约束与决策要点测验

本测验检查你对六项迁移约束、决策顺序和计费结构的理解。

选择题

1. 哪项说法正确区分了 TLS 身份和 TCP 连接模型？
   • A) SigV4 签名和 Envoy iptables 例外对应用的影响
   • B) 将经过身份验证的 HTTP 身份与匿名 TLS 策略分开，并将服务监听器与 TCP 资源连接分开
   • C) 按跳计费以及 STS 依赖
   • D) 故障域集中程度和配额限制

显示答案

答案：B) 将经过身份验证的 HTTP 身份与匿名 TLS 策略分开，并将服务监听器与 TCP 资源连接分开

说明： 这些是当前 API 和信任边界上的选择。这并不能证明所有 TLS 访问控制策略都不可能实现，也不能证明整个 Lattice 产品都不支持 TCP 资源访问。

2. 迁移设计中必须首先做出哪项决策？
   • A) 选择使用共享库还是出站代理进行签名
   • B) 监管要求是否规定端到端加密或工作负载相互身份验证；这一选择决定使用 HTTPS 监听器 + IAM Auth 还是 TLS Passthrough，后续大多数设计决策都取决于它
   • C) Lattice 服务的数量和估算成本
   • D) 节点安全组的前缀列表配置

显示答案

答案：B) 监管要求是否规定端到端加密或工作负载相互身份验证；这一选择决定使用 HTTPS 监听器 + IAM Auth 还是 TLS Passthrough，后续大多数设计决策都取决于它

说明： 此决策取决于组织的安全要求。TLS Passthrough 会阻止 Lattice 对 SigV4 调用方进行身份验证，也无法检查 HTTP 字段来执行 L7 路由；其访问控制策略仅限于匿名主体。因此，经过身份验证的工作负载身份和授权需要通过端点/应用设计实现，其中可能包括 mTLS 和 SPIRE。选择 HTTPS 监听器后，则需要决定签名方案。选择设计之前，应先与安全评审人员就这些边界达成一致。

3. 应如何估算 Lattice 成本？
   • A) 深层调用链会增加服务预置费用
   • B) 统计实际服务调用次数，包括调用链深度、扇出和重试，同时考虑数据量和预置时长
   • C) 调用链深度决定跨 AZ 费用
   • D) 调用链越深，越早触及配额

显示答案

答案：B) 统计实际服务调用次数，包括调用链深度、扇出和重试，同时考虑数据量和预置时长

说明： 只有在特定假设成立时，简单的四次调用链才会产生四个请求。每小时费用、传输字节数、重试和访问模型也会影响成本；本例未测量节省了多少成本。

4. 应如何维护调用链证据？
   • A) 因为迁移后应用会发生变化，而且调用链也会不同
   • B) 在迁移过程中保留应用跟踪，并与 Lattice 日志和请求 ID 关联
   • C) 因为 CloudWatch 不提供调用链深度指标
   • D) 因为迁移后无需再估算成本

显示答案

答案：B) 在迁移过程中保留应用跟踪，并与 Lattice 日志和请求 ID 关联

说明： Lattice 缺少原生追踪片段（span），并不意味着应用追踪片段会消失，也不意味着迁移后无法分析调用链。

5. 对于包含明文 TCP 流量的环境，推荐采用什么配置？
   • A) 到处引入 TLS，并将所有流量转移到 Lattice
   • B) 分别评估服务 HTTP/TLS 监听器与 TCP 资源连接，以及现有的私有连接替代方案
   • C) 删除所有明文 TCP 服务
   • D) 启用 Lattice 的原始 TCP 监听器

显示答案

答案：B) 分别评估服务 HTTP/TLS 监听器与 TCP 资源连接，以及现有的私有连接替代方案

说明： 资源配置支持 TCP，但不会继承服务 L7 路由/身份验证功能。应为每种协议选择正确的模型，并验证控制器/API 支持情况。

6. 让集群内通信不经过 Lattice 有什么取舍？
   • A) 没有取舍；这样做总是有利
   • B) 有助于降低成本和延迟，但不会根据访问控制策略评估直接调用 k8s Service DNS 的流量，因此必须另行通过 NetworkPolicy 或应用层设计内部流量的授权
   • C) 授权保持不变，但可观测性会丢失
   • D) Gateway API Controller 会停止工作

显示答案

答案：B) 有助于降低成本和延迟，但不会根据访问控制策略评估直接调用 k8s Service DNS 的流量，因此必须另行通过 NetworkPolicy 或应用层设计内部流量的授权

说明： Lattice 的优势在于跨集群、VPC 和账户边界通信；在同一集群内，它带来的好处有限，却会增加成本和延迟，因此通常只将跨边界流量经由 Lattice 路由更合理。但是，IAMAuthPolicy 只会授权经过 Gateways/HTTPRoutes/GRPCRoutes 的流量，所以让内部流量绕过 Lattice 会移除该流量段的授权。这正是成本优化和授权一致性之间的冲突。

7. 应如何比较故障域？
   • A) Lattice 是托管服务，因此不会发生故障
   • B) 两种路径都有本地和共享依赖；应评估受影响的服务、AZ、策略和恢复控制
   • C) 两种模型的故障范围完全相同
   • D) 边车代理模型的故障范围更广

显示答案

答案：B) 两种路径都有本地和共享依赖；应评估受影响的服务、AZ、策略和恢复控制

说明： 代理故障可能局限在本地，但共享的服务网格配置可能导致大范围故障。Lattice 故障不会自动影响所有东西向流量，而且客户侧仍需修复策略/目标/控制器问题。

8. 以下哪项因无法在官方文档中确认而标记为 Needs verification？
   • A) SigV4 服务名称为 vpc-lattice-svcs
   • B) API Gateway 是否原生支持将 Lattice 服务网络用作私有集成目标
   • C) App Mesh 的支持结束日期是 2026 年 9 月 30 日
   • D) 监听器有三种协议：HTTP/HTTPS/TLS_PASSTHROUGH

显示答案

答案：B) API Gateway 是否原生支持将 Lattice 服务网络用作私有集成目标

说明： 没有找到证据证明 API Gateway 原生接受 Lattice 服务网络作为私有集成目标。支持通过 VPC Link 访问 ALB/NLB 监听器，并不能证明 ALB/NLB 可以直接通过链路本地路径连接到 Lattice。在将桥接方案称为受支持方案之前，应验证确切的 API 类型、支持的目标/连接方式，以及明确实现的代理或使用者是否具备所需的签名和故障行为。还应检查当前账户/区域配额，并测量后端目标的放置情况；DNS 入口 AZ 亲和性并不能保证后端位于同一 AZ。匿名主体的 TLS 策略限制、控制器的挂接限制，以及 TLS 监听器对 ECH/ESNI 的排除均有单独文档记录，不应统称为未经确认。