Examen blanc KCSA : Kubernetes and Cloud Native Security Associate

Banque de 109 questions · examen blanc chronométré 90 min

Page de l'examen chez l'éditeur (s'ouvre dans un nouvel onglet) Guide officiel de l'examen (s'ouvre dans un nouvel onglet)

Comparatif : KCNA vs KCSA

  • Sécurité des composants du cluster Kubernetes 24 questions
  • Fondamentaux de la sécurité Kubernetes 20 questions
  • Modèle de menaces Kubernetes 20 questions
  • Sécurité de la plateforme 19 questions
  • Vue d'ensemble de la sécurité cloud native 13 questions
  • Conformité et référentiels de sécurité 13 questions
Mode étude (gratuit) Mode examen (abonnés)

Gratuit : 25 questions en mode étude, tous domaines, sans compte.

Abonnement : les 109 questions de cette certification, le mode examen chronométré, et toutes les autres certifications.

S'abonner · 9,99 € / mois

Paiement sécurisé par carte (Stripe) · Sans engagement · Résiliable en ligne

Préparer Kubernetes and Cloud Native Security Associate avec InfraPrep

Les 109 questions couvrent 6 domaines : Sécurité des composants du cluster Kubernetes, Fondamentaux de la sécurité Kubernetes, Modèle de menaces Kubernetes, Sécurité de la plateforme, Vue d'ensemble de la sécurité cloud native, Conformité et référentiels de sécurité. 25 d'entre elles sont gratuites, sans compte.

Mode étude

Répondez à votre rythme : chaque réponse est corrigée immédiatement, avec une explication et le lien vers la documentation sur laquelle elle s'appuie.

Mode examen

Un examen chronométré de 90 minutes, avec un plan des questions pour y revenir avant de valider.

Résultats par domaine

Votre score est détaillé par domaine : vous savez quoi revoir en priorité.

Questions originales

Chaque question est rédigée à partir de la documentation publique, jamais copiée de l'examen. Vous pouvez contester une réponse depuis le mode étude.

5 exemples de questions gratuites

Ces questions sont rédigées en anglais.

Question 1 Vue d'ensemble de la sécurité cloud native

A security architect presents the CNCF Cloud Native Security Whitepaper (v2) to a new team. The whitepaper organises its guidance around lifecycle phases, but a footnote names another layered model, with a link to the Kubernetes documentation, that the team can also use to structure its controls. Which four layers make up that other model?

  1. IaaS, PaaS, CaaS and FaaS
  2. Develop, Distribute, Deploy and Runtime
  3. Cloud, Clusters, Containers and Code
  4. Foundational layer, application lifecycle, runtime environment and network
Voir la réponse et l'explication

Bonne réponse : C

The whitepaper explicitly names the other model to consider as Cloud, Clusters, Containers, and Code.

Source : documentation officielle

Question 2 Sécurité des composants du cluster Kubernetes

A user runs kubectl get secrets -n payments against the API server. The TLS connection succeeds and the user's client certificate is valid, but this read request fails with HTTP status code 403. At which stage of API request processing was the request rejected?

  1. Transport security, because the API server certificate is signed by a private CA
  2. Authorization, because every configured authorization module denied the request
  3. Admission control, because a validating admission controller rejected the request
  4. Authentication, because the certificate was not accepted by any authenticator
Voir la réponse et l'explication

Bonne réponse : B

When all configured authorization modules deny a request, it is denied with HTTP status code 403.

Source : documentation officielle

Question 3 Fondamentaux de la sécurité Kubernetes

A namespace moves from the Privileged to the Baseline Pod Security Standard. Which of the following Pods is disallowed by the Baseline policy?

  1. A Pod that mounts a hostPath volume
  2. A Pod with no seccomp profile set
  3. A Pod whose container adds the NET_BIND_SERVICE capability
  4. A Pod whose container image runs as the root user, with no securityContext set
Voir la réponse et l'explication

Bonne réponse : A

The Baseline policy states that HostPath volumes must be forbidden.

Source : documentation officielle

Question 4 Vue d'ensemble de la sécurité cloud native

A company runs Kubernetes on virtual machines from a public cloud provider. A penetration test shows that a pod can query the provider's instance metadata service and read the node's cloud credentials. The provisioning scripts also pass a database password through the instance provisioning data. Which set of measures follows the Kubernetes guidance for this situation?

  1. Enable encryption at rest for Secrets in etcd, which prevents pods from reading the node credentials exposed by the metadata service
  2. Limit the permissions given to the instance credentials, use network policies to restrict pod access to the metadata API, and stop using provisioning data to deliver secrets
  3. Rely on RBAC: remove the get permission on Secrets from all service accounts, which also blocks the metadata service
  4. Keep the metadata service reachable, but move the database password into the instance provisioning data of every node so that pods no longer need a Secret
Voir la réponse et l'explication

Bonne réponse : B

The metadata service is reachable by pods by default and can expose node credentials; the documented response is to limit instance credential permissions, restrict pod access to the metadata API with network policies and avoid delivering secrets through provisioning data.

Source : documentation officielle

Question 5 Sécurité des composants du cluster Kubernetes

To protect the Secrets of a namespace, an administrator deploys a validating admission controller that rejects any request involving Secrets from users outside the security team. After deployment, other users can no longer create or modify Secrets, but they can still list and read them with kubectl get. What explains this behaviour?

  1. Admission controllers do not act on requests that merely read objects, so reads must be restricted with authorization, for example RBAC
  2. The admission controller only applies to requests sent through the kubelet API
  3. Another admission controller allowed the request, and a request passes admission as soon as one controller accepts it
  4. Admission control runs before authentication, so the controller cannot know which user sent a read request
Voir la réponse et l'explication

Bonne réponse : A

Admission controllers act on requests that create, modify, delete or proxy to an object, and not on requests that merely read objects; read access must be controlled at the authorization stage.

Source : documentation officielle

Questions fréquentes

Y a-t-il des questions gratuites, faut-il un compte ?

Oui. 25 questions de cette certification sont gratuites en mode étude, sur tous ses domaines, sans abonnement et sans inscription. Le compte est créé quand vous vous abonnez, à la commande.

Comment fonctionne l'abonnement, et peut-on résilier ?

Un seul abonnement mensuel couvre toutes les certifications et les examens blancs chronométrés. Il n'y a pas de durée minimale. Vous résiliez en ligne, à tout moment, avec la fonction « Résilier votre contrat » dans Mon compte ; la résiliation prend effet à la fin du mois déjà payé, puis aucun nouveau prélèvement n'a lieu.

D'où viennent les questions ?

Chaque question est originale, rédigée à partir de la documentation publique de l'éditeur. Chaque réponse est accompagnée d'une explication et d'un lien vers la page de documentation sur laquelle elle s'appuie. InfraPrep n'est pas affilié aux éditeurs ; les noms de certifications appartiennent à leurs propriétaires.

Dans quelle langue sont les questions ?

Les questions sont rédigées en anglais, y compris sur la version française du site.

Le catalogue évolue-t-il ?

Oui, le catalogue évolue : de nouvelles certifications et de nouvelles questions sont ajoutées.