최신 사이버아크 시크릿 센 모의고사 문제, 사이버아크 센트리 - 시크릿 매니저 시험 덤프 [Q22-Q36] : 무료 시험 덤프 자료 : http://exams.dumpsmaterials.com

질문 22
다음 중 Conjur CLI(명령줄 인터페이스)에 대한 설명 중 옳은 것은 무엇인가요?

Windows, Red Hat Enterprise Linux 및 macOS에서 지원됩니다.

Conjur 리더 노드에서만 실행할 수 있습니다.

Conjur REST API로 작업하는 데 필요합니다.

Conjur 리소스 관리를 위한 Conjur REST API를 구현하지 않습니다.

질문 23
비밀번호 관리에서 이중 계정을 사용하면 어떤 이점이 있나요?

두 로테이션 계정 모두에 대해 비밀번호가 캐시되므로 애플리케이션의 비밀번호가 변경되지 않아 비밀번호가 만료되는 블랙아웃 날짜가 줄어듭니다.

시스템, 데이터베이스 또는 애플리케이션의 예상 다운타임을 고려하여 90일마다 비밀번호를 교체합니다.

애플리케이션에서 현재 사용 중인 비밀번호는 변경되지 않으므로 애플리케이션에 자격 증명이 필요할 때 지연이 발생하지 않습니다.

활성 계정이 두 개이므로 시스템, 데이터베이스 또는 애플리케이션이 인증에 성공할 확률이 두 배로 높아집니다.

질문 24
사이버아크 금고에 있는 계정에 대한 변경 사항이 Conjur 호스트의 액세스에 반영되도록 하는 가장 유지 관리가 필요 없는 방법은 무엇인가요?

자동화 스크립트를 작성하여 PATCH/update를 사용하여 호스트의 정책을 업데이트하고 로드합니다.

야미 앵커[&] 및 와일드카드(*) 구문을 사용하여 권한 부여 목록을 유지 관리합니다.

금고용 동기화 프로그램에서 생성한 소비자 그룹/역할을 호스트에 부여합니다.

PVWA를 사용하여 Conjur 호스트 ID를 금고의 구성원으로 추가합니다.

설명
컨저 호스트의 액세스가 CyberArk 금고의 계정에 대한 변경 사항을 반영하도록 하는 가장 유지 관리가 필요 없는 방법은 금고용 동기화 프로그램에서 생성한 소비자 그룹/역할을 호스트에게 부여하는 것입니다. 즉, 호스트는 소비자 그룹/역할로부터 금고의 모든 비밀에 대한 읽기 및 실행 권한을 상속받게 되며, 수동 개입이나 정책 변경 없이 금고의 모든 신규 또는 업데이트된 비밀에 자동으로 액세스할 수 있게 됩니다. 소비자 그룹/역할은 CyberArk 금고와 Conjur 간에 비밀을 동기화하는 서비스인 Vault Conjur Synchronizer에 의해 생성됩니다. 동기화 도구는 Conjur에서 각 금고에 대한 정책 분기를 생성하고, 금고의 모든 비밀에 대한 읽기 및 실행 권한을 갖도록 소비자 그룹/역할을 할당합니다. 동기화 도구는 또한 각 금고에 대한 위임 정책을 생성하여 금고 관리자가 다른 사용자, 호스트, 그룹 또는 레이어12에 권한을 부여할 수 있도록 합니다.
다른 옵션은 Conjur 호스트의 액세스가 CyberArk 금고의 계정에 대한 변경 사항을 반영하도록 보장하는 가장 유지 관리가 필요 없는 방법은 아닙니다. 패치/업데이트를 사용하여 호스트의 정책을 업데이트하고 로드하는 자동화 스크립트를 작성하면 효과가 있을 수 있지만, 스크립트가 항상 실행되고 금고의 변경 사항을 최신 상태로 유지하려면 추가적인 노력과 유지 관리가 필요합니다. 야미 앵커[&] 및 와일드카드(*) 구문을 사용하여 권한 부여 목록을 유지하면 정책 작성을 간소화할 수 있지만, 새 비밀이 금고에 추가되거나 제거될 때마다 정책을 수동으로 편집하고 로드해야 하는 번거로움이 여전히 있습니다. PVWA는 Conjur 호스트가 아닌 인간 사용자를 관리하도록 설계되었으며, 필요한 통합 또는 권한이 없을 수 있으므로 PVWA를 사용하여 Conjur 호스트 ID를 금고의 구성원으로 추가하는 것은 불가능하거나 권장하지 않을 수 있습니다3. 참조: = Vault Conjur Synchronizer 1, Synchronizer 정책 구조 시크릿에 대한 권한 부여 2, Safe 권한 있는 액세스 관리자의 모든 시크릿에 대한 역할 권한 부여 - 자체 호스팅 3, PVWA(Privileged Web Access)

