Google PCNE: Automação de Rede, Governança e Operações de Custo — Guia de estudos

By Laurynas Brazys · 22 August 2026 · #google #PCNE #certification #exam-prep #study-guide

Faz parte do Google Professional Cloud Network Engineer — Guia de estudos. Pratique com respostas verificadas no centro de exames da Google, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

A automação de rede, a governança e as operações de custo no Google Cloud são disciplinas inseparáveis que determinam a confiabilidade, a segurança e a economia com que suas redes operam em escala. Uma prática eficaz combina uma hierarquia de recursos bem estruturada e IAM com o princípio de menor privilégio com infraestrutura como código (IaC) e workflows orientados a eventos, tudo sustentado por orçamentos, cotas e auditabilidade claros. O estado final é um provisionamento previsível, mudanças manuais mínimas, evidências de conformidade defensáveis e uma economia unitária transparente para a rede.

Governança e Controle de Acesso

Hierarquia de recursos
- Organização → Pastas → Projetos é o plano de controle para a herança de permissões e políticas de proteção (guardrails). Coloque os ambientes de produção e não produção em pastas separadas para isolar políticas e cotas. Use labels em VPCs, subnets, roteadores, regras de encaminhamento e instâncias para alocação de custos e seleção de recursos (resource targeting).
- A Shared VPC consolida o roteamento e a conectividade em um projeto host, enquanto delega a computação para projetos de serviço. Compartilhe apenas as subnets que cada projeto de serviço necessita para seguir o princípio de expor as redes explicitamente e para reduzir a exposição não intencional de rotas.
IAM e princípio de menor privilégio
- Separe a administração de rede da administração de segurança. O papel Compute Network Admin concede controle total sobre os componentes de rede e acesso de somente leitura às regras de firewall, enquanto o Security Admin gerencia as regras de firewall e os certificados SSL. Essa separação evita operadores com privilégios excessivos e se alinha ao controle de mudanças.
- Conceda papéis específicos:
  - Para modificar regras de firewall, use o Security Admin na Shared VPC.
  - Para gerenciar anexos de VLAN (VLAN attachments) e outros recursos de rede principais, o Compute Network Admin é apropriado.
  - Para automação em recursos específicos, conceda permissões no nível do recurso em vez de papéis em todo o projeto, quando viável, ou crie um papel personalizado limitado às permissões necessárias.
- Prefira a personificação de contas de serviço (service account impersonation) e tokens de curta duração em vez de chaves persistentes. Desabilite a criação de chaves de contas de serviço por meio de políticas da organização sempre que possível. Use o Workload Identity Federation para eliminar completamente o uso de chaves em automações on-prem ou multicloud.
- Siga o princípio de menor privilégio para tarefas do plano de dados. Por exemplo, um job que lê dados do Cloud Storage precisa apenas do papel de visualizador de objetos de armazenamento (storage object viewer) no bucket de destino, não do papel de editor amplo no projeto.
Políticas da organização
- Aplique a política “sem IP externo” para VMs por padrão; use o Private Google Access e o Cloud NAT para alcançar as APIs do Google sem endereços públicos.
- Restrinja o peering e o compartilhamento externo a padrões aprovados (por exemplo, restrinja as configurações de VPC peering para evitar a proliferação).
- Restrinja a criação e o uso de chaves de contas de serviço para limitar a proliferação de credenciais.
- Modos de falha e trade-offs:
  - Papéis (roles) herdados excessivamente amplos no nível da pasta podem conceder silenciosamente acesso de escrita a muitos projetos. Revise os vínculos de papéis com a análise de permissões efetivas.
  - Bloquear VMs de terem IPs externos sem planejar o uso do Private Google Access e do NAT leva a interrupções ao chamar os serviços do Google.
  - Converter uma VPC do modo automático para o modo personalizado sem refatorar templates que presumiam subnets automáticas quebra as implantações; referencie explicitamente as subnets personalizadas a partir de então.

