Вопросы на собеседовании: GCP-инженер

GCP организует ресурсы по уровням: организация, папки, проекты и ресурсы сервисов.

• Организация является верхним узлом компании и может содержать папки и проекты.
• Папки группируют проекты по команде, окружению или бизнес-направлению и могут быть вложенными.
• Проекты содержат такие ресурсы, как VM-инстансы, бакеты и базы данных.
• Политики IAM и политики организации, заданные выше в иерархии, могут наследоваться нижними уровнями.

Проект является основной границей для включения API, назначения доступа IAM, учёта квот и распределения расходов.

• Имя проекта является понятной человеку меткой, которую можно менять и которая не обязана быть уникальной.
• ID проекта глобально уникален, выбирается при создании и позже не меняется.
• Номер проекта является уникальным числовым идентификатором, который назначает Google.
• Ресурсы обычно принадлежат одному проекту, даже если взаимодействуют с ресурсами другого проекта.

Платёжный аккаунт оплачивает использование связанных проектов, а бюджеты и экспорт помогают отслеживать эти расходы.

• Для использования большинства платных сервисов проект должен быть связан с активным платёжным аккаунтом.
• Расходы учитываются по проектам, а для более детального распределения можно использовать метки и данные биллинга.
• Оповещения бюджета уведомляют выбранных получателей при достижении порогов, но не ограничивают расходы автоматически.
• Экспорт Cloud Billing может отправлять подробные данные о расходах и использовании в BigQuery для анализа.

Регион является географической областью, а зона является изолированной областью развёртывания внутри региона.

• Региональный сервис может распределять ресурсы между зонами, тогда как зональный ресурс находится в одной зоне.
• Разные зоны снижают риск отказа одного дата-центра, но не заменяют планирование между регионами.
• Регион выбирают с учётом задержки для пользователей, требований к расположению данных, доступности сервисов и цены.
• Примеры: регион us-central1 и зона us-central1-a.

Квоты ограничивают потребление ресурсов или частоту запросов, чтобы защищать ёмкость сервиса и предотвращать случайный перерасход.

• Квота может действовать для проекта, региона, сервиса или отдельной метрики API.
• Примеры включают число vCPU в регионе и количество API-запросов в минуту.
• Перед плановым развёртыванием проверьте использование квот и заранее запросите повышение, потому что согласование может занять время.
• Следите за приближением к лимиту, а не воспринимайте ошибку квоты как повод бесконечно повторять запрос.

Семейство машин выбирают по требованиям нагрузки к CPU, памяти, ускорителям и цене.

• Семейства общего назначения, например E2 или серии N, подходят веб-серверам и сбалансированным нагрузкам.
• Семейства с оптимизацией вычислений подходят CPU-интенсивной обработке, а с оптимизацией памяти подходят большим нагрузкам в памяти.
• Типы машин задают фиксированные сочетания vCPU и памяти, а поддерживаемые семейства также предлагают настраиваемые конфигурации.
• Начинайте с измеренных требований и меняйте размер позже, а не выбирайте самый крупный тип по умолчанию.

Образ Compute Engine является переиспользуемым шаблоном для создания загрузочных дисков с операционной системой и начальным набором программ.

• Публичные образы поддерживают такие поставщики, как Google, Debian, Ubuntu и Microsoft.
• Пользовательские образы фиксируют настроенный диск, чтобы повторно использовать одинаковую базовую конфигурацию.
• Семейство образов указывает на последний образ без статуса deprecated, что удобно для управляемых обновлений.
• Если развёртывание должно быть воспроизводимым, закрепите точную версию образа.

Compute Engine в основном использует постоянное блочное хранилище для загрузочных дисков и данных, а Local SSD предназначен для временных данных с высокой скоростью доступа.

• Persistent Disk и Hyperdisk являются отдельными ресурсами, но подключённый диск переживает удаление VM только при значении autoDelete=false.
• Сбалансированные варианты и SSD различаются ценой, IOPS и пропускной способностью для разных нагрузок.
• Зональные диски находятся в одной зоне, а региональные Persistent Disk реплицируются между двумя зонами региона.
• Local SSD физически подключён к хосту, а его данные эфемерны, поэтому там нельзя хранить единственную копию важных данных.

Snapshot является инкрементальной резервной копией Persistent Disk на определённый момент времени, из которой позже можно создавать новые диски.

• Первый snapshot сохраняет необходимые блоки, а последующие сохраняют изменившиеся блоки, при этом каждый остаётся пригодным для самостоятельного восстановления.
• Snapshots являются отдельными ресурсами, поэтому удаление исходного диска не удаляет их автоматически.
• Восстановленный диск можно создать в совместимой зоне или регионе, выбранном для новой нагрузки.
• Для баз данных согласуйте сброс данных на диск или шаги прикладного резервного копирования, если crash consistency недостаточно.

Шаблон инстанса является переиспользуемой конфигурацией VM для создания одинаковых инстансов и управляемых групп инстансов.

• Он может задавать тип машины, образ, диски, метаданные, сетевые интерфейсы и сервисный аккаунт.
• Шаблоны неизменяемы, поэтому для изменения конфигурации создают новый шаблон, а не редактируют старый.
• Версионированные шаблоны упрощают понимание развёртываний и откатов.
• Не помещайте секреты в startup scripts и метаданные шаблона, а получайте их через утверждённый сервис секретов.

