【PCNE】WEB問題集:ネットワーク設計編

大手金融グループの基盤刷新で、本番／開発／監査の三系統を単一の Google Cloud 組織配下に集約する計画が進行中です。本番ワークロードは複数チームが同居しますが、ネットワーク管理はネットワーク中央部門が一元管理し、利用部門にはサブネット単位での起動権限のみ与える要件があります。各サービスプロジェクトでは独自の課金分離と IAM 境界を維持しつつ、共通の VPC ルーティングテーブルとファイアウォール基盤を共有する必要があります。最小の運用コストで要件を満たすには、どのネットワーク設計を採用すべきですか。

製造業のグローバル展開で、北米／欧州／アジアの三リージョンに同一サービスを配置する計画があります。事業要件として、リージョンを跨いだ内部通信は Google のバックボーン経由で完結させ、各拠点のサブネットアドレスを将来の M&A に備えて 10 年単位で重複なく拡張できるようにしたいと考えています。さらに、Google が自動付与する既定サブネットは監査ポリシー違反になります。最初に採用すべき VPC 設計はどれですか。

SaaS スタートアップが、開発者数が 6 か月で 3 倍に増加する見込みで、東京リージョンの一つのサブネットに Compute Engine と GKE Pod／Service の三層構成を配置しようとしています。Pod CIDR と Service CIDR は将来の拡張に備えて余裕を持ち、ノード側のホスト用範囲とは衝突しないように設計したい状況です。どの設計が最も適切ですか。

金融子会社のセキュリティ部門から、本番 VPC と DMZ VPC を完全に分離した上で、双方向に推移ルートを発生させず、共通の Network Virtual Appliance 経由で全トラフィックを検査したいという要望が出されました。VPC は同一組織配下に複数存在し、将来的にも増減します。設計として最も適切なのはどれですか。

大学病院の研究系システムを Google Cloud に移行する計画で、患者情報を扱う閉域系と、論文公開用のインターネット系を同一組織内で運用します。閉域系のサブネットからは外部 IP を持たない VM が Google API へ到達できる必要があり、また将来的に IPv6 にも対応する余地を残したいと考えています。どの設計が最適ですか。