CCA（Cilium Certified Associate）実践練習問題 80題

試験概要

CCA（Cilium Certified Associate）はCiliumとeBPFベースのKubernetesネットワーキングに関する基礎知識を検証する資格です。

ドメイン別配点

Architecture（問題 1-16）

問題 1

eBPFプログラムがLinuxカーネルで実行される前に必ず経る必要があるステップは何ですか？

A. コンパイル B. 検証（Verification） C. リンク D. シリアライゼーション

問題 2

Ciliumでは各ワークロードのセキュリティ識別子（Identity）はどの基準で割り当てられますか？

A. PodのIPアドレス B. Podの名前 C. Podのセキュリティ関連ラベル（Security-Relevant Labels） D. Podが実行されるノード

問題 3

Cilium Agentの主要な役割でないものはどれですか？

A. eBPFプログラムのコンパイルとロード B. エンドポイント管理 C. IPAM割り当て管理 D. CRDのバリデーション

問題 4

Cilium Operatorの役割として正しいものはどれですか？

A. 各ノードでのeBPFプログラムロード B. クラスタ範囲のIPAM管理およびCRD管理 C. Hubbleメトリクス収集 D. Envoyプロキシ管理

問題 5

eBPFにおけるBPFマップ（Map）の目的は何ですか？

A. eBPFプログラム間またはカーネルとユーザー空間間のデータ共有 B. ネットワークパケットを保存するバッファ C. eBPFプログラムのソースコード保存 D. カーネルモジュールのロード

問題 6

Ciliumで使用されるデータパスモードのうちvethモードの特徴は何ですか？

A. Podとホストネットワーク名前空間間でveth pairを使用 B. XDPを通じて直接パケットを転送 C. VXLANトンネルのみ使用 D. iptablesベースで動作

問題 7

eBPFプログラムの実行コンテキストとして正しくないものはどれですか？

A. XDP（eXpress Data Path） B. tc（traffic control） C. ソケットオペレーション D. ユーザー空間プロセス

問題 8

CiliumのIdentityベースのセキュリティモデルの利点でないものはどれですか？

A. IPアドレスの変更に影響されない B. ラベルベースでポリシー適用が直感的 C. IPベースよりBPFマップサイズが常に小さい D. Podスケーリング時にポリシーが自動適用

問題 9

Ciliumでエンドポイント（Endpoint）が再生成（Regeneration）されるのはどのような場合ですか？

A. ネットワークポリシーが変更されたとき B. ノードのCPU使用率が高いとき C. Hubbleが再起動されたとき D. DNSキャッシュが期限切れのとき

問題 10

CiliumがCIDRベースのポリシーマッチングに使用するBPFマップタイプはどれですか？

A. Hash Map B. LPM Trie C. Array Map D. Ring Buffer

問題 11

eBPFプログラムが処理できる最大命令数に制限がある理由は何ですか？

A. メモリ節約 B. プログラムの終了を保証するため C. ネットワーク帯域幅の制限 D. CPUコア数の制限

問題 12

Cilium Agentが各ノードでDaemonSetとしてデプロイされる理由は何ですか？

A. 高可用性のため B. 各ノードのネットワークデータパスを管理する必要があるため C. 集中型ロギングのため D. ストレージ管理のため

問題 13

CiliumでXDP（eXpress Data Path）を使用する主な利点は何ですか？

A. L7プロトコル分析 B. ネットワークドライバレベルでの超高速パケット処理 C. 自動TLS終端 D. マルチクラスタ通信

問題 14

CiliumのIPAMモードのうちKubernetes Host Scopeモードの特徴は何ですか？

A. AWS ENIを使用してIPを割り当て B. 各ノードに割り当てられたPodCIDRからIPを割り当て C. 外部IPAMサービスと連携 D. IPv6のみサポート

問題 15

Cilium Agentが使用する状態ストアとして正しいものはどれですか？

A. Redis B. ローカルetcdまたはCRD（Kubernetesカスタムリソース） C. PostgreSQL D. Consul

問題 16

eBPFテールコール（tail call）の目的は何ですか？

A. eBPFプログラムからシステムコールを呼び出す B. あるeBPFプログラムから別のeBPFプログラムへ実行を移行する C. ユーザー空間アプリケーションを呼び出す D. カーネルパニックを引き起こす

Networking（問題 17-36）

問題 17

Ciliumがサポートしていないルーティングモードはどれですか？