Управляемая группа инстансов поддерживает набор одинаковых VM на основе шаблона инстанса.

• Целевой размер задаёт, сколько инстансов должна запускать группа.
• Автомасштабирование может менять размер по таким сигналам, как использование CPU или ёмкость балансировки нагрузки.
• Autohealing может пересоздавать инстансы, которые не проходят настроенную проверку работоспособности.
• Пошаговые обновления постепенно заменяют инстансы при переходе группы на новый шаблон.

Spot VM подходят прерываемым нагрузкам, потому что стоят дешевле, но Google Cloud может остановить их в любой момент.

• Подходящие примеры включают пакетные задания, рендеринг, одноразовые воркеры и отказоустойчивые тестовые нагрузки.
• У них нет SLA доступности, и они не должны быть единственной мощностью для нагрузки, которая не переносит прерывания.
• Сохраняйте прогресс вне VM и делайте задания повторяемыми, чтобы прерывание не уничтожало всю выполненную работу.
• Смешанная управляемая группа инстансов может сочетать обычные и Spot VM, если часть мощности должна быть стабильной.

VPC в GCP является глобальной сетью, которая содержит региональные подсети и может соединять ресурсы разных регионов.

• Сеть не создаётся отдельно в каждом регионе.
• Каждая подсеть владеет диапазоном IP-адресов в одном регионе, и ресурсы подключаются через эту региональную подсеть.
• Маршруты и правила файрволла принадлежат VPC и могут обеспечивать связь между её регионами.

Нет, у подсети GCP нет встроенного публичного или приватного типа.

• Доступность VM зависит от назначения внешнего IP, маршрутов, правил файрволла и сервисов вокруг подсети.
• VM без внешнего IP не может принимать прямые незапрошенные подключения из интернета.
• Cloud NAT может дать исходящий доступ в интернет подходящим ресурсам без внешних IPv4-адресов.
• Private Google Access позволяет подходящим внутренним IP обращаться к поддерживаемым Google API без внешнего IP.

Маршруты указывают, на какой следующий узел отправлять трафик, совпавший с префиксом назначения.

• GCP создаёт маршруты подсетей, чтобы ресурсы могли обращаться к IP-диапазонам подсетей VPC.
• Пользовательские статические маршруты могут указывать на такие следующие узлы, как VPN-туннель или VM-сетевой шлюз.
• Динамические маршруты изучаются через Cloud Router с BGP для гибридного подключения.
• При выборе маршрута учитывается наиболее конкретное назначение, а среди применимых маршрутов одинаковой конкретности побеждает меньший номер приоритета.

Правила VPC-файрволла разрешают или запрещают входящий либо исходящий трафик, а меньший номер приоритета означает более высокий приоритет.

• Правило задаёт направление, действие, протоколы и порты, источники или назначения и целевые ресурсы.
• Приоритет 1000 проверяется раньше приоритета 2000, если оба правила подходят по остальным условиям.
• Правила VPC-файрволла учитывают состояние соединения, поэтому ответный трафик разрешённого соединения пропускается автоматически.
• В сети неявно запрещён входящий и разрешён исходящий трафик, если правила с более высоким приоритетом не меняют результат.

Правила файрволла могут выбирать сетевые интерфейсы VM по сетевому тегу или сервисному аккаунту, подключённому к VM.

• Целевой тег применяет правило к инстансам с этим тегом в той же VPC.
• Целевой сервисный аккаунт связывает правило с идентичностью нагрузки, а не с редактируемой описательной меткой.
• Сетевые теги в правилах файрволла не являются ролями IAM и отличаются от меток ресурсов.

VPC Network Peering приватно соединяет две VPC-сети, чтобы их ресурсы обращались друг к другу по внутренним IP-адресам.

• Он обменивается подходящими маршрутами подсетей, поэтому трафик идёт по сети Google без публичных IP-адресов.
• В каждой VPC остаются собственные политики IAM и правила файрволла; peering не объединяет управление и не создаёт разрешающих правил.
• Peering не является транзитивным: если VPC A соединена с B, а B с C, A не получает путь к C через B.
• Диапазоны IP-адресов подсетей соединяемых сетей не должны пересекаться, поэтому адреса нужно спланировать заранее.

Cloud DNS является управляемым авторитетным DNS-сервисом Google для публикации DNS-записей.

• Публичная управляемая зона отвечает на запросы из интернета, а приватная зона видна только авторизованным VPC-сетям.
• Наборы записей сопоставляют имена с такими данными, как значения A, AAAA, CNAME, MX или TXT.
• TTL указывает резолверам, как долго кэшировать запись, и поэтому влияет на скорость распространения изменения.

Балансировщик нагрузки Google Cloud принимает трафик на фронтенде и распределяет его между работоспособными бэкендами.

• Фронтенд задаёт IP-адрес, протокол и порт, которые используют клиенты.
• Backend service связывает с балансировщиком группы инстансов, network endpoint groups или другие поддерживаемые бэкенды.
• Проверки работоспособности не дают направлять новый трафик на неисправные бэкенды.
• Application Load Balancer обрабатывает функции HTTP или HTTPS, а Network Load Balancer обслуживает трафик уровня L4, например TCP или UDP.