企业云治理概述测验
本测验用于检查你对企业云治理概述的理解。
- 判断 Account、VPC 和 EKS 边界时，“独立”决策的核心思想是什么？
- A) 始终根据团队名称，同时创建这三种边界
- B) 根据不同标准分别决定每种边界（安全/配额/所有权、网络/信任区、运行时爆炸半径）
- C) 为每个工作负载使用单一共享 Account、VPC 和集群
- D) 只决定 VPC 边界，并让其余部分自动跟随
显示答案
答案：B) 根据不同标准分别决定每种边界（安全/配额/所有权、网络/信任区、运行时爆炸半径）
说明： Account 根据安全/配额/成本所有权/生命周期进行判断，VPC 根据网络策略和信任区进行判断，EKS 根据运行时爆炸半径进行判断。按每个域 × 环境组合同时创建全部三种边界的固定公式更简单，但会把本质不同的边界当成一个整体。
- Pod Identity 关联的主要 IAM 角色必须位于哪里？
- A) 任意 Account
- B) 与集群相同的 Account
- C) 仅限管理 Account
- D) 每个 Region 一个 Account
显示答案
答案：B) 与集群相同的 Account
说明： 主要关联角色必须位于集群所属的 Account。目标角色功能使用角色链，而受支持的资源策略和 IRSA 则提供其他跨账户路径。
- 为什么要区分稳定的 Workload ID 与可变元数据？
- A) 降低 AWS API 调用成本
- B) 这样，重组和品牌整合等反复发生的变化就不会直接导致基础设施迁移
- C) 简化 Kubernetes RBAC 配置
- D) 将所有工作负载整合到单一 Account
显示答案
答案：B) 这样，重组和品牌整合等反复发生的变化就不会直接导致基础设施迁移
说明： 团队会随重组频繁变更，而域（业务能力）相对稳定。若将 Account 或 VPC 边界直接绑定到团队/品牌名称，每次重组都会变成一次迁移。因此，建议将域、品牌、团队、CUJ 等信息作为可变元数据附加到稳定的 Workload ID 上。