A. VXLANトンネリング B. Geneveトンネリング C. Direct Routing（ネイティブルーティング） D. MPLSルーティング

問題 18

CiliumがCNI（Container Network Interface）プラグインとして動作する際に実行する作業は何ですか？

A. Pod作成時のネットワークインターフェース設定とIP割り当て B. コンテナイメージのビルド C. Kubernetesスケジューリング D. ストレージボリュームのマウント

問題 19

CiliumのDirect RoutingモードでPod間トラフィックが転送される方式は？

A. VXLANヘッダーを追加してカプセル化 B. ノードのルーティングテーブルを使用して直接転送 C. 常にNATを適用 D. ユーザー空間プロキシを通じて転送

問題 20

Ciliumでkube-proxyを置き換える機能の核心的な実装方式は何ですか？

A. iptablesルール生成 B. ipvsルール生成 C. eBPFベースのサービスロードバランシング D. HAProxyデプロイ

問題 21

Maglev一貫性ハッシュ（Consistent Hashing）がCiliumサービスロードバランシングで解決する問題は何ですか？

A. DNS解決速度 B. バックエンド変更時の既存接続の維持 C. TLS証明書管理 D. Podスケジューリング最適化

問題 22

DSR（Direct Server Return）モードの利点は何ですか？

A. 応答パケットが元のリクエストを受けたノードを経由せず直接クライアントに転送 B. すべてのトラフィックを暗号化 C. L7プロトコル分析が可能 D. マルチクラスタ通信サポート

問題 23

CiliumのBGP Control Plane機能の主な目的は何ですか？

A. Pod内部のDNS解決 B. Pod CIDRおよびサービスIPをBGPピアにアドバタイズ C. コンテナイメージレジストリ管理 D. etcdクラスタ管理

問題 24

VXLANトンネリングモードで追加されるオーバーヘッドは約どれくらいですか？

A. 8バイト B. 50バイト C. 100バイト D. 200バイト

問題 25

CiliumでNodePortサービスのeBPFアクセラレーションが動作するフックポイントは？

A. Application Layer B. XDPまたはtc C. syslog D. Netfilter

問題 26

Ciliumでのソケットレベルロードバランシングの利点は何ですか？

A. L7プロトコル分析が可能 B. パケットがネットワークスタックを通過せず直接バックエンドに接続 C. 自動TLS終端 D. DNSキャッシング

問題 27

CiliumでGeneveトンネリングがVXLANより好まれる理由は何ですか？

A. オーバーヘッドが少ない B. 拡張可能なTLV（Type-Length-Value）オプションフィールドのサポート C. より高速な暗号化 D. IPv4のみサポート

問題 28

Ciliumのホストファイアウォール（Host Firewall）機能は何を保護しますか？

A. Pod間通信のみ B. ホストネットワーク名前空間へのトラフィック C. 外部DNSリクエスト D. etcdデータ

問題 29

CiliumでIPv4/IPv6デュアルスタックを有効にするための設定は？

A. enable-ipv4: trueとenable-ipv6: true B. dual-stack: enabled C. ip-version: both D. network-mode: dual

問題 30

CiliumのBandwidth Managerが使用するLinuxカーネル機能は何ですか？

A. cgroups B. EDT（Earliest Departure Time）ベースのレート制限 C. tc-filter D. iptablesレート制限

問題 31

CiliumでのWireGuard統合の目的は何ですか？

A. L7トラフィック分析 B. ノード間トラフィックの透過的な暗号化 C. DNSクエリの高速化 D. ログ収集

問題 32

CiliumのIPAMモードのうちクラウド環境でENI（Elastic Network Interface）を使用するモードは？

A. Kubernetes Host Scope B. Cluster Scope C. AWS ENIモード D. CRD-backed

問題 33

CiliumにおけるBIG TCP（Big TCP）の目的は何ですか？

A. TCP接続数の制限 B. GRO/GSOを活用した大容量パケット処理によるスループット向上 C. TCPポート範囲の拡張 D. TCPタイムアウトの調整

問題 34

Ciliumでサービスのセッションアフィニティ（Session Affinity）を実装する方法は？

A. iptablesルール B. BPFマップでクライアントIPとバックエンドのマッピングを保存 C. DNSラウンドロビン D. 外部ロードバランサーへの委任