Automação, IaC e Operações Orientadas a Eventos

Infraestrutura como Código com Terraform
- Use um design modular: um módulo por componente básico (primitivo) (VPC, subnet, firewall, Cloud Router, Cloud NAT, interconnect attachment) e, em seguida, componha os stacks de ambiente. Versione os módulos e fixe as versões (pin) nos stacks que os consomem para controlar os rollouts.
- Armazene o estado (state) remotamente com locking (por exemplo, Cloud Storage com um mecanismo de locking similar ao DynamoDB através de um padrão de backend) para evitar alterações concorrentes. Criptografe e faça backup do estado; trate o estado como informação sensível.
- Gerenciamento de desvio (drift):
  - Exija que as alterações sejam feitas via pull requests e terraform plan na CI para revelar a diferença entre o estado pretendido e o real. Execute detecções de desvio agendadas (plan -detailed-exitcode) e emita alertas quando um desvio aparecer.
  - Evite alterações ad-hoc com gcloud em produção; se correções de emergência forem necessárias, registre-as e reconcilie-as no código imediatamente.
- Idempotência e proteções (guardrails): Sempre planeje, revise e aplique (plan, review, apply). Use apply direcionados para minimizar o raio de impacto (blast radius). Use validação de variáveis e política como código (por exemplo, Sentinel ou OPA) para bloquear antipadrões como CIDRs sobrepostos ou firewalls abertos.
gcloud, APIs e workflows
- Use gcloud e REST para tarefas operacionais de baixa latência, mas envolva-os em scripts repetíveis. Lide com a consistência eventual e os limites de taxa da API com novas tentativas (retries) e backoff exponencial.
- Operações orientadas a eventos:
  - Use Cloud Scheduler + Pub/Sub + Cloud Run/Cloud Functions para automatizar tarefas rotineiras, como verificações de cota, auditorias de utilização do NAT ou amostragem de logs de firewall.
  - Transmita os logs de Atividade do Administrador (Admin Activity) e Acesso a Dados (Data Access) para o Pub/Sub para acionar workflows de proteção (por exemplo, reverter automaticamente uma alteração não autorizada em uma regra de firewall).
- Exemplos de snippets
  - Conceder um papel:
    - gcloud projects add-iam-policy-binding PROJECT –member=user:alice@example.com –role=roles/compute.networkAdmin
  - Criar uma rota para as APIs do Google para contornar uma rota padrão para um NGFW:
    - gcloud compute routes create google-apis-egress –network=NET –destination-range=199.36.153.8/30 –next-hop-gateway=default-internet-gateway –priority=800
Armadilhas operacionais
- Condições de corrida (race conditions) quando múltiplos pipelines gerenciam recursos compartilhados (por exemplo, firewalls em uma VPC comum) causam instabilidade (flapping). Use convenções de propriedade e pipelines com escopo de pasta.
- A instabilidade da API sob alto paralelismo aciona erros de cota; limite (throttle) e agrupe as operações em lote por região e tipo de recurso.

Gerenciamento de Custos, Cotas e Capacidade

Cotas e limites de API
- Monitore as cotas por projeto e por região (endereços, regras de encaminhamento, regras de firewall, anexos de interconexão, roteadores). Automatize o monitoramento de cotas e solicite aumentos antes da implantação de novos ambientes. Incorpore verificações de cota preliminares (preflight) na CI para falhar rapidamente.
- Provisione em escala com:
  - Fragmentação regional (crie recursos por região para evitar a contenção de cotas regionais).
  - Pré-alocação (reserve endereços e configure roteadores antes de eventos de pico).
  - Implantações em fases (crie, valide e, em seguida, anexe os back-ends).
Custos de egresso e economia da topologia
- O tráfego entre regiões dentro de uma VPC incorre em custos de egresso inter-regional. Posicione cargas de trabalho que se comunicam na mesma região ou replique dados regionalmente quando a latência e o custo forem importantes.
- Para usuários próximos a us-east1 e europe-west1, uma única VPC com sub-redes regionais permite a comunicação privada RFC1918, minimizando a sobrecarga de NAT e peering, ao mesmo tempo que permite políticas e roteamento simples.
- Use o VPC Network Peering para conectividade de baixa sobrecarga entre projetos ou departamentos, sem NAT e sem roteamento transitivo; mantenha CIDRs que não se sobreponham. Use VPCs separadas para isolar departamentos que não devem se comunicar.
- O Cloud CDN reduz o egresso e melhora a latência para o tráfego HTTP(S); um balanceador de carga HTTP(S) global é o plano de controle para o CDN. Um balanceador de carga de rede não melhorará a latência global para aplicações web porque não possui distribuição de borda e cache.
- Escolha a interconexão com sabedoria: o Dedicated Interconnect com anexos de VLAN em um projeto host centraliza a administração e reduz o custo por projeto para conectividade on-prem compartilhada e de grande porte. O Cloud VPN com Cloud Router é adequado para conectividade rápida e criptografada entre organizações, podendo evoluir para uma interconexão posteriormente.
Alocação de custos, orçamentos e previsão
- Marque todos os recursos de rede com labels para departamento, ambiente e centro de custo. Exporte os dados de faturamento para o BigQuery e derive os custos unitários (por exemplo, $/GB de egresso por serviço).
- Crie orçamentos com granularidade de projeto, pasta ou label. Envie alertas para o Pub/Sub e conecte-os a respondentes de ChatOps ou Cloud Run. Automatize ações em caso de estouro de orçamento (por exemplo, reduzir a amostragem de logs ou escalonar para baixo ambientes de teste não críticos).
- Otimize o egresso:
  - Prefira o Private Google Access e o Cloud NAT em vez de IPs externos para controlar os caminhos de egresso e centralizar o faturamento.
  - Para topologias de túnel forçado (forced-tunnel), adicione rotas personalizadas para as APIs do Google para o gateway de internet padrão ou configure o Private Google Access para on-prem para evitar o tráfego em hairpin através de firewalls de terceiros.
  - Faça a previsão de capacidade analisando os VPC Flow Logs e os logs do balanceador de carga; correlacione com a sazonalidade. Dimensione corretamente os gateways NAT e a capacidade de interconexão antes dos picos.