질문 25
전시회를 참조하세요.
어떤 예에서 자동 장애 조치가 발생하나요?

질문 26
수동 장애 조치 구성 단계를 올바른 순서로 정렬합니다.

질문 27
Conjur에서 자체 서명/가져온 모든 인증서는 어디에서 찾을 수 있나요?

Conjur 컨테이너에서 /opt/conjur/etc/ssl을 실행합니다.

Conjur 컨테이너에서 /opt/conjur/certificates로 이동합니다.

Conjur 컨테이너의 /opt/cyberark/dap/certs

Conjur UI > Conjur 클러스터 > 인증서 > 보기에 로그인합니다.

질문 28
고객은 개발자가 비밀 액세스를 위해 Conjur를 채택하기 위해 변경해야 하는 Kubernetes 애플리케이션 코드를 최소화하고자 합니다.
이 요구 사항을 충족할 수 있는 솔루션은 무엇인가요? (두 가지를 선택하세요.)

CPM 푸시 투 파일

비밀 제공자

authn-Azure

시크릿리스

애플리케이션 서버 자격 증명 공급자

질문 29
전시회를 참조하세요.

팔로워가 데이터베이스의 최신 사본을 가지고 있는지 어떻게 확인할 수 있나요?

리더에서 유효성을 검사해야 하는 팔로워와 비교해야 하는 팔로워의 pgcurrentxlog_locationlocation을 비교합니다.

pgstartreplication의 구성 요소 수를 계산하고 이를 배포의 총 팔로워 수와 비교합니다.

팔로워 컨테이너 ID가 리더의 정보 엔드포인트에 있는 노드와 일치하는지 확인합니다.

리더 클러스터의 테스트 애플리케이션에서 자격 증명을 검색한 다음 팔로워와 검색하여 정확한지 비교합니다.

설명
이 예시에서는 Secrets Manager 클러스터에 있는 데이터베이스의 복제 상태를 포함하는 JSON 개체를 보여 줍니다. Secrets Manager는 애플리케이션, DevOps 도구 및 기타 시스템에서 사용하는 비밀번호와 자격 증명을 안전하게 저장하고 관리하는 비밀번호 관리 솔루션입니다. Secrets Manager는 리더 노드와 하나 이상의 팔로워 노드로 구성된 클러스터 모드로 배포할 수 있습니다. 리더 노드는 모든 쓰기 작업을 처리하고 팔로워 노드로의 데이터 복제를 조정하는 기본 노드입니다.
팔로워 노드는 리더 노드의 데이터를 복제하고 비밀을 검색하거나 기타 읽기 전용 작업을 수행해야 하는 클라이언트 및 애플리케이션의 요청을 처리하는 읽기 전용 노드입니다.
팔로워에 데이터베이스의 현재 복사본이 있는지 확인하려면 리더와 유효성을 검사해야 하는 팔로워의 pgcurrentxlog_locationlocation을 비교하면 됩니다. pgcurrentxlog_locationlocation은 데이터베이스에서 쓰기 전 로그(WAL)의 현재 위치를 나타내는 속성입니다. WAL은 데이터베이스에 대한 모든 변경 사항을 실제 데이터 파일에 적용하기 전에 순차적으로 로그 파일에 기록하는 메커니즘입니다. WAL은 충돌이나 정전 시 데이터베이스의 내구성과 일관성을 보장합니다. 또한 WAL은 WAL 레코드를 팔로워 노드로 스트리밍하여 로컬 데이터베이스에 적용함으로써 리더 노드에서 팔로워 노드로 데이터를 복제할 수 있게 해줍니다.
리더와 팔로워의 pgcurrentxlog_locationlocation을 비교하면 팔로워가 WAL 레코드 측면에서 리더보다 얼마나 뒤처져 있는지 확인할 수 있습니다. pgcurrentxlog_locationlocation 값이 동일하거나 매우 근접하면 팔로워가 데이터베이스의 현재 복사본을 가지고 있으며 복제가 제대로 작동하고 있음을 의미합니다. pgcurrentxlog_locationlocation 값이 다르거나 멀리 떨어져 있으면 팔로워가 데이터베이스의 오래된 복사본을 가지고 있으며 복제 지연 또는 복제 실패가 있음을 의미합니다. 이 경우 복제 문제를 해결하고 가능한 한 빨리 해결해야 할 수 있습니다.
참조 = Secrets Manager 클러스터 설치, Secrets Manager 클러스터 구성, 미리 쓰기 로깅 - PostgreSQL 설명서

