最新 CyberArk Secret-Sen 练习测试题，CyberArk Sentry - Secrets Manager 考试试卷 [Q22-Q36]

说明
这是正确答案，因为 Conjur CLI 是一种允许用户通过命令行与 Conjur REST API 交互的工具。Conjur CLI 可在 Windows、Red Hat Enterprise Linux 和 macOS 操作系统以及 Docker 容器中运行。Conjur CLI 可以使用多种方法安装，例如下载可执行文件、使用软件包管理器或调用 Docker 镜像。Conjur CLI 支持 Conjur Enterprise 12.9 或更高版本。本答案基于 CyberArk Secrets Manager 文档1 和 CyberArk Secrets Manager 培训课程2。
其他选项并非 Conjur CLI 的真实陈述。Conjur CLI 可以在任何可以通过网络访问 Conjur 服务器的机器上运行，而不仅仅是从 Conjur Leader 节点运行。Conjur Leader 节点是对 Conjur 数据库和策略引擎执行读/写操作的节点，也是 Conjur UI 和 API 端点的主机。使用 Conjur REST API 时不需要使用 Conjur CLI，因为用户也可以使用 curl、Postman 或网页浏览器等其他工具向 Conjur REST API 发送 HTTP 请求。
Conjur CLI 确实实现了用于管理 Conjur 资源（如角色、策略、机密和审核记录）的 Conjur REST API。Conjur CLI 提供了一组与 Conjur REST API 端点相对应的命令，允许用户对 Conjur 资源执行各种操作。

说明
双账户是一种密码管理方法，使用两个具有相同权限的账户访问系统、数据库或应用程序。在任何特定时间，一个账户处于活动状态，另一个账户处于非活动状态。在密码轮换期间，活动账户保持不变，而非活动账户则在宽限期后更改密码。这样，应用程序就可以始终使用活动账户，而不会因密码过期或更改而出现任何延迟或错误。使用双账户的好处是，它能确保业务连续性和对目标资源的无缝访问，尤其是对高负载和关键应用程序而言。参考资料：管理双账户，配置双账户

说明
要确保 Conjur 主机的访问反映对 CyberArk 保管库中保险箱账户所做的任何更改，最免维护的方法是将同步器为保险箱创建的消费者组/角色授予主机。这意味着主机将继承消费者组/角色对保险箱中所有机密的读取和执行权限，并自动访问保险箱中任何新的或更新的机密，而无需任何手动干预或策略更改。消费者组/角色由 Vault Conjur Synchronizer 创建，它是一项在 CyberArk 保管库和 Conjur 之间同步机密的服务。同步器为 Conjur 中的每个保险箱创建一个策略分支，并为消费者组/角色分配对保险箱中所有机密的读取和执行权限。Synchronizer 还为每个保险箱创建了授权策略，允许保险箱管理员向其他用户、主机、组或层12 授予权限。
要确保 Conjur 主机的访问反映对 CyberArk 保管库中保险箱账户所做的任何更改，其他选项并非最免维护的方法。使用 PATCH/update 编写更新和加载主机策略的自动化脚本可能可行，但需要额外的努力和维护，以确保脚本始终运行并与保险箱中的更改保持同步。使用 yami 锚点 [&] 和通配符 (*) 语法来维护权限授予列表可能会简化策略编写工作，但每当保险箱中添加或删除新密码时，仍需要手动编辑和加载策略。使用 PVWA 将 Conjur 主机 ID 添加为保险箱成员可能不可行或不可取，因为 PVWA 是为管理人类用户而不是 Conjur 主机而设计的，而且它可能没有必要的集成或授权来这样做3。参考资料： = Vault Conjur 同步器 1、同步器策略结构 对机密授予权限 2、对保险箱中的所有机密授予角色权限 特权访问管理器 - 自托管 3、特权 Web 访问 (PVWA)

说明
根据 CyberArk Sentry Secrets Manager 文档，自动故障转移是一项功能，可在领导节点发生故障时自动将备用节点提升为领导节点。自动故障转移需要一个法定人数，即集群中可用且同步的大多数节点。法定人数可确保一次只能有一个节点晋升为领导者，防止出现 "大脑分裂 "的情况。在展品中，每个选项都显示了一个负载平衡器和四个节点的网络图，其中一个节点被红色 X 划掉，表示领导者失效。每个图下面的文字说明了是否存在法定人数。选项 C 是唯一会发生自动故障转移的示例，因为四个节点中有三个达到法定人数，其中一个备用节点可以晋升为领导节点。选项 A 不会发生自动故障转移，因为四个节点中只有两个节点可用，因此不存在法定人数。选项 B 没有自动故障转移功能，因为四个节点中只有一个可用，因此没有法定人数。选项 D 没有自动故障转移功能，因为没有法定人数，因为没有一个节点可用。参考：1: 自动故障转移 2: 配置自动故障转移

