102.0/24を使用し、Google Cloud環境では192.168.100.0/24、192.168.101.0/24、192.168.102.0/24を使用しています。VPNゲートウェイを設定済みで、ポリシーベースのVPNトンネルを設定する必要があります。どうすればよいですか？

トンネルを、LOCAL_TSを172.16.100.0/22に、REMOTE_TSを192.168.100.0/22に設定します。

トンネルを、LOCAL_TSを192.168.100.0/22に、REMOTE_TSを172.16.100.0/22に設定します。

トンネルを、LOCAL_TSを172.16.100.0/24、172.16.101.0/24、172.16.102.0/24に、REMOTE_TSを192.168.100.0/24、192.168.101.0/24、192.168.102.0/24に設定します。

トンネルを、LOCAL_TSを172.16.100.0/24、172.16.101.0/24、172.16.102.0/24に、REMOTE_TSを0.0.0.0/0に設定します。

Question 117

あなたは、事前構成済みのWAFルールを使用するGoogle Cloud Armorウェブアプリケーションファイアウォール（WAF）ポリシーをデプロイする予定です。すべてのGoogle Cloud Armorログを、可能な限り詳細なレベルでCloud Loggingに送信したいと考えています。Cloud Armor WAFポリシーが適用されるすべてのバックエンドサービスに対して、Cloud Load Balancingのログは有効化済みです。あなたは何をすべきですか？

Cloud Load Balancingログのサンプルレートを0.5に設定します。

Google Cloud ArmorのロギングオプションをVERBOSEに設定します。

Cloud Armor WAFポリシーが適用されるすべてのバックエンドサービスに対してGoogle Cloud Armorロギングを有効化し、Google Cloud ArmorロギングオプションをVERBOSEに設定します。

Cloud Load Balancingログのサンプルレートを1.0に設定します。

Question 118

オンプレミスとGCP間のCloud VPNの使用量が増加しており、単一のトンネルで処理できる以上のトラフィックをサポートする必要があります。Cloud VPNを使用して利用可能な帯域幅を増やしたいと考えています。どうすればよいですか？

オンプレミスVPNゲートウェイのMTUを1460バイトから2920バイトに倍増させます。

同じCloud VPNゲートウェイ上に、同じ宛先VPNゲートウェイIPアドレスを指す2つのVPNトンネルを作成します。

異なるパブリックIPアドレスを持つ2つ目のオンプレミスVPNゲートウェイを追加します。既存のCloud VPNゲートウェイ上に、同じIP範囲を転送するが、新しいオンプレミスゲートウェイIPを指す2つ目のトンネルを作成します。

既存のVPNゲートウェイとは異なるリージョンに2つ目のCloud VPNゲートウェイを追加します。2つ目のCloud VPNゲートウェイ上に、同じIP範囲を転送するが、既存のオンプレミスVPNゲートウェイIPアドレスを指す新しいトンネルを作成します。

Question 119

組織のモダナイゼーション（近代化）の取り組みの一環として、アプリケーションチームはサービスをGoogle Cloud上のGKE（Google Kubernetes Engine）に移行しています。GKEクラスタはサービスプロジェクト内に配置されます。チームはサンドボックスプロジェクトでアプリケーションと構成を検証済みです。本番環境への移行時に、GKEノードが作成されていないことに気づきました。ユーザーはCompute Engineインスタンスを作成できましたが、GKEクラスタを作成しようとすると操作が失敗しました。アプリケーションチームが当該GKEクラスタを作成できるようにする必要があります。どうすべきですか？

サービスプロジェクトのGKEサービスアカウントが、ホストプロジェクトにおいて `compute.securityAdmin`、`container.hostServiceAgentUser`、`compute.networkUser` のIAM権限を持っていることを確認する。

サービスプロジェクトのGKEサービスアカウントが、サービスプロジェクトにおいて `compute.securityAdmin`、`container.hostServiceAgentUser`、`compute.networkUser` のIAM権限を持っていることを確認する。

サービスプロジェクトのGKEサービスアカウントが、サービスプロジェクトにおいて `compute.networkUser` のIAM権限を持っていることを確認する。

VPCのファイアウォールルール構成を確認し、どのルールがノード作成をブロックしているか特定する。

Question 120

あなたは、分散したチームを持つ組織のために共有VPCネットワークを実装しています。あるアプリケーション開発者は複数のチームを兼務しており、他のアプリケーションのサービスプロジェクト用に予約されているサブネットにアプリケーションをデプロイできることに気づきました。開発者が、それぞれのサービスプロジェクト用に予約されたサブネットにのみリソースをデプロイできるようにしたいと考えています。どうすればよいですか？

`constraints/compute.restrictSharedVpcSubnetworks` 組織のポリシー制約を使用して、各アプリケーションのサービスプロジェクトがアクセスできる共有VPCサブネットを指定する。

共有VPCホストプロジェクトで開発者に `compute.NetworkViewer` ロールを付与する。

`constraints/compute.restrictSharedVpcHostProject` 組織のポリシー制約を使用して、他のアプリケーションのプロジェクトがホストプロジェクト内の特定のサブネットにアクセスできないように制限する。

特定の共有VPCサービスプロジェクトで開発者に `compute.NetworkUser` ロールを付与する。

Professional Cloud Network Engineer