Quay lại bộ đề
Question #132 Topic 1
You are troubleshooting your Dataflow pipeline that processes data from Cloud Storage to BigQuery. You have discovered that the Dataflow worker nodes cannot communicate with one another. Your networking team relies on Google Cloud network tags to define firewall rules. You need to identify the issue while following Google-recommended networking security practices. What should you do?
Bạn đang khắc phục sự cố đường ống (pipeline) Dataflow xử lý dữ liệu từ Cloud Storage sang BigQuery. Bạn phát hiện ra rằng các worker node của Dataflow không thể giao tiếp với nhau. Nhóm mạng của bạn dựa vào các thẻ mạng (network tags) của Google Cloud để xác định các quy tắc tường lửa. Bạn cần xác định sự cố trong khi vẫn tuân thủ các thực hành bảo mật mạng được Google khuyến nghị. Bạn nên làm gì?
A
Determine whether your Dataflow pipeline has a custom network tag set.
Xác định xem pipeline Dataflow của bạn có được thiết lập thẻ mạng tùy chỉnh (custom network tag) hay không.
B
Determine whether there is a firewall rule set to allow traffic on TCP ports 12345 and 12346 for the Dataflow network tag.
Xác định xem có quy tắc tường lửa nào được thiết lập để cho phép lưu lượng truy cập trên các cổng TCP 12345 và 12346 cho thẻ mạng Dataflow hay không.
C
Determine whether there is a firewall rule set to allow traffic on TCP ports 12345 and 12346 on the subnet used by Dataflow workers.
Xác định xem có quy tắc tường lửa nào được thiết lập để cho phép lưu lượng truy cập trên các cổng TCP 12345 và 12346 trên mạng con (subnet) được sử dụng bởi các Dataflow worker hay không.
D
Determine whether your Dataflow pipeline is deployed with the external IP address option enabled.
Xác định xem pipeline Dataflow của bạn có được triển khai với tùy chọn bật địa chỉ IP bên ngoài (external IP address) hay không.
Giải thích & Tài liệu tham khảo
Để Dataflow hoạt động bình thường, các worker node của Dataflow cần phải giao tiếp được với nhau.
- Cổng truyền thông nội bộ: Dataflow worker giao tiếp với nhau bằng cách sử dụng các cổng TCP
12345và12346. Nếu tường lửa chặn các cổng này, pipeline sẽ bị lỗi hoặc chạy cực kỳ chậm vì các worker không thể phân phối và trao đổi dữ liệu (shuffle dữ liệu). - Sử dụng Network Tags: Google Cloud khuyến nghị sử dụng network tags để kiểm soát các quy tắc tường lửa một cách chính xác thay vì áp dụng rộng rãi cho toàn bộ mạng con (subnet). Dataflow tự động áp dụng tag
dataflowcho các thực thể máy ảo worker của nó. Do đó, việc kiểm tra xem có quy tắc tường lửa nào cho phép lưu lượng truy cập TCP trên cổng 12345 và 12346 cho thẻ mạng (network tag) của Dataflow hay không (Lựa chọn B) là bước khắc phục sự cố trực tiếp và tuân thủ các nguyên tắc bảo mật mạng tốt nhất. - Tại sao không chọn các đáp án khác?
- A: Việc chỉ kiểm tra xem có tag tùy chỉnh hay không không giải quyết được vấn đề nếu không có luật tường lửa tương ứng cho các cổng này.
- C: Cấu hình trên cấp độ subnet sẽ mở rộng quyền truy cập quá mức cần thiết cho tất cả các tài nguyên khác trong subnet đó, không tuân thủ nguyên tắc đặc quyền tối thiểu bằng tag.
- D: Việc sử dụng IP bên ngoài không ảnh hưởng đến giao tiếp nội bộ giữa các worker trong mạng VPC nội bộ.
(Đáp án được gợi ý bởi AI)