说明

如果组长出现故障，可以执行手动故障切换，将其中一个备用机提升为新的组长。手动故障切换过程包括以下步骤：
暂停所有备用机和追随者的复制，并确定最佳故障转移候选机。这一步骤可确保在故障转移过程中不会丢失或损坏数据。最佳故障转移候选方案是具有最先进复制时间表的备用方案，这意味着它拥有来自领导者的最新数据。
将故障转移候选服务器提升为新的领导者。这一步会将故障转移候选节点的角色从 Standby 变为 Leader，并相应地更新其配置。新的领导者现在可以接受客户端的写入请求，并将数据复制到其他节点。
恢复复制。此步骤将重新建立新领导者和其他节点之间的复制连接，并将其他备用节点和跟随节点的复制重新归类到新领导者。这将确保所有节点都拥有相同的数据，并与新的领导者同步。
参考资料：CyberArk Conjur Enterprise 文档的 "配置手动故障转移 "部分详细介绍了手动故障转移配置步骤。问题中的图片来自同一来源。

说明
Conjur 使用 TLS 证书在节点和客户端之间进行身份验证。这些证书由 Conjur 自行签署或从第三方 CA 导入。所有证书都存储在
Conjur 容器中的 /opt/conjur/etc/ssl 目录。该目录包含以下文件：
ca.crt：用于验证所有 Conjur 节点证书的 CA 证书。它可以是自签名的 Conjur CA 证书，也可以是导入的第三方 CA 证书。
server.crt：Conjur 节点用于 HTTPS 和 mTLS 连接的服务器证书。该证书在 CN 和 SAN 字段中包含节点和负载平衡器的 DNS 名称。
server.key：服务器证书对应的私钥。
cert.pem：服务器证书文件的符号链接。
key.pem：服务器密钥文件的符号链接。
参考资料证书架构、证书要求、证书轮换 了解更多：

说明
Secrets Provider 和 Secretless 这两种解决方案可以最大限度地减少采用 Conjur 进行机密访问所需的 Kubernetes 应用程序代码更改。Secrets Provider 是一个 Kubernetes 作业或部署，作为初始容器或应用容器与应用 pod 一起运行。它从 Conjur 中检索秘密，并将其写入共享挂载卷中的一个或多个文件。然后，应用程序就可以从文件中读取秘密，而无需修改任何代码，因为读取本地文件是一种常见的、与平台无关的方法。Secretless 是一个侧载代理，作为一个独立容器与应用程序运行在同一个 pod 中。它拦截应用程序对数据库或网络服务等受保护资源的请求，并将 Conjur 的秘密注入请求中。应用程序无需在代码中处理任何机密，因为无秘系统会为其处理身份验证和授权。参考文献用于 Kubernetes 的 CyberArk Secrets Provider、Secretless Broker

说明
展品显示了一个 JSON 对象，其中包含 Secrets Manager 集群中数据库的复制状态。Secrets Manager 是一种机密管理解决方案，可安全地存储和管理应用程序、DevOps 工具和其他系统使用的机密和凭证。Secrets Manager 可以集群模式部署，集群由一个领导者节点和一个或多个跟随者节点组成。领导者节点是主节点，负责处理所有写入操作，并协调将数据复制到跟随者节点。
Follower 节点是只读节点，从 Leader 节点复制数据，并为需要检索机密或执行其他只读操作的客户端和应用程序的请求提供服务。
要确认 Follower 拥有数据库的当前副本，可以比较需要验证的 Leader 和 Follower 的 pgcurrentxlog_locationlocation。pgcurrentxlog_locationlocation 是一个属性，用于指示先写日志（WAL）在数据库中的当前位置。WAL 是一种机制，它将对数据库所做的所有更改记录在一个顺序日志文件中，然后再应用到实际数据文件中。WAL 可确保数据库在崩溃或断电情况下的耐用性和一致性。WAL 还能将数据从领导节点复制到跟随节点，方法是将 WAL 记录流式传输到跟随节点，并应用到它们的本地数据库。
通过比较领导者和跟随者的 pgcurrentxlog_locationlocation 值，可以确定跟随者在 WAL 记录方面比领导者落后多少。如果 pgcurrentxlog_locationlocation 值相同或非常接近，说明跟随者拥有数据库的当前副本，复制工作正常。如果 pgcurrentxlog_locationlocation 值不同或相差很远，则意味着跟随者拥有一个过时的数据库副本，并且存在复制滞后或复制失败。在这种情况下，您可能需要排查复制问题并尽快解决。
参考文献 = Secrets Manager 群集安装；Secrets Manager 群集配置；Write-Ahead 日志 - PostgreSQL 文档

