Simulado Google Cloud Architect Professional

1. 1.Uma empresa agrupa seus projetos do Google Cloud em pastas por unidade de negócio. A equipe de segurança concede o papel Security Reviewer no nível da pasta Financeiro. Um novo projeto é criado depois dentro dessa pasta. Qual acesso a equipe de segurança tem no novo projeto?

   • ANenhum acesso, pois as políticas só são copiadas para projetos que já existiam quando a vinculação foi criada
   • BOwner, pois concessões no nível de pasta são elevadas ao serem propagadas para baixo
   • CSecurity Reviewer, herdado automaticamente da política da pastaResposta correta
   • DNenhum acesso, até que um administrador reaplique a política da pasta ao projeto

   Por quê

   Políticas do IAM são anexadas a nós da hierarquia de recursos e herdadas de forma transitiva por todos os descendentes. Um projeto criado sob a pasta Financeiro herda automaticamente as vinculações da pasta, sem nenhuma ação adicional. A herança é avaliada no momento do acesso, e não copiada na criação, portanto a política efetiva é a união das vinculações do próprio projeto com as de todos os ancestrais.

2. 2.Um usuário recebe o papel Editor em um projeto e o papel Storage Object Viewer em um bucket dentro desse projeto. A intenção era limitar o usuário a acesso somente leitura naquele bucket. Qual é o acesso efetivo no bucket?

   • ANenhum acesso, pois as duas vinculações conflitantes se anulam
   • BSomente leitura, pois a vinculação mais específica no bucket sobrepõe a do projeto
   • CLeitura e escrita completas, pois a concessão de Editor no projeto continua valendo e as concessões do IAM são aditivasResposta correta
   • DSomente leitura, pois o Cloud Storage avalia apenas políticas em nível de bucket

   Por quê

   O IAM é puramente aditivo: uma vinculação em nível inferior não subtrai permissões concedidas acima. O papel Editor no projeto já inclui permissões de escrita em objetos dos buckets desse projeto, então adicionar um papel mais restrito no bucket não muda nada. Para restringir de fato, é preciso remover a concessão de Editor e substituí-la por um papel mais restrito, ou usar uma política de negação do IAM.

3. 3.Uma aplicação em execução numa instância do Compute Engine precisa gravar objetos em um bucket do Cloud Storage. Qual é a forma recomendada de autorizar a aplicação?

   • ABaixar uma chave JSON de conta de serviço e armazená-la no disco de inicialização da instância
   • BEmbutir as credenciais de usuário de um desenvolvedor no arquivo de configuração da aplicação
   • CAnexar uma conta de serviço à instância e conceder a ela o papel necessário no bucketResposta correta
   • DTornar o bucket publicamente gravável e restringir o acesso com uma regra de firewall

   Por quê

   Anexe uma conta de serviço à instância e conceda a essa conta o papel mínimo necessário no bucket. O servidor de metadados da instância emite tokens de curta duração automaticamente, então nenhum material de chave fica em disco. Exportar uma chave de conta de serviço para a VM cria uma credencial de longa duração que precisa ser rotacionada e pode vazar, e embutir as credenciais de um usuário vincula a vida útil da carga de trabalho à conta de uma pessoa.

4. 4.Uma empresa contrata e desliga terceirizados com frequência. Cada terceirizado precisa do mesmo conjunto de papéis em doze projetos. Qual abordagem minimiza a administração contínua do IAM?

   • AConceder os papéis diretamente à conta de cada terceirizado em cada projeto
   • BConceder os papéis a um grupo do Google e gerenciar a associação dos terceirizados nesse grupoResposta correta
   • CConceder a cada terceirizado o papel Owner para que gerenciem o próprio acesso
   • DCompartilhar uma única chave de conta de serviço entre todos os terceirizados

   Por quê

   Conceda os papéis a um grupo do Google uma vez por projeto (ou uma vez no nível da pasta) e gerencie a associação ao grupo. Adicionar ou remover um terceirizado passa a ser uma única mudança de associação em vez de doze edições de política, e o registro de quem está no grupo fica em um só lugar. Conceder papéis a contas individuais multiplica o trabalho pelo número de projetos e torna o desligamento propenso a erros.

5. 5.Uma equipe de operações precisa iniciar e parar instâncias do Compute Engine, mas não pode alterar regras de firewall nem excluir discos. Nenhum papel predefinido corresponde exatamente a esse conjunto. O que o arquiteto deve fazer?

   • ACriar um papel personalizado apenas com as permissões de iniciar e parar instânciasResposta correta
   • BConceder o papel primitivo Editor no nível do projeto
   • CConceder Viewer e pedir que a equipe abra chamados para cada início e parada
   • DConceder o papel predefinido Compute Admin e confiar em uma política documentada

   Por quê

   Criar um papel personalizado contendo apenas as permissões específicas necessárias, como compute.instances.start e compute.instances.stop, e concedê-lo no nível apropriado. Papéis personalizados existem justamente para o caso em que os papéis predefinidos são amplos demais ou estão divididos entre vários papéis. Recorrer a Editor ou Compute Admin concederia permissões de firewall e exclusão de discos que o requisito proíbe.

Praticar todas as 65 questões

Perguntas frequentes