Test del módulo · Semana 7

Test: Seguridad en Google Cloud: identidad, perímetros, cifrado y cadena de suministro

Preguntas al estilo del examen. Contesta, pulsa «Comprobar» y lee siempre la explicación, también cuando aciertes: ahí está lo que de verdad se aprende.

17 preguntasComprobadas: 0/17

1. Una empresa despliega en Google Cloud desde GitHub Actions. Hoy el pipeline usa una clave JSON de una cuenta de servicio guardada como secreto del repositorio. El equipo de seguridad exige eliminar las credenciales de larga duración sin cambiar de herramienta de CI/CD. ¿Qué debes hacer?

A. Guardar la clave JSON en Secret Manager y que el pipeline la descargue en cada ejecuciónB. Configurar Workload Identity Federation con un proveedor OIDC para GitHub, limitar el acceso con una attribute condition al repositorio y a la rama, y dejar que el pipeline impersone una cuenta de servicio con roles mínimosC. Rotar la clave JSON automáticamente cada 24 horas con una Cloud Run functionD. Crear una API key restringida a las APIs de despliegue y usarla desde el pipeline

2. El grupo «devs» tiene el rol Editor concedido en la carpeta «Producción». El responsable de un proyecto concreto dentro de esa carpeta quiere que «devs» solo pueda leer en su proyecto y añade en el proyecto el rol Viewer para ese grupo. ¿Qué ocurre?

A. El grupo pasa a ser solo Viewer en ese proyecto, porque la política más cercana al recurso prevaleceB. La operación falla porque no se pueden conceder roles en un proyecto si ya hay roles heredadosC. El grupo sigue siendo Editor en el proyecto, porque IAM es aditivo y una allow policy inferior no puede quitar permisos heredadosD. El grupo pierde todos los permisos en el proyecto por conflicto entre roles

3. Una organización quiere garantizar que nadie, salvo el grupo «seguridad-plataforma», pueda borrar proyectos ni modificar las llaves de Cloud KMS en la carpeta de producción, aunque algún equipo tenga concedido Owner en sus proyectos. ¿Qué control es el más adecuado?

A. Una IAM deny policy adjunta a la carpeta de producción que deniegue esos permisos a todos los principales con una excepción para el grupo «seguridad-plataforma»B. Un rol personalizado sin esos permisos, asignado a todos los equipos en la carpetaC. Una política de organización con la restricción gcp.resourceLocationsD. Una IAM Condition en los bindings de Owner que compruebe la hora de la petición

4. El CISO pide que ninguna VM nueva de la empresa tenga IP externa, salvo dos VMs de un proyecto de pasarela que necesitan una. La empresa tiene más de 300 proyectos. ¿Qué propones con el menor esfuerzo operativo?

A. Una regla de firewall jerárquico en la organización que deniegue todo el tráfico de entrada desde InternetB. Revocar el permiso compute.instances.create a todos los equipos y crear las VMs de forma centralizadaC. Un script diario que detecte VMs con IP externa y se la quiteD. La política de organización compute.vmExternalIpAccess aplicada en la organización, permitiendo solo las dos VMs de la pasarela

5. Un banco guarda datos de clientes en BigQuery y Cloud Storage. Tras un incidente en otra empresa, preocupa que un empleado con credenciales válidas, o un atacante que las robe, copie las tablas a un proyecto personal fuera de la organización. IAM ya está configurado con mínimo privilegio. ¿Qué control añades?

A. Cifrar las tablas con CMEK en Cloud KMSB. Un perímetro de VPC Service Controls que incluya los proyectos con los datos y restrinja las APIs de BigQuery y Cloud Storage, probado primero en modo dry runC. Reglas de firewall de VPC que bloqueen la salida a Internet de las VMsD. Activar los Data Access audit logs de BigQuery

6. Los administradores necesitan SSH a 40 VMs de Compute Engine que no deben tener IP pública. La empresa quiere eliminar el bastión actual, que exige parches y abre el puerto 22 a Internet, y auditar quién se conecta. ¿Qué solución recomiendas?

A. IAP TCP forwarding con una regla de firewall que permita el puerto 22 solo desde 35.235.240.0/20, el rol IAP-secured Tunnel User para el grupo de administradores y OS LoginB. Cloud VPN desde las oficinas y SSH directo a las IP internasC. Asignar IP públicas efímeras solo cuando se necesite y cerrarlas despuésD. Un balanceador de carga de red TCP delante de las VMs para el puerto 22

7. Una aseguradora debe poder revocar de inmediato el acceso a los datos de un bucket y rotar las llaves cada 90 días, con registro de cada uso de la llave, pero quiere la menor carga operativa posible. ¿Qué opción de cifrado encaja mejor?

A. Customer-supplied encryption keys (CSEK) enviadas por la aplicación en cada peticiónB. El cifrado por defecto de Google, que ya usa AES-256C. CMEK con una llave de Cloud KMS con rotación automática de 90 días, concediendo al service agent de Cloud Storage el rol CryptoKey Encrypter/DecrypterD. Cifrar los ficheros en la aplicación con una llave guardada en un fichero de configuración

8. Por un requisito de soberanía, un organismo europeo exige que las llaves que protegen sus datos en Google Cloud se generen y se custodien fuera de la infraestructura de Google, y poder rechazar cada solicitud de uso según su justificación. ¿Qué diseñas?

A. Cloud HSM con llaves de nivel de protección HSMB. CSEK para todos los serviciosC. CMEK con llaves de software y Access TransparencyD. Cloud EKM con un gestor de llaves externo de un socio y Key Access Justifications

9. Un equipo rota manualmente la llave CMEK de un bucket creando una versión primaria nueva. Un auditor pregunta si los objetos subidos hace un año ya están protegidos con la nueva versión. ¿Qué respondes?

