Guía de estudio · Resumen
ACE Associate Cloud Engineer
Lo esencial de cada dominio del examen, con los servicios que más preguntan. Toca un servicio para ver su detalle.
Asociado~60 min de lectura4 dominios
Qué cubre el examen
D1 · ~20% del examen
Configurar un entorno de solución en la nube
Jerarquía de recursos y proyectos
Organización
Nodo raíz, ligado a un dominio de Cloud Identity o Google Workspace
Carpetas
Agrupan proyectos por área o entorno; pueden anidarse
Proyectos
Contienen los recursos, las APIs habilitadas y el vínculo de facturación
Recursos
VMs, buckets, bases de datos y demás
| Tarea | Cómo |
|---|---|
| Habilitar una API | gcloud services enable compute.googleapis.com |
| Restaurar un proyecto borrado | gcloud projects undelete (se elimina por completo a los 30 días) |
| Ver cuotas y pedir aumentos | Página de cuotas de la consola; son por proyecto y región |
| Inventario de recursos | Cloud Asset Inventory; Gemini Cloud Assist para analizarlo |
| Verificar disponibilidad | No todos los productos están en todas las regiones y zonas |
Un proyecto borrado queda en soft delete y sigue contando contra tu cuota de proyectos hasta que se elimina por completo, a los 30 días.
Políticas de organización
IAM dice quién puede hacer algo; las políticas de organización dicen qué configuraciones se permiten, sin importar quién lo intente. También se heredan por la jerarquía.
| Restricción | Efecto |
|---|---|
| gcp.resourceLocations | Limita en qué ubicaciones se crean recursos |
| compute.vmExternalIpAccess | Define qué VMs pueden tener IP externa |
| iam.allowedPolicyMemberDomains | Domain restricted sharing: solo identidades de dominios permitidos |
| iam.disableServiceAccountKeyCreation | Impide crear claves de cuentas de servicio |
Google ofrece versiones administradas de varias restricciones, como iam.managed.disableServiceAccountKeyCreation y iam.managed.allowedPolicyMembers.
Identidades de usuarios y grupos
Los usuarios y grupos se administran en Cloud Identity (manualmente o de forma automática). Si la empresa ya usa otro proveedor de identidad, Workforce Identity Federation permite entrar con SSO sin sincronizar cuentas.
Toca un servicio para ver su detalle.
Facturación
Toca un servicio para ver su detalle.
Un presupuesto de solo alertas no detiene el gasto. Para un tope real hay spend cap budgets, que pausan los servicios compatibles hasta que levantes el límite.
Observabilidad y redes desde el inicio
El temario también incluye preparar Google Cloud Observability (Logging y Monitoring) y la red base del entorno. Ambos se ven a fondo en los dominios 2 y 3.
D2 · ~30% del examen
Planificar e implementar una solución
Elegir el cómputo
Toca un servicio para ver su detalle.
| Servicio | Qué administras |
|---|---|
| Compute Engine | La VM completa: SO, parches, escalado (con MIG) |
| GKE Standard | Los nodos y node pools |
| GKE Autopilot | Solo los Pods y sus solicitudes de recursos |
| Cloud Run | El contenedor |
| Cloud Run functions | Solo el código |
Para un MIG con autoescalado: plantilla de instancia + grupo administrado (regional reparte VMs entre zonas). Spot VMs para cargas tolerantes a fallas; tipos de máquina personalizados para ajustar CPU y memoria.
Almacenamiento y datos
Toca un servicio para ver su detalle.
| Otros productos del temario | Para qué |
|---|---|
| AlloyDB | PostgreSQL compatible, con motor columnar para analítica |
| Memorystore | Caché en memoria: Valkey, Redis y Redis Cluster (Memcached en desuso) |
| Pub/Sub | Mensajería asíncrona entre servicios |
| Dataflow | Procesamiento de datos batch y streaming |
| Managed Service for Apache Kafka | Kafka administrado |
| Filestore / NetApp Volumes / Managed Lustre | Almacenamiento de archivos |
| Storage Transfer Service | Mover grandes volúmenes hacia Cloud Storage |
Redes
Toca un servicio para ver su detalle.