说明
问题的原因是 A. 引导者上没有基于追随者 DNS 名称的证书。这意味着引导者没有与种子请求中使用的追随者 DNS 名称相匹配的证书文件，因此无法为追随者生成有效的种子文件。这会导致 Seed Fetcher 容器日志中出现 500 错误。要解决这个问题，需要在 Leader 上导入一个以 Follower DNS 名称作为主题别名的证书，并创建一个名称与种子请求中使用的 Follower DNS 名称相匹配的证书文件副本1。

说明
错误信息表明 Conjur 服务器上未启用身份验证器网络服务。要启用身份验证器，需要修改 /opt/conjur/etc 目录中的 conjur.conf 文件，并在 CONJUR_AUTHENTICATORS 环境变量中添加身份验证器网络服务 ID。例如，如果身份验证器网络服务 ID 是 authn-k8s/prd-cluster-01，则需要将其添加到 CONJUR_AUTHENTICATORS 的现有值中，中间用逗号隔开。然后，需要重新启动 Conjur 服务，以使更改生效。这将启用 Conjur 服务器上的身份验证器，并允许 Kubernetes 应用程序向 Follower 负载均衡器进行身份验证。参考：启用身份验证器网络服务，配置身份验证器网络服务

说明
根据 CyberArk Sentry Secrets Manager 文档1，在手动故障切换到灾难恢复站点后，故障恢复到主站点的步骤如下：
在灾难恢复站点上，使用 docker stop 命令停止 Conjur Leader 节点。
在主站点上，使用 evoke seed leader 命令为新的领导者节点生成一个种子
。这将在当前目录下创建一个名为 .tar 的文件。
在主站点上，使用 scp 命令将 Leader 种子文件复制到新的 Leader 服务器上
.tar :.tar
在新的 Leader 服务器上，创建一个与刚才停止的容器同名的新容器，然后使用 docker run -name -d -restart=always 命令加载 Leader 种子文件。
-v /var/log/conjur:/var/log/conjur -v /opt/conjur/backup:/opt/conjur/backup -p "443:443" -p "5432:5432"
-p "1999:1999" cyberark/conjur:latest seed fetch .tar 在新的 Leader 服务器上，使用命令 evoke configure leader 配置 Conjur Leader 节点
-h -p <管理员密码
在新的Leader服务器上，使用命令evoke vault sync set 重新配置Vault Conjur同步器，使其指向新的Conjur Leader。
<conjur 密码
在灾难恢复站点上，使用命令 evoke seed standby 为新的备用节点生成一个种子
。这将在当前目录下创建一个名为 .tar 的文件。
在灾难恢复站点上，使用 scp 命令将备用种子文件复制到新的备用服务器上
.tar :.tar
在新的备用服务器上，创建一个与刚才停止的容器同名的新容器，并使用 docker run -name -d -restart=always 命令加载备用种子文件。
-v /var/log/conjur:/var/log/conjur -v /opt/conjur/backup:/opt/conjur/backup -p "443:443" -p "5432:5432"
-p "1999:1999" cyberark/conjur:latest seed fetch .tar 在新的备用服务器上，使用 evoke cluster enroll 命令将节点重新注册到群集。
新备用-fqdn
其他选项不正确，因为它们要么不必要，要么不正确。不需要联系 CyberArk 获取新的许可证文件，因为许可证对两个站点都有效。重新配置 Vault Conjur 同步器以指向新的 Conjur Leader，这一步骤应在新的 Leader 服务器上完成，而不是在灾难恢复站点上。
触发自动故障切换将站点 A 中的备用节点提升为领导节点是不可能的，因为备用节点不知道手动故障切换，也不会接受提升请求。

