Questions d'entraînement — PCNE

Question 1

Votre entreprise dispose d'un VPC en mode auto dans GCP avec des workloads déployés dans us-central1 et europe-west1. L'équipe sécurité exige que le trafic entre ces deux régions transite uniquement par le réseau privé de Google, sans jamais passer par l'internet public. Vous devez également pouvoir contrôler finement les plages IP de chaque sous-réseau. Quelle approche recommandez-vous ?

Answer

A. Conserver le VPC en mode auto et activer le VPC Flow Logs pour surveiller le trafic inter-régional

Answer

B. Convertir le VPC en mode custom, recréer les sous-réseaux avec des plages CIDR personnalisées et utiliser le routage global VPC

Answer

C. Créer un Cloud VPN entre les deux régions pour chiffrer le trafic inter-régional

Answer

D. Créer deux VPC séparés, un par région, et les connecter via VPC Network Peering

Question 2

Votre entreprise héberge des instances Compute Engine dans un sous-réseau VPC sans adresse IP externe. Ces instances doivent accéder à Cloud Storage et BigQuery via Private Google Access. Vous avez activé Private Google Access sur le sous-réseau, mais les instances ne parviennent toujours pas à atteindre les API Google. Quelle est la cause la plus probable de ce problème ?

Answer

A. Les instances doivent disposer d'un compte de service avec le rôle roles/storage.objectViewer pour que Private Google Access fonctionne.

Answer

B. Il manque une route par défaut (0.0.0.0/0) vers la passerelle Internet par défaut (default-internet-gateway) dans la table de routage du VPC.

Answer

C. Private Google Access ne prend pas en charge BigQuery, uniquement Cloud Storage et Compute Engine API.

Answer

D. Il faut créer une règle de pare-feu autorisant le trafic sortant (egress) vers le range d'adresses IP 199.36.153.4/30.

Question 3

Votre entreprise utilise un VPC avec plusieurs sous-réseaux dans différentes régions. Un ingénieur constate qu'une VM dans le sous-réseau us-east1 (10.0.1.0/24) ne peut pas communiquer avec une VM dans le sous-réseau europe-west1 (10.0.2.0/24), bien que les deux appartiennent au même VPC. Quelle est la cause la plus probable ?

Answer

A. Les VPC GCP ne supportent pas nativement le routage entre sous-réseaux de régions différentes sans configurer un Cloud Router.

Answer

B. Une règle de pare-feu (firewall rule) bloque le trafic entre les deux sous-réseaux, car la règle implicite 'implied deny ingress' rejette tout trafic entrant par défaut.

Answer

C. Le VPC Peering n'a pas été configuré entre les deux régions pour permettre la communication inter-régionale.

Answer

D. Les sous-réseaux dans des régions différentes nécessitent l'activation explicite du global routing sur chaque sous-réseau individuellement.

Question 4

Vous gérez un projet Google Cloud avec plusieurs sous-réseaux dans un VPC. Le sous-réseau 'subnet-analytics' (10.0.1.0/24) héberge des instances dédiées au traitement de données qui doivent accéder à BigQuery et Cloud Storage via Private Google Access. Le sous-réseau 'subnet-web' (10.0.2.0/24) héberge des instances avec des adresses IP externes servant du trafic web public. Vous souhaitez activer Private Google Access uniquement là où c'est nécessaire et mettre en place VPC Service Controls. Quelle configuration est correcte ?

Answer

A. Activer Private Google Access au niveau du VPC entier, configurer restricted.googleapis.com pour tous les sous-réseaux, et placer les deux sous-réseaux dans le périmètre VPC Service Controls.

Answer

B. Activer Private Google Access uniquement sur subnet-analytics, configurer le DNS pour résoudre *.googleapis.com vers 199.36.153.4/30 (restricted.googleapis.com) pour tout le VPC, et inclure le projet dans un périmètre VPC Service Controls.

Answer

C. Activer Private Google Access sur subnet-analytics et subnet-web, configurer private.googleapis.com (199.36.153.8/30) pour subnet-analytics et conserver le DNS par défaut pour subnet-web.

Answer

D. Activer Private Google Access uniquement sur subnet-analytics, configurer le DNS pour que subnet-analytics utilise restricted.googleapis.com et que subnet-web continue d'utiliser les adresses IP publiques par défaut des API Google, en utilisant des stratégies de routage DNS basées sur la source.

Question 5

Une institution financière utilise Cloud Armor pour protéger ses API internes exposées via un Internal HTTP(S) Load Balancer. L'équipe compliance exige que toutes les requêtes contenant des patterns d'injection SQL soient bloquées, et que chaque tentative soit journalisée avec les détails complets de la requête pour audit. Comment configurer Cloud Armor pour répondre à ces exigences ?

Answer

A. Activer les règles préconfigurées WAF de Cloud Armor avec l'ensemble de règles sqli-v33-stable dans la security policy, configurer l'action sur deny(403), et activer le logging verbose sur la policy pour capturer les détails des requêtes dans Cloud Logging.

Answer

B. Écrire des règles personnalisées Cloud Armor avec des expressions régulières pour détecter les patterns SQL courants comme SELECT, DROP, et UNION dans le corps de la requête.

Answer

C. Déployer un Cloud IDS (Intrusion Detection System) en parallèle du load balancer pour détecter les injections SQL et alimenter les logs.

Answer

D. Configurer un proxy Apigee en amont du load balancer pour filtrer les injections SQL avant qu'elles n'atteignent Cloud Armor.

Examen PCNE — PCNE — Google Professional Cloud Network Engineer

À propos de l'examen PCNE

Comment se préparer à l'examen PCNE ?

5 exemples de questions — PCNE

Encore 55 questions dans l'examen complet

📖 Préparez-vous avec nos guides

Commencer l'examen PCNE complet