질문 30
시드 페처를 사용하여 쿠버네티스 팔로워를 배포할 때, 시드 페처 컨테이너에서 오류가 발생합니다.
로그를 확인한 결과 시드 가져오기가 인증할 수 있었지만 로그에 500 오류가 표시되고 시드 파일을 성공적으로 검색하지 못하는 것을 발견했습니다. 원인이 무엇인가요?

팔로워 DNS 이름에 기반한 인증서가 리더에 없습니다.

구성한 호스트는 인증서를 볼 수 있는 액세스 권한이 없습니다.

동기화 서비스가 충돌하여 다시 시작해야 합니다.

리더에게 인증자 웹서비스가 활성화되어 있지 않습니다.

질문 31
팔로워 로드 밸런서에 인증을 시도하는 Kubernetes 애플리케이션이 이 오류를 수신합니다:
오류: 2024/10/30 06:07:08 authenticator.go:139: CAKC029E 인증서 서명 요청에 대한 유효하지 않은 응답을 받았습니다. 이유: 상태 코드 401 로그를 확인하면 이 메시지를 볼 수 있습니다:
authn-k8s/prd-cluster-01이 활성화되지 않았습니다.
문제를 어떻게 해결하나요?

로드 밸런서 뒤에 있는 각 팔로워의 정보 엔드포인트를 확인하고 팔로워에서 인증기를 활성화합니다.

opt/conjur/etc/authenticators에서 conjur.conf를 수정하여 인증자 웹서비스를 추가합니다.

네트워크 문제로 인해 애플리케이션이 팔로워에게 도달하지 못합니다. 문제를 해결하고 문제가 해결되었는지 확인합니다.

UL > 웹서비스 > 인증자 > 인증자 활성화에서 인증자를 활성화하고 적절한 인증자 웹서비스를 활성화합니다.

질문 32
테스트 목적으로 재해 복구 사이트(사이트 B)로 수동으로 페일오버한 후에는 기본 사이트(사이트 A)로 페일백해야 합니다.
어떤 단계가 필요하나요?

새 라이선스 파일은 CyberArk에 문의하세요.

볼트 컨저 싱크로나이저가 새 컨저 리더를 가리키도록 재구성합니다.

사이트 A에 배치할 새 리더의 시드를 생성합니다.

자동 장애 조치를 트리거하여 사이트 A의 대기 상태를 리더로 승격합니다.

