Professional Cloud DevOps Engineer — Übungsfragen und Probeprüfung

Cloud Build Private Pools führen Builds auf dedizierten Worker-Instanzen aus, die per Peering mit deiner VPC verbunden und innerhalb eines VPC Service Controls-Perimeters platziert werden können, was Datenabfluss während der Builds verhindert (docs.cloud.google.com/build/docs/private-pools/using-vpc-service-controls). Setzt du egressOption auf NO_PUBLIC_EGRESS, entfällt der Zugang zum öffentlichen Internet. In der Google-Dokumentation heißt es: 'Der Schutz durch VPC Service Controls steht nur für Builds zur Verfügung, die in Private Pools ausgeführt werden.' Warum nicht die anderen? Workload Identity Federation authentifiziert externe Identitäten, sorgt aber während der Builds nicht für Netzwerkisolierung. IP-Allowlisting an Triggern schränkt ein, wer Builds auslösen darf, nicht den Netzwerk-Egress zur Laufzeit. Die Standard-Worker von Cloud Build laufen auf von Google verwalteter Infrastruktur außerhalb deiner VPC – eigene Firewall-Regeln lassen sich dort nicht anwenden. Prüfungstipp: Private Pools + VPC SC + NO_PUBLIC_EGRESS bieten zusammen die stärkste Netzwerksicherheit zur Build-Zeit in Google Cloud.

Spot-VMs sind überschüssige Compute Engine-Kapazität, die mit bis zu 91 % Rabatt gegenüber dem Preis von Standard-VMs verfügbar ist. Sie eignen sich ideal für fehlertolerante, unterbrechbare Workloads wie die Batch-Datenverarbeitung, weil Compute Engine sie jederzeit beenden kann, wenn die Ressourcen anderswo gebraucht werden. Anders als Preemptible VMs (das ältere Gegenstück) haben Spot-VMs keine maximale Laufzeit von 24 Stunden. Der Workload muss mit Unterbrechungen sauber umgehen, in der Regel über Checkpointing. Standard-VMs mit Sustained Use Discounts kosten immer noch deutlich mehr als Spot-VMs. Sole-Tenant-Nodes sind für Workloads gedacht, die physische Isolierung brauchen, nicht für Kostenoptimierung. Committed Use Discounts setzen Bindungen von 1-3 Jahren voraus und passen am besten zu gleichmäßig ausgelasteten Workloads, nicht zur Batch-Verarbeitung. Prüfungstipp: Spot-VMs ersetzen Preemptible VMs und bieten dasselbe Preismodell, aber ohne die Beschränkung auf eine maximale Lebensdauer von 24 Stunden.