問題 35

CiliumのIP Masqueradingに関する説明として正しいものは？

A. 常にすべてのトラフィックにSNATを適用 B. Podからクラスタ外部へ出るトラフィックにノードIPでSNATを適用 C. インバウンドトラフィックにのみ適用 D. IPv6でのみ動作

問題 36

CiliumでLoadBalancerタイプのサービス向けLB-IPAM機能とは？

A. クラウドロードバランサーの自動プロビジョニング B. Ciliumが直接LoadBalancer IPプールからIP割り当て C. DNSベースのロードバランシング D. Ingressコントローラーのデプロイ

Network Policy（問題 37-52）

問題 37

CiliumNetworkPolicyとKubernetes NetworkPolicyの違いとして正しいものは？

A. CiliumNetworkPolicyはL7ポリシーをサポート B. Kubernetes NetworkPolicyの方がより多くの機能を提供 C. CiliumNetworkPolicyはクラスタ範囲のみサポート D. 両者は完全に同一の機能

問題 38

CiliumでL3/L4ネットワークポリシーはどこで適用されますか？

A. Envoyプロキシ B. eBPFプログラム（カーネルレベル） C. iptables D. ユーザー空間ファイアウォール

問題 39

CiliumでFQDNベースのネットワークポリシーが動作する仕組みは？

A. 外部DNSサーバーへの定期的なクエリ B. Cilium DNSプロキシがDNS応答をインターセプトしてIPを学習しポリシー適用 C. /etc/hostsファイル参照 D. CoreDNSプラグインとして実装

問題 40

次のCiliumNetworkPolicyで許可されるトラフィックは何ですか？

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: allow-frontend
spec:
  endpointSelector:
    matchLabels:
      app: backend
  ingress:
    - fromEndpoints:
        - matchLabels:
            app: frontend
      toPorts:
        - ports:
            - port: '8080'
              protocol: TCP

A. backendからfrontendへの8080ポートトラフィック B. frontendからbackendへの8080ポートTCPトラフィック C. すべてのPodからbackendへのトラフィック D. backendから外部へのすべてのトラフィック

問題 41

CiliumClusterwideNetworkPolicyの用途は？

A. 特定の名前空間にのみ適用されるポリシー B. クラスタ全体に適用されるネットワークポリシー C. 外部クラスタに適用されるポリシー D. DNS専用ポリシー

問題 42

CiliumでL7ネットワークポリシーを適用する際に使用されるプロキシは？

A. Nginx B. HAProxy C. Envoy D. Traefik

問題 43

Ciliumネットワークポリシーでデフォルト拒否（Default Deny）動作はいつ有効化されますか？

A. Ciliumインストール時に自動的に有効化 B. 特定のエンドポイントを選択するポリシーが1つでも適用されたとき C. 管理者が明示的に設定した場合のみ D. 名前空間ラベルによって

問題 44

Cilium L7ポリシーでサポートされていないプロトコルはどれですか？

A. HTTP B. gRPC C. Kafka D. MQTT

問題 45

Ciliumでのポリシー監査モード（Policy Audit Mode）の目的は？

A. ポリシー違反トラフィックをブロックしてロギング B. ポリシー違反トラフィックをブロックせずモニタリングのみ実行 C. ポリシーを自動生成 D. ポリシーパフォーマンスを最適化

問題 46

Ciliumネットワークポリシーでのconceal CIDRベースのイグレスルールの用途は？

A. クラスタ内部のPod間通信制御 B. 特定の外部IP帯域へのイグレストラフィック制御 C. DNS解決制御 D. Ingressコントローラー設定

問題 47

CiliumでtoEntities: worldが意味するものは何ですか？

A. 同じクラスタのすべてのPod B. クラスタ外部のすべてのエンドポイント C. Ciliumが管理していないすべてのエンドポイント D. DNSサーバー

問題 48

次のCilium L7ポリシーの例について：

rules:
  http:
    - method: GET
      path: '/api/v1/users'

