ESEN

← Letra chica por examen

Google Cloud · Professional

PCA · Professional Cloud Architect

Google Cloud Certified - Professional Cloud Architect

Vigente↗ Guía oficial🃏 Practicar estos gotchas

DNS privado híbrido (on-premises ↔ nube)

Red● verificado hace 34 días◌ sin revisor externo

Hacia targets Type 1 y 2 las consultas salen desde 35.199.192.0/19; con Type 2, on-premises necesita ruta

Cloud DNS usa el rango 35.199.192.0/19 para todos los clientes, y es el origen de las consultas a targets Type 1 y Type 2 (IP interna de VPC y on-premises por VPN o Interconnect). Los targets Type 3 usan los rangos de Google Public DNS, y en Type 4 el rango depende de las IPs a las que resuelve el nombre. Para un target Type 2, on-premises necesita una ruta a 35.199.192.0/19 cuyo next hop esté en la misma VPC, por un túnel Cloud VPN o un attachment de Interconnect. Con BGP eso es un anuncio de ruta custom en la sesión BGP del Cloud Router.

Suma para:PCNEPCA
⚑ Reportar desactualizado

Ver en el patrón →

Red● verificado hace 34 días◌ sin revisor externo

VPC Network Peering no comparte las zonas privadas; hacen falta peering zones

VPC Network Peering no comparte automáticamente la información de DNS, así que una VPC peereada no resuelve por sí sola las zonas de la VPC hub. En hub-and-spoke, cada spoke necesita una DNS peering zone hacia el hub, y el DNS peering transitivo llega a un solo salto. Es la diferencia con Azure, donde un ruleset se linkea a VNets que ni siquiera están peereadas.

Suma para:PCNEPCA
⚑ Reportar desactualizado

Ver en el patrón →

Ingesta privada de objetos con expiración (TTL)

Costo● verificado hace 34 días◌ sin revisor externo

Soft delete viene activo por default (7 días) y encarece los datos efímeros

Todos los buckets tienen soft delete con 7 días de retención salvo que lo cambies. Un objeto que vive una hora se cobra esa hora más 7 días de soft delete. En un bucket de ingesta con TTL eso puede multiplicar el costo. El módulo lo pone en 0 por default (deshabilitado) y lo deja como variable explícita.

Suma para:ACEPCA
⚑ Reportar desactualizado

Ver en el patrón →

Red● verificado hace 34 días◌ sin revisor externo

Private Google Access da alcance a las APIs de Google; filtrar el origen del bucket es otro control

Las VMs que solo tienen IP interna pueden usar Private Google Access para llegar a las APIs y servicios de Google. Eso resuelve el alcance, no el filtrado de origen. Bucket IP filtering permite restringir el acceso al bucket según rangos de IP del cliente y redes VPC, y funciona junto con IAM.

Suma para:PCNEPCA
⚑ Reportar desactualizado

Ver en el patrón →

Web API privada Zero Trust con PostgreSQL sin contraseñas

IAM● verificado hace 34 días◌ sin revisor externo

En Postgres, el usuario IAM de una Service Account va sin ".gserviceaccount.com"

El nombre del usuario de base es el email de la SA sin el sufijo .gserviceaccount.com (ej. api@proyecto.iam), por el límite de largo de nombres de PostgreSQL. Si lo creás con el email completo, el login falla con un error que parece de permisos.

Suma para:ACEPCA
⚑ Reportar desactualizado

Ver en el patrón →

Red● verificado hace 34 días◌ sin revisor externo

La IP privada de Cloud SQL viaja por un VPC peering que no es transitivo

Private services access se implementa con VPC Network Peering hacia la red de Google. Solo permite conexiones desde una VPC, y el peering no ofrece ruteo transitivo: otra VPC peereada con la tuya no llega a la base. Si tu topología es hub-and-spoke, evaluá Private Service Connect en lugar de PSA.

Suma para:PCNEPCA
⚑ Reportar desactualizado

Ver en el patrón →

IAM● verificado hace 34 días◌ sin revisor externo

"Internal" es un control de red; la autenticación es IAM aparte

Con ingress internal, Cloud Run solo acepta requests de fuentes como las VPCs del mismo proyecto, un perímetro de VPC SC o un internal Application Load Balancer, y de productos como Cloud Scheduler, Cloud Tasks, Eventarc, Pub/Sub o Workflows si están en el mismo proyecto o perímetro y usan la URL run.app por defecto. Las demás fuentes, incluida internet, no llegan. Pero la autenticación IAM sigue aplicando: el cliente tiene que presentar un ID token y su cuenta de servicio necesita roles/run.invoker.

Suma para:PCSEPCA
⚑ Reportar desactualizado

Ver en el patrón →