Laboratorio práctico — CDL Google Cloud Digital Leader

Descripción general

Requisitos previos

Pasos

1. 1.Proveedor, servicios del proyecto, nomenclatura

   GCP requiere que se habiliten servicios del proyecto (APIs) explícitos antes de que se puedan aprovisionar recursos. Habilitamos storage.googleapis.com (para el Paso 2) y billingbudgets.googleapis.com (para el Paso 4). Compare con AWS, donde las superficies de API siempre están activas; GCP le hace optar por cada proyecto.

   Reemplace your-project-id con su ID de proyecto real.

   Copiar

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE with your GCP project ID
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-cdl"
       managed_by = "terraform"
     }
   }
   
   resource "google_project_service" "storage" {
     service            = "storage.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "budgets" {
     service            = "billingbudgets.googleapis.com"
     disable_on_destroy = false
   }

2. 2.Aprovisionar un bucket de Cloud Storage con acceso uniforme + ciclo de vida

   Aprovisiona:

   • Cloud Storage

   Cloud Storage es el equivalente de S3 en GCP, un almacén de objetos con opciones de replicación regional, multirregional y de doble región. El examen CDL evalúa repetidamente la pregunta qué-clase-de-almacenamiento: Standard (caliente), Nearline (>30 días), Coldline (>90 días), Archive (>365 días).

   Habilitamos el acceso uniforme a nivel de bucket (el valor predeterminado de seguridad recomendado por CDL — desactiva las ACL detalladas por objeto en favor de solo IAM) y una transición de ciclo de vida de 30 días → Nearline. Los nombres deben ser globalmente únicos en todo GCP; agregamos un sufijo con un hexadecimal aleatorio.

   Copiar

   resource "random_id" "suffix" {
     byte_length = 4
   }
   
   resource "google_storage_bucket" "main" {
     name                        = "certlabpro-cdl-${random_id.suffix.hex}"
     location                    = "US"
     uniform_bucket_level_access = true
     force_destroy               = true # lab-only — never in production
   
     lifecycle_rule {
       condition {
         age = 30
       }
       action {
         type          = "SetStorageClass"
         storage_class = "NEARLINE"
       }
     }
   
     labels = local.labels
   
     depends_on = [google_project_service.storage]
   }

3. 3.Habilitar Cloud Logging como la estructura de auditoría universal

   Aprovisiona:

   • Cloud Logging

   Cloud Logging de GCP está activado por defecto para la mayoría de los servicios, pero el examen CDL evalúa la distinción de registros de auditoría entre Requerido vs Predeterminado vs Acceso a Datos. Los registros de auditoría Requeridos (actividad de administración) siempre están activados, son gratuitos y no se pueden deshabilitar. Los registros Predeterminados (escrituras de datos para algunos servicios) están activados pero se pueden deshabilitar. Los registros de Acceso a Datos (lecturas de datos) están desactivados por defecto; deben habilitarse explícitamente y se facturan normalmente.

   Habilitamos el registro de Acceso a Datos para Cloud Storage para que cada lectura de cada objeto en el bucket del Paso 2 se registre en Cloud Logging. El laboratorio es una demostración de la primitiva iam-audit-config; las implementaciones de producción usan este patrón a nivel de organización a través de patrones [[gcp-pcse]].

   Copiar

   resource "google_project_iam_audit_config" "storage_data_access" {
     service = "storage.googleapis.com"
   
     audit_log_config {
       log_type = "DATA_READ"
     }
   
     audit_log_config {
       log_type = "DATA_WRITE"
     }
   }

4. 4.Configurar un presupuesto de Cloud Billing que envía correos electrónicos al superar un umbral

   Aprovisiona:

   • Cloud Billing

   Al examen CDL le encanta este patrón: los presupuestos + alertas de Cloud Billing son la forma recurrente de pregunta del examen CDL para el control de costos. Establecemos un presupuesto de $10/mes y configuramos alertas al 50% / 90% / 100% del gasto proyectado. La alerta llega por correo electrónico a los administradores de la cuenta de facturación (no se necesita configuración adicional para el correo electrónico; para Slack / PagerDuty, se agregaría un tema de Pub/Sub + una función de Cloud Function para distribución).

   Reemplace your-billing-account-id con su ID real. El presupuesto se limita al proyecto actual solamente a través del filtro projects: el examen CDL evalúa esta distinción entre presupuesto por proyecto vs presupuesto a nivel de organización.

   Copiar

   data "google_project" "current" {}
   
   resource "google_billing_budget" "monthly_10" {
     billing_account = "your-billing-account-id" # REPLACE — find via `gcloud beta billing accounts list`
     display_name    = "certlabpro-cdl-$10-monthly"
   
     budget_filter {
       projects = ["projects/${data.google_project.current.number}"]
     }
   
     amount {
       specified_amount {
         currency_code = "USD"
         units         = "10"
       }
     }
   
     threshold_rules {
       threshold_percent = 0.5
       spend_basis       = "FORECASTED_SPEND"
     }
   
     threshold_rules {
       threshold_percent = 0.9
       spend_basis       = "FORECASTED_SPEND"
     }
   
     threshold_rules {
       threshold_percent = 1.0
       spend_basis       = "CURRENT_SPEND"
     }
   
     depends_on = [google_project_service.budgets]
   }

Limpieza