CKS Practice Exam 02는 시간 제약 아래 Kubernetes 보안 기술을 적용하는 두 번째 독립 실습 평가입니다. CKS에 맞춘 6개 영역의 독립 챌린지 20개로 구성되며 권장 총 시간은 120분입니다. 각 과제는 5점이고 67점은 LabEx의 모의 합격 기준입니다.
Practice Exam 01과는 다른 운영 시나리오를 다룹니다. 메타데이터 유사 endpoint로의 egress 보호, API proxy 권한 제한, 호스트 서비스 및 로그 접근 강화, 신뢰 registry admission, 오프라인 release signature 검증, build secret 없는 이미지, Helm 출력 분석, incident containment입니다. 각 새 환경에서 안내형 풀이 없이 요구된 최종 상태를 만들고 증명해야 합니다.
학습 내용
- DNS와 승인 서비스를 유지하면서 메타데이터, tenant, 의심 endpoint를 차단하는 정밀 egress policy 만들기
- wildcard 권한이나 유출된 identity 접근을 좁은 RBAC와 안전한 ServiceAccount token 동작으로 교체하기
- 전용 debug service를 비활성화하고 최소 권한 로그 접근을 적용해 호스트 공격 표면 줄이기
- Pod Security 경계를 적용하고 노출된 Secret을 교체하며 위험한 hostPath 저장소 제거하기
- 네이티브 admission policy로 승인된 이미지 registry를 강제하고 서명된 release를 오프라인 검증하기
- runtime image에서 build credential을 제거하고 Helm 렌더링 manifest를 KubeLinter로 수정하기
- 제한된 audit, workload, runtime 증거를 연계해 policy를 복구하고 침해 활동 차단하기
추천 대상
이 과정은 또 하나의 완전한 CKS 스타일 실전 세트가 필요하거나 독립적인 복구 능력을 엄격히 점검하려는 Kubernetes 관리자, 플랫폼 엔지니어, 보안 실무자를 위한 과정입니다. 단계별 안내 없이 실제 Kubernetes와 Linux 상태를 진단할 수 있어야 합니다.
선수 지식: kubectl, YAML, workload, networking, RBAC, ServiceAccount, Linux 서비스 및 파일 권한 기본 명령을 능숙하게 사용하는 CKA 수준의 Kubernetes 관리 역량이 필요합니다. Practice Exam 01이나 특정 LabEx CKA 과정을 먼저 완료할 필요는 없습니다.
학습 환경: 브라우저에서 접근 가능한 20개의 격리된 Ubuntu 22.04 VM이며, 각 VM에는 단일 노드 Kubernetes v1.34 환경이 준비되어 있습니다. 과제별 manifest, 인증서, finding, signature, public key, Helm chart, scan data, checksum, audit extract, local image가 해당 VM에 제공되며 외부 registry나 실제 incident source는 필요하지 않습니다.
자주 묻는 질문
Practice Exam 02는 Practice Exam 01의 후속 과정인가요?
아닙니다. 같은 주요 보안 영역을 다른 시나리오로 다루는 독립적인 전체 실전 세트입니다. 어느 과정부터 시작해도 되며 상태나 파일을 공유하지 않습니다.
공식 CKS 시험인가요?
아닙니다. LabEx의 독립 학습 자료입니다. 120분 권장 시간, 100점 척도, 67점 기준은 모의 연습 설정이며 공식 자격 결과를 제공하지 않습니다.
실제 admission, host, runtime 제어를 사용하나요?
그렇습니다. RBAC, NetworkPolicy, Pod Security admission, ValidatingAdmissionPolicy, systemd 상태, Linux 권한, 실행 중인 workload를 다룹니다. 위험한 외부 의존성은 통제된 local endpoint, 준비된 artifact, 제한된 audit evidence로 대체됩니다.
registry, signature, scanner 과제에 인터넷이 필요한가요?
필요하지 않습니다. 승인 image는 local 또는 cache 상태이고 signature 자료는 offline verification용으로 제공되며 Helm/KubeLinter 입력도 VM 안에 있습니다. registry policy는 remote pull 대신 server-side dry run으로 검증합니다.