A. Sí, Cloud KMS recifra automáticamente todos los datos al rotarB. No; la rotación solo afecta a lo que se cifre desde ese momento, y para recifrar los objetos antiguos hay que reescribirlosC. Sí, pero solo si el bucket tiene activado el control de versiones de objetosD. No, y además la versión antigua queda destruida, así que esos objetos ya no se pueden leer

10. Un servicio de Cloud Run necesita la contraseña de su base de datos. Hoy está en una variable de entorno en texto claro en el fichero de despliegue del repositorio. ¿Cuál es la mejor práctica?

A. Guardar la contraseña en Secret Manager, dar roles/secretmanager.secretAccessor sobre ese secreto a la cuenta de servicio dedicada del servicio y referenciarla desde Cloud Run como variable o volumenB. Cifrar la contraseña con Cloud KMS y dejar el texto cifrado en el repositorio con una clave de cuenta de servicio para descifrarC. Guardarla en un objeto de Cloud Storage y compartirla con una URL firmadaD. Moverla a los metadatos del proyecto de Compute Engine

11. Un regulador exige registrar cada lectura de datos de pacientes en Cloud Storage y Cloud SQL y conservar esos registros siete años de forma inmutable. ¿Qué dos acciones son necesarias? (Elige dos)

A. Activar los Data Access audit logs para Cloud Storage y Cloud SQL, ya que están desactivados por defectoB. Confiar en el bucket _Required, que conserva todos los audit logs 400 díasC. Crear un aggregated sink que envíe esos logs a un bucket de Cloud Storage con una política de retención de siete años bloqueada con Bucket LockD. Aumentar la retención del bucket _Default de la organización a siete añosE. Activar Access Transparency, que registra las lecturas de los usuarios de la empresa

12. Una empresa con GKE quiere asegurarse de que en producción solo se despliegan imágenes construidas por su pipeline oficial, sin vulnerabilidades críticas y aprobadas por QA. ¿Qué combinación recomiendas?

A. Artifact Registry con permisos de solo lectura para los desarrolladores y revisiones manuales antes de cada despliegueB. Security Command Center Premium con alertas cuando aparezca una imagen no aprobadaC. Artifact Analysis para escanear las imágenes en Artifact Registry, atestaciones firmadas con Cloud KMS por el pipeline y por QA, y una política de Binary Authorization en el clúster que exija esas atestacionesD. Una política de organización que restrinja las regiones de GKE

13. Los microservicios de un clúster de GKE Standard acceden a Cloud Storage y Pub/Sub. Hoy todos usan la cuenta de servicio de los nodos, que tiene permisos amplios. Seguridad quiere identidad y permisos distintos por microservicio y ninguna clave. ¿Qué haces?

A. Crear una clave JSON por microservicio y montarla como Secret de KubernetesB. Activar Workload Identity Federation for GKE y conceder a cada Kubernetes ServiceAccount los roles mínimos que necesitaC. Crear un node pool por microservicio, cada uno con su cuenta de servicioD. Dar a la cuenta de servicio de los nodos solo los permisos comunes a todos los microservicios

14. Tras dos años de uso, una auditoría detecta que muchas cuentas de servicio y usuarios tienen roles Editor que probablemente no necesitan. El equipo teme romper aplicaciones si retira permisos a ciegas. ¿Qué herramienta te ayuda más?

A. IAM Recommender, que analiza el uso real de permisos y propone roles más restrictivos, junto con Policy Simulator para prever el impactoB. Policy Troubleshooter, que explica por qué se deniega un permisoC. Access Transparency, que registra accesos del personal de GoogleD. Cloud Asset Inventory exportado a BigQuery para listar los bindings

15. El equipo de seguridad central quiere que en todas las VPC de la organización esté siempre bloqueado el tráfico entrante a RDP desde Internet y siempre permitido el tráfico de los health checks de Google, dejando a cada equipo gestionar el resto de reglas. ¿Qué configuras?

A. Reglas de firewall de VPC idénticas en cada proyecto mediante TerraformB. Una política de organización que prohíba las reglas de firewall abiertasC. Cloud Armor en todos los balanceadoresD. Una hierarchical firewall policy asociada a la organización con una regla deny para RDP desde Internet, una allow para los rangos de health checks y goto_next para el resto

16. KnightMotives, tras sufrir brechas de seguridad, quiere que su personal y el de los concesionarios accedan a aplicaciones web internas alojadas en Google Cloud, en otra nube y on-premises sin VPN, comprobando la identidad, que el dispositivo esté gestionado y actualizado, y protegiendo frente a fuga de datos en el navegador. ¿Qué solución encaja mejor?

A. Cloud VPN de alta disponibilidad desde cada concesionarioB. IAP para HTTPS solo en las aplicaciones de Google Cloud y VPN para el restoC. Chrome Enterprise Premium con niveles de acceso de contexto y conectores para las aplicaciones fuera de Google CloudD. VPC Service Controls alrededor de los proyectos de las aplicaciones

17. Un administrador ejecuta desde su portátil scripts de gcloud que deben operar con los permisos de una cuenta de servicio de automatización. No se permiten claves de cuentas de servicio y cada acción debe poder atribuirse a la persona que la lanzó. ¿Qué rol concedes y a quién?

A. roles/iam.serviceAccountUser al administrador sobre la cuenta de servicioB. roles/iam.serviceAccountTokenCreator al grupo de administradores sobre la cuenta de servicio, y los scripts usan --impersonate-service-accountC. roles/owner al administrador en el proyecto, para que no necesite la cuenta de servicioD. roles/iam.serviceAccountKeyAdmin al administrador para que genere claves temporales