설명
CyberArk Sentry Secrets Manager 설명서1에 따르면 재해 복구 사이트에 대한 수동 페일오버 후 기본 사이트로 페일백하는 단계는 다음과 같습니다:
DR 사이트에서 도커 중지 명령을 사용하여 Conjur 리더 노드를 중지합니다.
기본 사이트에서 evoke seed leader 명령을 사용하여 새 리더 노드에 대한 시드를 생성합니다.
. 이렇게 하면 현재 디렉터리에 .tar라는 파일이 생성됩니다.
기본 사이트에서 scp 명령을 사용하여 리더 시드 파일을 새 리더 서버에 복사합니다.
.tar :.tar
새 리더 서버에서 방금 중지한 컨테이너와 동일한 이름을 사용하여 새 컨테이너를 생성하고, 다음 명령을 사용하여 리더 시드 파일을 로드합니다. docker run -name -d -restart=always
-v /var/log/conjur:/var/log/conjur -v /opt/conjur/backup:/opt/conjur/backup -p "443:443" -p "5432:5432"
-p "1999:1999" cyberark/conjur:최신 시드 가져오기 .tar 새 리더 서버에서, evoke configure leader 명령을 사용하여 Conjur 리더 노드를 구성합니다.
-h -p
새 리더 서버에서 evoke vault sync set 명령을 사용하여 볼트 컨저 동기화기가 새 컨저 리더를 가리키도록 재구성합니다.
<conjur-account> <conjur-user> <conjur-password>
DR 사이트에서 evoke seed standby 명령을 사용하여 새 스탠바이 노드에 대한 시드를 생성합니다.
. 이렇게 하면 현재 디렉터리에 .tar라는 파일이 생성됩니다.
DR 사이트에서 다음 명령을 사용하여 대기 시드 파일을 새 대기 서버에 복사합니다.
.tar :.tar
새 대기 서버에서 방금 중지한 서버와 동일한 이름을 사용하여 새 컨테이너를 생성하고, 다음 명령을 사용하여 Standby 시드 파일을 로드합니다. docker run -name -d -restart=always
-v /var/log/conjur:/var/log/conjur -v /opt/conjur/backup:/opt/conjur/backup -p "443:443" -p "5432:5432"
-p "1999:1999" 사이버아크/컨쥬어:최신 시드 페치 .tar 새 스탠바이 서버에서 evoke cluster enroll 명령을 사용하여 노드를 클러스터에 다시 등록합니다.
<new-standby-fqdn>
다른 옵션은 불필요하거나 올바르지 않으므로 올바르지 않습니다. 라이센스는 두 사이트 모두에 유효하므로 CyberArk에 새 라이센스 파일을 요청할 필요가 없습니다. 새 컨저 리더를 가리키도록 Vault 컨저 동기화 프로그램을 재구성하는 것은 DR 사이트가 아닌 새 리더 서버에서 수행해야 하는 단계입니다.
대기 노드가 수동 장애 조치를 인식하지 못하고 승격 요청을 수락하지 않으므로 사이트 A의 대기 상태를 리더로 승격하기 위해 자동 장애 조치를 트리거할 수 없습니다.

질문 33
인증에 대한 어노테이션을 변경하기 위해 Conjur 호스트 정책을 수정했습니다.
이러한 변경을 수행하려면 정책을 어떻게 로드해야 하나요?

기본 "추가" 방법을 사용합니다(예: conjur 정책 로드 ).

"바꾸기" 메서드를 사용합니다(예: conjur 정책 로드 - -replace ).

"삭제" 메서드를 사용합니다(예: conjur 정책 로드 - -delete ).

"업데이트" 메서드를 사용합니다(예: conjur 정책 로드 - -update ).

설명
= 사이버아크 센트리 시크릿 매니저 설명서에 따르면 교체 방법은 기존 정책 브랜치를 새 정책 파일로 덮어쓰는 데 사용됩니다. 이 방법은 주석, 권한 또는 속성을 수정하는 등 기존 리소스를 변경하는 데 적합합니다. 바꾸기 방법은 리소스와 관련된 기존 데이터 및 비밀 번호는 유지하지만 새 정책 파일에 정의되지 않은 리소스는 모두 제거합니다. 따라서 Conjur 호스트의 인증에 대한 어노테이션을 변경하려면 대체 방법이 가장 좋습니다.
추가 방법은 기존 리소스에 영향을 주지 않고 기존 정책 브랜치에 새 리소스나 데이터를 추가하는 데 사용됩니다. 이 메서드는 새 호스트, 그룹, 변수 또는 시크릿을 만드는 데 적합하지만 기존 호스트, 그룹, 변수 또는 시크릿을 수정하는 데는 적합하지 않습니다. 추가 메서드는 어노테이션과 같은 기존 리소스의 변경 사항을 무시하고 새 리소스 또는 데이터만 로드합니다.
삭제 방법은 다른 리소스에 영향을 주지 않고 기존 정책 브랜치에서 리소스나 데이터를 제거하는 데 사용됩니다. 이 메서드는 호스트, 그룹, 변수 또는 시크릿을 삭제하는 데 적합하지만 수정하는 데는 적합하지 않습니다. 삭제 메서드는 정책 파일에 정의된 리소스나 데이터를 제거하고 정책 파일에 정의되지 않은 리소스나 데이터는 무시합니다.
업데이트 방법은 리소스 자체에는 영향을 주지 않고 기존 리소스와 관련된 데이터나 비밀을 수정하는 데 사용됩니다. 이 메서드는 변수 또는 비밀의 값을 변경하는 데 적합하지만 리소스의 어노테이션, 권한 또는 속성을 변경하는 데는 적합하지 않습니다. 업데이트 방법은 정책 파일에 정의된 데이터나 시크릿만 로드하고 정책 파일에 정의되지 않은 리소스나 데이터는 무시합니다. 참조: = 어노테이션 참조 | CyberArk 문서, 정책 로드 모드 | CyberArk 문서, 정책 - docs.cyberark.com

