2.1-GCP-ACE

Una empresa quiere conceder a todos los proyectos de producción los mismos permisos de solo lectura, incluidos los proyectos que se creen en el futuro. ¿Dónde debería aplicar el rol?. En la carpeta que contiene los proyectos de producción. En cada recurso individual. En cada cuenta de facturación. En una etiqueta de red.

Un desarrollador necesita reiniciar instancias de Compute Engine, pero no debe crear redes ni modificar IAM. ¿Qué debes hacer siguiendo el principio de mínimo privilegio?. Concederle Owner en el proyecto. Asignarle el rol predefinido más limitado que incluya el reinicio de instancias. Concederle Editor y quitarle acceso a la consola. Crear una clave de una cuenta de servicio con Owner.

Una aplicación en una VM debe leer un bucket. Quieres evitar claves descargables y facilitar la rotación de credenciales. ¿Qué debes configurar?. Guardar una clave JSON en los metadatos de la VM. Usar las credenciales personales del administrador. Adjuntar a la VM una cuenta de servicio dedicada con acceso de lectura al bucket. Hacer público el bucket.

Una carga de trabajo que se ejecuta fuera de Google Cloud necesita acceder a APIs de Google Cloud sin almacenar claves de cuenta de servicio. ¿Qué opción es la más segura?. Compartir una clave JSON cifrada por correo. Usar la cuenta de servicio predeterminada de Compute Engine. Conceder acceso anónimo temporal. Configurar Workload Identity Federation.

Debes impedir que los proyectos nuevos otorguen automáticamente el rol Editor a cuentas de servicio predeterminadas. ¿Qué debes utilizar?. Una restricción de Organization Policy aplicada en la organización o carpeta. Una regla de firewall de denegación. Una ACL de Cloud Storage. Un presupuesto de facturación.

Un proveedor necesita leer objetos privados de un bucket durante 15 minutos y no dispone de una identidad de Google. ¿Qué debes generar?. Una clave HMAC permanente. Una URL firmada con una expiración corta. Una ACL que conceda acceso a allUsers. Una cuenta de Google Workspace para el proveedor.

El equipo de seguridad quiere prohibir una acción incluso si otra política IAM la permite. ¿Qué mecanismo debe usar?. Un rol básico Viewer. Una condición de ciclo de vida. Una política de denegación de IAM. Una etiqueta de recurso.

Quieres que un grupo pueda administrar recursos solo hasta el 31 de diciembre. ¿Cómo debes expresar el acceso?. Mediante una clave de cuenta de servicio que caduque ese día. Con una regla de firewall programada. Con una etiqueta que incluya la fecha. Con una condición IAM basada en el tiempo en el binding del rol.

Una empresa quiere que sus empleados accedan a Google Cloud usando su directorio corporativo y que las bajas se reflejen centralmente. ¿Qué servicio encaja mejor?. Cloud Identity federado o sincronizado con el proveedor corporativo. Cloud DNS. Secret Manager con una contraseña común. Cuentas de servicio individuales para cada empleado.

Dos aplicaciones con ciclos de vida y permisos diferentes usan la misma cuenta de servicio. ¿Qué cambio reduce mejor el riesgo y mejora la trazabilidad?. Conceder Owner a la cuenta compartida. Crear una cuenta de servicio dedicada y de mínimo privilegio para cada aplicación. Descargar dos copias de la misma clave. Cambiar únicamente el nombre visible de la cuenta.

Una aplicación web privada se ejecuta detrás de un balanceador HTTP(S). Solo los empleados autenticados deben acceder, sin instalar una VPN. ¿Qué servicio debes habilitar?. Cloud NAT. Cloud Armor únicamente. Identity-Aware Proxy. Cloud CDN.

Necesitas un rol que contenga una combinación muy concreta de permisos que ningún rol predefinido ofrece. ¿Qué debes crear?. Un rol básico adicional. Una nueva organización. Una cuenta de servicio predeterminada. Un rol personalizado con solo los permisos requeridos.

Un sitio sirve imágenes que se consultan muchas veces al día y deben tener baja latencia. ¿Qué clase de Cloud Storage debes elegir inicialmente?. Standard. Nearline. Coldline. Archive.

Debes guardar copias de cumplimiento que probablemente se leerán menos de una vez al año y permanecerán varios años. ¿Qué clase minimiza el coste de almacenamiento?. Standard. Archive. Nearline. Memoria SSD local.

El patrón de acceso de millones de objetos es impredecible y el equipo no quiere mantener reglas de transición. ¿Qué debe habilitar?. Object Versioning. Una política de retención bloqueada. Autoclass. Transfer Appliance.

Los objetos deben pasar a Coldline después de 90 días y eliminarse después de 730 días. ¿Qué debes configurar?. Dos buckets y una copia manual mensual. Una alerta de presupuesto. Una regla de IAM condicional. Reglas de Object Lifecycle Management en el bucket.

Los usuarios sobrescriben accidentalmente archivos y necesitas recuperar generaciones anteriores. ¿Qué función debes habilitar?. Object Versioning. Cloud CDN. Uniform bucket-level access únicamente. Autoclass.

Quieres simplificar los permisos de un bucket y prohibir ACL por objeto para administrar todo mediante IAM. ¿Qué debes habilitar?. Requester Pays. Uniform bucket-level access. Acceso público preventivo solo en un objeto. Una URL firmada permanente.