8.4 Vérification des connaissances - Architecture de meilleures pratiques

1.

Un niveau FinCorp doit mettre à l'échelle automatiquement sous une charge variable. Un architecte configure un groupe VM Auto Scaling avec un seuil de mise à l'échelle à 70 % CPU et un seuil de réduction à 50 % CPU, en espérant que la bande de 20 points maintiendra le groupe stable. La plateforme rejette la politique. Quelle règle a été violée, et quel est le principe de conception correct ?

A VM Auto Scaling exige que les seuils de réduction et de mise à l'échelle soient séparés d'au moins 40 points de pourcentage ; la bande de 20 points est rejetée car une bande morte trop étroite permet à une seule lecture de métrique bruyante de déclencher une mise à l'échelle et une réduction immédiate. B Les seuils doivent être identiques pour que le groupe soit mis à l'échelle de manière symétrique ; tout écart est rejeté comme ambigu. C Le seuil de réduction doit être supérieur au seuil de mise à l'échelle, donc 50 % et 70 % sont dans le mauvais ordre. D Une politique de métrique unique ne peut utiliser que les octets réseau, et non l'utilisation de CPU, donc la politique est rejetée sur la métrique plutôt que sur les seuils.

2.

Un architecte a produit un design fonctionnellement complet pour le traitement réglementé de FinCorp en conteneurs, en l'exécutant sur Managed Kubernetes, et applique maintenant le filtre de souveraineté et d'attestation. La charge de travail exige contractuellement une couverture BSI C5. Qu'est-ce que le filtre révèle, et quelle est la conclusion correcte ?

A Managed Kubernetes n'est pas dans le périmètre d'attestation C5, donc même si le choix est fonctionnellement solide, il échoue au filtre de périmètre ; la charge de travail qui nécessite C5 doit être placée sur un service couvert par C5, tel que Compute Engine, à la place. B Managed Kubernetes possède C5 car IONOS détient l'attestation C5, donc la credential de plateforme couvre tous les services gérés et le design est approuvé sans changement. C Le filtre est appliqué en premier, donc la conception devrait avoir commencé à partir du périmètre C5 ; puisqu'elle ne l'a pas fait, l'ensemble de l'architecture doit être rejeté et reconstruit à partir de zéro. D C5 et IT-Grundschutz couvrent le même ensemble de services, donc puisque Managed Kubernetes se trouve sous IT-Grundschutz, il satisfait automatiquement à l'exigence C5 également.

3.

Dans l'architecture de référence, le chemin de la requête est délibérément stratifié : un équilibreur public à la limite et un équilibreur privé devant le niveau des données. Un ingénieur propose un seul équilibreur NLB de niveau 4 aux deux positions pour standardiser, et propose d'encapsuler chaque équilibreur géré dans un groupe de sécurité réseau pour le filtrage. Pourquoi la conception de référence rejette-t-elle les deux propositions ?

A Un seul équilibreur ALB de niveau 7 devrait être situé aux deux positions, car le routage de contenu de niveau 7 est nécessaire de la même manière à la limite et sur le chemin interne est-ouest vers la base de données. B Les propositions sont solides ; la division en deux niveaux et le choix du niveau d'équilibreur sont interchangeables, et un groupe de sécurité réseau attaché à un équilibreur géré est l'endroit correct pour le filtrage. C Le niveau 7 appartient à la limite publique pour le routage conscient du contenu et la termination de TLS, tandis que le niveau 4 appartient à l'intérieur pour un passage rapide de TCP avec le backend conservant son certificat ; et aucun équilibreur géré n'accepte un groupe de sécurité réseau ou une liste d'autorisation IP, donc le filtrage doit être situé sur les cibles derrière eux. D Les deux équilibreurs devraient être remplacés par un routage de vérification de l'état Cloud DNS, puisque DNS effectue l'équilibrage de charge et applique les règles de groupe de sécurité réseau au résolveur.

4.

La construction de capstone assemble les pièces par module en un seul centre de données virtuel. Une équipe provisionne des ressources dans cet ordre : elles créent d'abord le NLB de couche 4 privé, puis les serveurs de niveau données qu'il doit servir, puis une passerelle NAT, et elles s'attendent à ce que les charges de travail privées atteignent internet dès que la passerelle NAT existe. Quelle est l'évaluation correcte de leur séquence ?

A La séquence est correcte, car la plateforme réorganise les travaux automatiquement et un équilibrage de charge peut être créé avant ses cibles sans conséquence. B Seule l'étape NAT est incorrecte ; le NLB peut être créé en toute sécurité avant ses cibles car il les découvre automatiquement une fois qu'elles apparaissent. C Les deux étapes sont correctes tant que la passerelle NAT a une adresse IP publique réservée, car la route par défaut est configurée par la plateforme chaque fois qu'une passerelle est attachée. D Les deux étapes sont incorrectes : un équilibrage de charge a besoin de ses cibles d'abord, donc les serveurs de niveau données doivent exister avant le NLB qui les sert, et une passerelle NAT ne fournit aucune sortie jusqu'à ce que la route par défaut du LAN privé soit réorientée vers elle, car la plateforme ne fait pas ce changement de routage pour vous.

5.

L'auditeur de FinCorp demande à l'architecte de montrer, service par service, quelle reconnaissance BSI couvre chaque composant de la conception déployée. L'architecte doit répondre avec précision plutôt que de prétendre que la plateforme est certifiée. Quel énoncé reflète la carte de conformité service par service correcte ?

A Les deux reconnaissances BSI sont étendues à l'ensemble de la plateforme, donc chaque service géré dans un centre de données allemand est couvert par les deux C5 et IT-Grundschutz, et l'auditeur peut être informé que la plateforme est certifiée. B C5 couvre Managed Kubernetes et la sauvegarde, tandis que IT-Grundschutz couvre Cloud Cubes, donc les deux reconnaissances ne se chevauchent jamais pour aucun service. C C5 couvre exactement Compute Engine, Cloud Cubes, et Object Storage ; IT-Grundschutz couvre exactement Compute Engine, Object Storage, la sauvegarde, et Managed Kubernetes ; les portées divergent, donc Cubes sont sous C5 mais pas IT-Grundschutz, tandis que Managed Kubernetes et la sauvegarde sont sous IT-Grundschutz mais pas C5. D La conformité est la même pour chaque service, donc nommer une credential, un service, et un emplacement de centre de données n'ajoute rien que l'auditeur a besoin.