질문 34
Conjur 인증 흐름의 단계를 올바른 순서로 정렬하세요.

질문 35
CCP 웹 서비스를 업그레이드하는 올바른 절차는 무엇인가요?

CLI에서 "sudo yum update aimprv"를 실행합니다.

자격 증명 공급자 설치 관리자 실행 파일을 두 번 클릭하고 업그레이드를 선택합니다.

AimWebService.msi를 두 번 클릭하고 업그레이드를 선택합니다.

CCP 웹 서비스를 제거했다가 다시 설치합니다.

설명
CCP 웹 서비스를 업그레이드하는 올바른 절차는 D. CCP 웹 서비스를 제거했다가 다시 설치하는 것입니다. CCP 웹 서비스는 애플리케이션이 REST API 호출을 사용하여 CyberArk Vault에서 비밀을 검색할 수 있도록 하는 CCP(중앙 자격 증명 공급자)의 구성 요소입니다. CCP 웹 서비스를 업그레이드하려면 먼저 Windows 서버 관리자 또는 제어판에서 기존 CCP 웹 서비스를 제거한 다음 CyberArk 웹 사이트에서 최신 설치 패키지를 사용하여 CCP 웹 서비스를 다시 설치해야 합니다. 설치 패키지에는 자격 증명 공급자와 CCP 웹 서비스 구성 요소가 모두 포함되어 있으며, CCP 웹 서비스를 설치하려면 AimWebService.msi 파일을 실행해야 합니다. 또한 CCP 웹 서비스에 올바른 구성 및 권한이 있는지, CCP 서버에서 CyberArk CRL(인증서 해지 목록)이 열려 있는지 확인해야 합니다.
다른 옵션은 CCP 웹 서비스를 업그레이드하는 올바른 프로세스가 아닙니다. CLI에서 "sudo yum update aimprv"를 실행하는 것은 Linux에서 자격 증명 공급자를 업데이트하는 명령이며, Windows에서 CCP 웹 서비스를 업데이트하는 명령이 아닙니다. 자격 증명 공급자 설치 관리자 실행 파일을 두 번 클릭하고 업그레이드를 선택하는 것은 CCP 웹 서비스가 아닌 Windows에서 자격 증명 공급자를 업그레이드하는 프로세스입니다. CCP 웹 서비스는 업그레이드 옵션을 지원하지 않으므로 AimWebService.msi를 두 번 클릭하고 업그레이드를 선택하는 것은 올바른 옵션이 아니며, 먼저 제거한 후 다시 설치해야 합니다. 참조 = 중앙 자격 증명 공급자(CCP) 업그레이드 - CyberArk, "중앙 자격 증명 공급자(CCP) 업그레이드" 섹션 중앙 자격 증명 공급자 웹 서비스 구성 - CyberArk, "중앙 자격 증명 공급자 웹 서비스 구성" 섹션

질문 36
고객이 Conjur 리더를 사용할 수 없게 되는 경우 애플리케이션이 세 곳의 다른 데이터 센터에서 Conjur의 비밀을 검색할 수 있도록 하려고 합니다. 각 데이터 센터에는 이미 Conjur 팔로워가 배포되어 있습니다.
이 요구 사항을 지원하려면 솔루션을 어떻게 설계해야 할까요?

변경할 필요가 없습니다.

각 데이터 센터에 리더 역할로 승격할 수 있는 스탠바이를 배치합니다.

자동 장애 조치 클러스터를 확장하여 각 데이터 센터에 대기 모드를 포함시키고 리더를 사용할 수 없게 될 경우 자동 복구가 가능하도록 합니다.

<