Split View: [Golden Kubestronaut] CCA 실전 연습 문제 80제 - Cilium Certified Associate

[Golden Kubestronaut] CCA 실전 연습 문제 80제 - Cilium Certified Associate

CCA (Cilium Certified Associate) 실전 연습 문제 80제

시험 개요

CCA(Cilium Certified Associate)는 Cilium과 eBPF 기반 쿠버네티스 네트워킹에 대한 기본 지식을 검증하는 자격증입니다.

항목	내용
시험 시간	90분
문제 수	60문제
합격 기준	75%
형식	객관식

도메인별 가중치

도메인	비중
Architecture	20%
Networking	25%
Network Policy	20%
Service Mesh	15%
Observability	10%
Cluster Mesh and External Workloads	10%

정답: B

LB-IPAM(LoadBalancer IP Address Management)은 Cilium이 미리 정의된 IP 풀에서 LoadBalancer 타입 서비스에 외부 IP를 할당하는 기능입니다. MetalLB와 유사한 온프레미스 로드밸런서 기능을 제공합니다.

Network Policy (문제 37-52)

문제 37

CiliumNetworkPolicy와 쿠버네티스 NetworkPolicy의 차이점으로 올바른 것은?

A. CiliumNetworkPolicy는 L7 정책을 지원 B. 쿠버네티스 NetworkPolicy가 더 많은 기능 제공 C. CiliumNetworkPolicy는 클러스터 범위만 지원 D. 둘은 완전히 동일한 기능

정답 확인

정답: A

CiliumNetworkPolicy는 쿠버네티스 NetworkPolicy의 상위 호환으로, L7(HTTP, gRPC, Kafka 등) 정책, FQDN 기반 정책, Identity 기반 정책 등 추가 기능을 지원합니다.

문제 38

Cilium에서 L3/L4 네트워크 정책은 어디에서 적용되는가?

A. Envoy 프록시 B. eBPF 프로그램 (커널 수준) C. iptables D. 사용자 공간 방화벽

정답 확인

정답: B

L3/L4 정책은 tc 훅 포인트에 부착된 eBPF 프로그램에서 직접 커널 수준으로 적용됩니다. 이를 통해 사용자 공간 프록시 없이 고성능으로 정책을 시행합니다.

문제 39

Cilium에서 FQDN 기반 네트워크 정책이 동작하는 방식은?

A. 외부 DNS 서버에 주기적으로 쿼리 B. Cilium DNS 프록시가 DNS 응답을 가로채 IP를 학습하고 정책 적용 C. /etc/hosts 파일 참조 D. CoreDNS 플러그인으로 구현

정답 확인

정답: B

Cilium은 DNS 프록시를 통해 DNS 응답을 투명하게 가로채고, FQDN과 IP 매핑을 학습합니다. 이 정보를 바탕으로 BPF 맵을 업데이트하여 FQDN 기반 정책을 IP 수준에서 시행합니다.

문제 40

다음 CiliumNetworkPolicy에서 허용하는 트래픽은?

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: allow-frontend
spec:
  endpointSelector:
    matchLabels:
      app: backend
  ingress:
    - fromEndpoints:
        - matchLabels:
            app: frontend
      toPorts:
        - ports:
            - port: '8080'
              protocol: TCP

rules:
  http:
    - method: GET
      path: '/api/v1/users'

이 규칙이 허용하는 트래픽은?

A. 모든 HTTP 트래픽 B. /api/v1/users 경로로의 GET 요청만 C. /api/v1/users 경로로의 모든 HTTP 메서드 D. POST 요청만

정답 확인

정답: B

이 L7 정책 규칙은 HTTP GET 메서드로 /api/v1/users 경로에 대한 요청만 허용합니다. 다른 메서드(POST, PUT 등)나 다른 경로는 거부됩니다.

문제 49

Cilium Identity 기반 정책에서 Identity는 어디에 저장되는가?