このルールが許可するトラフィックは？

A. すべてのHTTPトラフィック B. /api/v1/usersパスへのGETリクエストのみ C. /api/v1/usersパスへのすべてのHTTPメソッド D. POSTリクエストのみ

問題 49

Cilium Identityベースのポリシーで、Identityはどこに保存されますか？

A. Podの環境変数 B. BPFマップとKVStore（CRDまたはetcd） C. ConfigMap D. Secret

問題 50

Ciliumで名前空間境界を越えるポリシーを作成する際に使用する方法は？

A. 名前空間名を直接指定 B. namespaceSelectorを使用して名前空間ラベルをマッチング C. 常にCiliumClusterwideNetworkPolicyを使用 D. iptablesルールを追加

問題 51

CiliumポリシーのtoServicesフィールドの用途は？

A. Kubernetesサービスを対象としたイグレスポリシー定義 B. サービスメッシュ設定 C. サービスディスカバリ設定 D. サービスモニタリング

問題 52

Ciliumポリシーにおけるdenyルールの優先順位は？

A. Allowルールより常に低い B. Allowルールより常に高い（Denyが優先） C. 作成時間順 D. 名前空間のアルファベット順

Service Mesh（問題 53-64）

問題 53

Ciliumサービスメッシュのサイドカーレス（Sidecar-less）アーキテクチャの核心原理は？

A. 各Podにサイドカーコンテナを注入 B. ノードあたり1つのEnvoyプロキシとeBPFベースのトラフィックリダイレクション C. Istioサイドカーとの統合 D. アプリケーションコードの変更

問題 54

CiliumサービスメッシュにおけるmTLS（Mutual TLS）の役割は？

A. DNS暗号化 B. サービス間通信の相互認証と暗号化 C. ログ暗号化 D. ストレージ暗号化

問題 55

Ciliumサイドカーレスサービスメッシュの利点でないものは？

A. リソース効率の向上 B. レイテンシーの低減 C. 各Podごとの独立したEnvoy設定 D. 運用複雑性の低減

問題 56

CiliumにおけるCiliumEnvoyConfig CRDの目的は？

A. Cilium Agent設定 B. EnvoyプロキシのL7トラフィック管理ルール定義 C. Hubble設定 D. BGPピア設定

問題 57

CiliumサービスメッシュのL7トラフィック管理機能に含まれるものは？

A. ヘッダーベースのルーティング B. GPUスケジューリング C. ストレージプロビジョニング D. ノードオートスケーリング

問題 58

CiliumがIngressコントローラー機能を提供するために使用するリソースは？

A. CiliumIngressController CRD B. 標準KubernetesIngressリソースとCiliumEnvoyConfig C. Nginx ConfigMap D. Istio Gateway

問題 59

CiliumサービスメッシュでのGateway APIサポートの意味は？

A. 独自のAPIのみ使用 B. Kubernetes Gateway APIリソース（Gateway、HTTPRouteなど）をネイティブサポート C. AWS API Gateway統合 D. REST API自動生成

問題 60

CiliumでL4レベルのサービスメッシュ機能（mTLSなど）はどのように実装されますか？

A. 常にEnvoyプロキシを通じて B. eBPFで直接実装（プロキシなし） C. iptablesルールで D. サイドカーコンテナで

問題 61

CiliumのSPIFFE統合でSPIFFE IDが表すものは？

A. PodのIPアドレス B. ワークロードの暗号化識別子 C. ノードのホスト名 D. 名前空間名

問題 62

Ciliumサービスメッシュでカナリアデプロイを実装する方法は？

A. Kubernetes Deploymentレプリカ数の調整 B. HTTPRouteのbackendRefsにウェイト（weight）を設定 C. DNSラウンドロビン D. 手動でPod IPを変更

問題 63

CiliumでEnvoyにトラフィックがリダイレクションされる条件は？

A. すべてのトラフィックが常にリダイレクション B. L7ネットワークポリシーが適用されたトラフィックのみ C. TCPトラフィックのみ D. UDPトラフィックのみ

問題 64

Ciliumサービスメッシュでリトライ（Retry）ポリシーを設定する方法は？

A. Podアプリケーションコードで実装 B. CiliumEnvoyConfigまたはHTTPRouteのretry設定 C. Kubernetes livenessProbe D. sysctlパラメータ

Observability（問題 65-72）

問題 65

Hubbleのアーキテクチャで各ノードのフローデータを収集するコンポーネントは？

A. Hubble Relay B. Hubble UI C. Cilium Agentに内蔵されたHubble D. Prometheus

問題 66

Hubble Relayの役割は？

A. 単一ノードのフロー収集 B. 複数ノードのHubbleデータを集約してクラスタ全体のオブザーバビリティを提供 C. DNSリレー D. ロードバランシング

問題 67

Hubbleで観察できないL7プロトコルはどれですか？

A. HTTP B. DNS C. Kafka D. SMTP

問題 68

Hubble CLIで特定の名前空間のフローを確認するコマンドは？

A. hubble observe --namespace default B. hubble get flows --ns default C. hubble watch default D. hubble logs --namespace default

