あなたの会社では、営業部門と財務部門の 2 つの部門が単一リージョンに個別の Virtual Private Cloud (VPC) ネットワークを持っています。営業部門の VPC ネットワークはすでに HA VPN を使用してオンプレミスの場所に接続されており、サブネット範囲が重複していないことを確認しました。Cloud NAT を介して Google Cloud ワークロードにインターネット接続を提供しながら、両方の VPC ネットワークをピアリングしてオンプレミス接続に同じ HA トンネルを使用することを計画しています。オンプレミスの場所からのインターネット アクセスは、Google Cloud を経由しないでください。財務部門とオンプレミスの場所の間のすべてのルートを伝播する必要があります。あなたは何をするべきか？

VPC ネットワーク ピアリングを使用してスポークをハブに接続するハブアンドスポーク アーキテクチャを Google Cloud 環境にデプロイしました。セキュリティ上の理由から、コントロール プレーンのプライベート エンドポイントを備えたスポーク プロジェクトの 1 つにプライベート Google Kubernetes Engine (GKE) クラスターをデプロイしました。承認済みネットワークが、GKE ノードがデプロイされるサブネット範囲になるように構成しました。別のスポーク プロジェクトから GKE コントロール プレーンにアクセスしようとしても、アクセスできません。他のスポーク プロジェクトから GKE コントロール プレーンへのアクセスを許可する必要があります。あなたは何をするべきか？

トラフィックを検査するためにサードパーティの次世代ファイアウォールを使用しています。送信トラフィックをファイアウォールにルーティングするカスタム ルート 0.0.0.0/0 を作成しました。パブリック IP アドレスを持たない VPC インスタンスが、ファイアウォールを介してトラフィックを送信せずに BigQuery および Cloud Pub/Sub API にアクセスできるようにしたいと考えています。
どの 2 つのアクションを取る必要がありますか? (2つお選びください。)

オンプレミスからアクセスできる既存の VPC に GKE クラスタを作成する必要があります。次の要件を満たす必要があります。
* ポッドとサービスの IP 範囲は可能な限り小さくする必要があります。
* ノードとマスターはインターネットからアクセスできない必要があります。
* クラスターを管理するには、オンプレミスのサブネットから kubectl コマンドを使用できる必要があります。
GKE クラスタはどのように作成すればよいですか?

Cloud DNS が管理するゾーンの 1 つで DNSSEC を無効にしています。ゾーン ファイルから DS レコードを削除し、キャッシュから期限切れになるのを待って、ゾーンの DNSSEC を無効にしました。DNSSEC 検証解決がゾーン内の名前を解決できないというレポートを受け取ります。
あなたは何をするべきか？