A. Pod의 환경 변수 B. BPF 맵과 KVStore(CRD 또는 etcd) C. ConfigMap D. Secret

정답 확인

정답: B

Identity는 BPF 맵에 저장되어 데이터패스에서 빠른 룩업이 가능하며, 동시에 KVStore(CRD 또는 etcd)에도 저장되어 클러스터 전체에서 공유됩니다.

문제 50

Cilium에서 네임스페이스 경계를 넘는 정책을 작성할 때 사용하는 방법은?

A. 네임스페이스 이름을 직접 지정 B. namespaceSelector를 사용하여 네임스페이스 레이블 매칭 C. 항상 CiliumClusterwideNetworkPolicy 사용 D. iptables 규칙 추가

정답 확인

정답: B

CiliumNetworkPolicy에서 fromEndpoints 또는 toEndpoints에 namespaceSelector를 포함하면 다른 네임스페이스의 엔드포인트를 매칭할 수 있습니다.

문제 51

Cilium 정책에서 toServices 필드의 용도는?

A. 쿠버네티스 서비스를 대상으로 이그레스 정책 정의 B. 서비스 메시 설정 C. 서비스 디스커버리 구성 D. 서비스 모니터링

정답 확인

정답: A

toServices 필드는 쿠버네티스 서비스 이름과 네임스페이스를 기반으로 이그레스 정책을 정의합니다. 이를 통해 특정 서비스로의 아웃바운드 트래픽을 제어할 수 있습니다.

문제 52

다음 Cilium 정책에서 deny 규칙의 우선순위는?

Cilium 서비스 메시에서 리트라이(Retry) 정책을 설정하는 방법은?

마무리

도메인별 점검 요약

도메인	문제 범위	핵심 키워드
Architecture	1-16	eBPF 검증기, Identity, Agent/Operator, BPF 맵, XDP
Networking	17-36	CNI, 라우팅 모드, Maglev, DSR, BGP, LB-IPAM, WireGuard
Network Policy	37-52	CiliumNetworkPolicy, L3/L4/L7, FQDN, Identity, Deny 우선
Service Mesh	53-64	Sidecar-less, Envoy, mTLS, Gateway API, SPIFFE
Observability	65-72	Hubble, Relay, UI, Prometheus, gRPC API
Cluster Mesh	73-80	etcd, Global Service, KVStoreMesh, External Workloads, BGPCP

학습 팁

eBPF 기초 확실히 이해: 검증기, BPF 맵, 프로그램 타입(XDP, tc, socket) 등 eBPF 기본 개념이 시험 전반에 출제됩니다.
Identity 기반 보안 모델 숙지: Cilium의 핵심 차별점인 레이블 기반 Identity 할당과 정책 적용 메커니즘을 이해하세요.
Hands-on 연습: cilium status, cilium endpoint list, hubble observe 등 CLI 도구를 직접 사용해보세요.
공식 문서 참조: Cilium 공식 문서의 Concepts 섹션이 시험 범위와 가장 밀접합니다.

[Golden Kubestronaut] CCA Practice Exam 80 Questions - Cilium Certified Associate

CCA (Cilium Certified Associate) Practice Exam - 80 Questions

Exam Overview

The CCA (Cilium Certified Associate) certification validates foundational knowledge of Cilium and eBPF-based Kubernetes networking.

Item	Details
Duration	90 minutes
Questions	60 questions
Passing Score	75%
Format	Multiple Choice

Domain Weights

Domain	Weight
Architecture	20%
Networking	25%
Network Policy	20%
Service Mesh	15%
Observability	10%
Cluster Mesh and External Workloads	10%

Answer: B

LB-IPAM (LoadBalancer IP Address Management) allows Cilium to allocate external IPs from a predefined IP pool for LoadBalancer type services, providing on-premises load balancer functionality similar to MetalLB.

Network Policy (Questions 37-52)

Question 37

What is a correct difference between CiliumNetworkPolicy and Kubernetes NetworkPolicy?

A. CiliumNetworkPolicy supports L7 policies B. Kubernetes NetworkPolicy provides more features C. CiliumNetworkPolicy only supports cluster scope D. They have exactly the same features

Show Answer

Answer: A

CiliumNetworkPolicy is a superset of Kubernetes NetworkPolicy, supporting additional features such as L7 (HTTP, gRPC, Kafka) policies, FQDN-based policies, and Identity-based policies.