問題 69

Hubble UIが提供する機能は？

A. サービス間依存関係トポロジマップの可視化 B. KubernetesリソースYAMLの編集 C. コンテナログビューア D. CI/CDパイプライン管理

問題 70

HubbleのPrometheusメトリクス統合で収集可能な情報は？

A. フロー数、ポリシードロップカウント、HTTPリクエストレイテンシー B. CPU使用率 C. ディスクI/O D. メモリ使用量

問題 71

Hubbleでポリシーによりドロップされたパケットを確認するコマンドは？

A. hubble observe --verdict DROPPED B. hubble dropped-packets C. hubble observe --type drop D. hubble policy-violations

問題 72

Hubble gRPC APIの主な用途は？

A. Podスケジューリング B. プログラマティック方式でのフローデータの照会とストリーミング C. Kubernetes APIサーバーアクセス D. イメージレジストリ管理

Cluster Mesh and External Workloads（問題 73-80）

問題 73

Cilium ClusterMeshの核心アーキテクチャコンポーネントは？

A. 集中型コントロールプレーン B. 各クラスタのetcdとclustermesh-apiserver C. 単一共有etcd D. Consul

問題 74

ClusterMeshにおけるグローバルサービス（Global Service）とは？

A. すべてのクラスタで同じIPを使用するサービス B. 複数のクラスタにまたがり同じサービス名でトラフィックが分散されるサービス C. 外部インターネットに公開されたサービス D. DNS専用サービス

問題 75

ClusterMeshでサービスアフィニティ（Service Affinity）をローカルクラスタ優先に設定する方法は？

A. サービスにio.cilium/service-affinity: "local"アノテーションを追加 B. ClusterMesh設定でaffinity-modeを変更 C. DNS TTLの調整 D. BGP優先度の設定

問題 76

ClusterMeshでクロスクラスタネットワークポリシーが可能な理由は？

A. IPアドレスベースのポリシーのみ使用 B. クラスタ間でIdentityが同期されIdentityベースのポリシー適用が可能 C. 中央ファイアウォールを使用 D. VPNトンネルを使用

問題 77

KVStoreMeshの目的は？

A. KVStoreのバックアップ B. 大規模ClusterMesh環境でKVStoreの負荷を軽減するためのキャッシュレイヤー C. KVStoreの暗号化 D. KVStoreのモニタリング

問題 78

Cilium外部ワークロード（External Workloads）機能は何を可能にしますか？

A. 外部VMやベアメタルサーバーにCilium Agentをインストールしてkubernetesクラスタのネットワークポリシーを適用 B. 外部DNSサーバー管理 C. クラウドインスタンスの自動プロビジョニング D. VPNサーバーのデプロイ

問題 79

ClusterMeshの設定時に必須ではない要件はどれですか？

A. 各クラスタに一意のクラスタID B. クラスタ間でPod CIDRが重複しないこと C. すべてのクラスタが同じクラウドプロバイダーにあること D. クラスタ間のネットワーク接続が可能であること

問題 80

Cilium BGP Control Plane（BGPCP）のCiliumBGPPeeringPolicyリソースの目的は？

A. Pod内部でBGPデーモンを実行 B. ノードのBGPピアリングセッションとアドバタイズする経路を宣言的に定義 C. 外部BGPルーターの自動デプロイ D. BGPトラフィックの暗号化

まとめ

ドメイン別チェック要約

学習のヒント

1. eBPFの基礎を確実に理解: 検証器、BPFマップ、プログラムタイプ（XDP、tc、socket）などeBPF基本概念が試験全体に出題されます。
2. Identityベースのセキュリティモデルの習得: Ciliumの核心的な差別化ポイントであるラベルベースのIdentity割り当てとポリシー適用メカニズムを理解しましょう。
3. ハンズオン練習: cilium status、cilium endpoint list、hubble observeなどのCLIツールを実際に使用してみましょう。
4. 公式ドキュメント参照: Cilium公式ドキュメントのConceptsセクションが試験範囲と最も密接に関連しています。