说明
= 根据 CyberArk Sentry Secrets Manager 文档，替换方法用于用新策略文件覆盖现有策略分支。该方法适用于对现有资源进行更改，如修改其注释、权限或属性。替换方法会保留与资源相关的现有数据和机密，但会删除新策略文件中未定义的任何资源。因此，要更改 Conjur 主机身份验证的注释，替换方法是最佳选择。
追加方法用于向现有策略分支添加新资源或数据，而不影响现有资源。该方法适用于创建新的主机、组、变量或机密，但不适用于修改现有的主机、组、变量或机密。附加方法将忽略对现有资源（如注释）的任何更改，而只加载新的资源或数据。
删除方法用于从现有策略分支中删除资源或数据，而不影响其他资源。该方法适用于删除主机、组、变量或机密，但不适用于修改它们。删除方法将删除策略文件中定义的任何资源或数据，并忽略策略文件中未定义的任何资源或数据。
update 方法用于修改与现有资源相关联的数据或秘密，而不影响资源本身。该方法适用于更改变量或秘密的值，但不适用于更改资源的注释、权限或属性。更新方法只会加载策略文件中定义的数据或机密，而忽略策略文件中未定义的任何资源或数据。参考资料： = 注释参考资料 | CyberArk 文档；策略加载模式 | CyberArk 文档；策略 - docs.cyberark.com

说明

参考资料
CyberArk Sentry Secrets Manager
文档：https://docs.cyberark.com/Portal/Content/Resources/_TopNav/cc_Portal.htm CyberArk Sentry Secrets Manager 课程材料：https://training.cyberark.com/learn CyberArk 白皮书和技术资源：https://www.cyberark.com/resources/home/cyberark-secrets-manager 验证流程从请求者向 Conjur 提交凭证开始。其形式可以是用户名和密码、API 密钥或其他支持的方法。
Conjur 会根据其内部数据库验证所提交的凭证。如果凭证有效，Conjur 会生成并向请求者返回一个短期访问令牌。
请求者在访问 Conjur 资源的每个后续请求中都包含访问令牌。这样，Conjur 就能识别请求者，并根据配置的策略授权他们访问特定的机密和功能。
最后，每个请求都要根据其策略中定义的 Conjur RBAC（基于角色的访问控制）规则进行评估。这些规则决定了哪些用户和角色可以访问特定资源，以及他们可以执行哪些操作。只有符合这些规则的请求才会被允许访问。

说明
正确的 CCP Web 服务升级过程是 D. 卸载并重新安装 CCP Web 服务。CCP Web 服务是 CyberArk Central Credential Provider (CCP) 的一个组件，使应用程序能够使用 REST API 调用从 CyberArk Vault 检索机密。要升级 CCP Web 服务，首先需要从 Windows 服务器管理器或控制面板卸载现有的 CCP Web 服务，然后使用 CyberArk 网站上的最新安装包重新安装 CCP Web 服务。安装包包含凭证提供程序和 CCP Web 服务组件，您需要运行 AimWebService.msi 文件来安装 CCP Web 服务。您还需要确保 CCP Web 服务具有正确的配置和权限，并从 CCP 服务器打开 CyberArk CRL（证书吊销列表）。
其他选项都不是升级 CCP Web 服务的正确过程。从 CLI 运行 "sudo yum update aimprv "是在 Linux 上更新凭证提供程序的命令，而不是在 Windows 上更新 CCP Web 服务的命令。双击 "凭证提供程序 "安装程序可执行文件并选择 "升级 "是在 Windows 上升级凭证提供程序的过程，而不是 CCP Web 服务。双击 AimWebService.msi 并选择升级不是一个有效选项，因为 CCP Web 服务不支持升级选项，您需要先卸载它，然后再重新安装。参考 = 升级中央凭证提供程序 (CCP)--CyberArk，"升级中央凭证提供程序 (CCP) "部分 中央凭证提供程序网络服务配置--CyberArk，"中央凭证提供程序网络服务配置 "部分

说明
Conjur 追随者是领导者的只读副本，可以为客户端的身份验证、授权和秘密检索请求提供服务。但是，追随者不能执行写操作，如创建或更新秘密、策略或角色。如果 "领导者 "不可用，"追随者 "将无法同步最新数据，最终会变得陈旧。为确保高可用性和数据一致性，客户应将自动故障转移群集扩展到每个数据中心的备用群集。备用机也是领导者的副本，但它们可以参与复制和推广。其中一个备用机配置为同步复制，这意味着它与领导机同时接收相同的更新。其他备用机配置为异步复制，这意味着它们会定期接收来自领导者的更新，但不是实时更新。如果领导者发生故障，同步备用机可自动升级为新的领导者，其中一个异步备用机可成为新的同步备用机。这样，客户就能确保始终有一个最新的领导者，可以为写入请求提供服务，并与不同数据中心的跟随者同步。参考资料：设置跟随者、设置自动故障转移群集、Conjur 架构和部署参考