Question 38

Where are L3/L4 network policies enforced in Cilium?

A. Envoy proxy B. eBPF programs (kernel level) C. iptables D. User space firewall

Show Answer

Answer: B

L3/L4 policies are enforced directly at the kernel level by eBPF programs attached at tc hook points. This enables high-performance policy enforcement without user space proxy overhead.

Question 39

How do FQDN-based network policies work in Cilium?

A. Periodically querying external DNS servers B. Cilium DNS proxy intercepts DNS responses to learn IP mappings and apply policies C. Referencing /etc/hosts files D. Implemented as a CoreDNS plugin

Show Answer

Answer: B

Cilium transparently intercepts DNS responses through its DNS proxy and learns FQDN-to-IP mappings. Based on this information, it updates BPF maps to enforce FQDN-based policies at the IP level.

Question 40

What traffic does the following CiliumNetworkPolicy allow?

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: allow-frontend
spec:
  endpointSelector:
    matchLabels:
      app: backend
  ingress:
    - fromEndpoints:
        - matchLabels:
            app: frontend
      toPorts:
        - ports:
            - port: '8080'
              protocol: TCP

rules:
  http:
    - method: GET
      path: '/api/v1/users'

What traffic does this rule allow?

A. All HTTP traffic B. Only GET requests to the /api/v1/users path C. All HTTP methods to the /api/v1/users path D. Only POST requests

Show Answer

Answer: B

This L7 policy rule allows only HTTP GET requests to the /api/v1/users path. Other methods (POST, PUT, etc.) or other paths are denied.

Question 49

Where is Identity stored in Cilium's Identity-based policies?

A. Pod environment variables B. BPF maps and KVStore (CRD or etcd) C. ConfigMap D. Secret

Show Answer

Answer: B

Identity is stored in BPF maps for fast lookups in the datapath, and simultaneously stored in the KVStore (CRD or etcd) for cluster-wide sharing.

Question 50

How do you write policies that cross namespace boundaries in Cilium?

A. Directly specifying namespace names B. Using namespaceSelector to match namespace labels C. Always using CiliumClusterwideNetworkPolicy D. Adding iptables rules

Show Answer

Answer: B

In CiliumNetworkPolicy, including namespaceSelector in fromEndpoints or toEndpoints allows matching endpoints in other namespaces.

Question 51

What is the purpose of the toServices field in Cilium policies?

A. Defining egress policies targeting Kubernetes services B. Configuring service mesh C. Configuring service discovery D. Service monitoring

Show Answer

Answer: A

The toServices field defines egress policies based on Kubernetes service names and namespaces, enabling control of outbound traffic to specific services.

Question 52

What is the priority of deny rules in Cilium policies?

How do you configure retry policies in Cilium service mesh?

Summary

Domain Review

Domain	Question Range	Key Topics
Architecture	1-16	eBPF verifier, Identity, Agent/Operator, BPF maps, XDP
Networking	17-36	CNI, routing modes, Maglev, DSR, BGP, LB-IPAM, WireGuard
Network Policy	37-52	CiliumNetworkPolicy, L3/L4/L7, FQDN, Identity, Deny precedence
Service Mesh	53-64	Sidecar-less, Envoy, mTLS, Gateway API, SPIFFE
Observability	65-72	Hubble, Relay, UI, Prometheus, gRPC API
Cluster Mesh	73-80	etcd, Global Service, KVStoreMesh, External Workloads, BGPCP

Study Tips

Understand eBPF fundamentals: Verifier, BPF maps, program types (XDP, tc, socket) -- these concepts appear throughout the exam.
Master the Identity-based security model: Understand the label-based Identity allocation and policy enforcement mechanism that differentiates Cilium.
Hands-on practice: Use CLI tools like cilium status, cilium endpoint list, and hubble observe hands-on.
Reference official documentation: The Concepts section of the Cilium official documentation aligns most closely with the exam scope.