| Network Service Tier | Ruta | SLA | Alcance |
|---|---|---|---|
| Premium (predeterminado) | Red de Google | 99.99% | Global |
| Standard | Internet pública / ISP | 99.9% | Solo regional |
| Balanceador | Tráfico | IP del cliente |
|---|---|---|
| Application LB | HTTP / HTTPS | No se conserva por defecto |
| Proxy Network LB | TCP (descarga SSL opcional) | No se conserva por defecto |
| Passthrough Network LB | TCP, UDP, ESP, ICMP y más | Se conserva |
Herramientas: IaC y asistencia con IA
| Categoría | Herramientas del temario |
|---|---|
| Infraestructura como código | Terraform, Fabric FAST, Config Connector, Helm |
| Asistencia con IA | Gemini CLI, Google Antigravity, Gemini Cloud Assist, Application Design Center |
D3 · ~30% del examen
Asegurar la operación de la solución
Operar el cómputo
| Tarea | Detalle clave |
|---|---|
| Snapshots | Incrementales; se restauran creando un disco nuevo; se pueden programar |
| SSH a VMs privadas | IAP: firewall desde 35.235.240.0/20 y rol IAP-secured Tunnel User |
| Node pools de GKE | Agregar, editar, quitar y autoescalar sin tocar los nodos existentes |
| Autoescalado en GKE | HPA = réplicas, VPA = solicitudes de cada Pod, cluster autoscaler = nodos |
| Versiones en Cloud Run | Revisión nueva sin tráfico y luego división gradual |
| GPUs y TPUs | Se adjuntan a VMs o nodos según la carga |
| Entornos de desarrollo | Cloud Workstations; notebooks en Workbench y BigQuery |
Toca un servicio para ver su detalle.
Operar almacenamiento y datos
| Clase de Cloud Storage | Acceso típico | Duración mínima |
|---|---|---|
| Standard | Frecuente | Ninguna |
| Nearline | Una vez al mes o menos | 30 días |
| Coldline | Como máximo una vez por trimestre | 90 días |
| Archive | Menos de una vez al año | 365 días |
| Tarea | Detalle clave |
|---|---|
| Ciclo de vida | Reglas para cambiar de clase o borrar objetos según antigüedad |
| Soft delete | 7 días por defecto, configurable de 7 a 90 |
| Bucket Lock | Bloquear la retención es irreversible; solo se puede ampliar |
| Backups de bases | Cloud SQL, Firestore, Spanner, AlloyDB y Bigtable |
| PITR de Cloud SQL | Siempre crea una instancia nueva |
| Costos de BigQuery | Dry run para estimar; LIMIT no reduce lo leído en tablas no agrupadas |
| Flota de bases | Database Center |
| Cifrado | Claves administradas por el cliente (CMEK) |
Operar la red
Toca un servicio para ver su detalle.
| Tarea | Detalle clave |
|---|---|
| Ampliar una subred | gcloud compute networks subnets expand-ip-range; no se puede reducir |
| IP estáticas | Reservar IP externas o internas |
| Rutas | Rutas estáticas personalizadas en la VPC |
| DNS | Cloud DNS |
| APIs de Google sin IP externa | Private Google Access, se activa por subred |
Monitoreo y logging
Toca un servicio para ver su detalle.
| Log de auditoría | ¿Activo por defecto? | ¿Se desactiva? |
|---|---|---|
| Admin Activity | Siempre | No |
| System Event | Siempre | No |
| Data Access | No (salvo BigQuery) | Sí |
| Policy Denied | Sí | No, pero se puede excluir del almacenamiento |
| Herramienta de diagnóstico | Para qué |
|---|---|
| Cloud Trace | Latencia de las solicitudes entre servicios |
| Cloud Profiler | Uso de CPU y memoria por función del código |
| Query Insights | Consultas lentas en bases de datos |
| Personalized Service Health | Incidentes de Google Cloud que afectan tus proyectos |
| Active Assist | Recomendaciones para optimizar recursos |
| Cloud Hub | Eventos activos y salud de las aplicaciones |
D4 · ~20% del examen
Configurar acceso y seguridad
Administrar IAM
Toca un servicio para ver su detalle.
| Tipo de rol | Cuándo usarlo |
|---|---|
| Básico (Owner, Editor, Viewer) | Evitarlo en producción salvo que no haya alternativa |
| Predefinido | La opción preferida: permisos de un servicio concreto |
| Personalizado | Cuando ningún predefinido se ajusta; se crea en la organización o en un proyecto |
Las políticas de denegación se evalúan antes que las de permiso y se heredan. Un deny en la organización bloquea el permiso aunque un rol lo conceda más abajo.
Cuentas de servicio
| Rol o mecanismo | Qué permite |
|---|---|
| Service Account User | Adjuntar una cuenta de servicio a un recurso (VM, Cloud Run) |
| Service Account Token Creator | Suplantar la cuenta y crear credenciales de corta duración |
| Token de acceso corto | 1 hora por defecto; hasta 12 horas con una política de organización |
| Cuenta adjunta | El código obtiene credenciales sin claves |
| Workload Identity Federation for GKE | Permisos de Google Cloud para Pods |
Los scopes de acceso son el método heredado. La práctica recomendada es usar el scope cloud-platform en la VM y controlar los permisos con IAM sobre la cuenta de servicio.
Evita las claves de cuentas de servicio: usa cuentas adjuntas, suplantación o federación, y bloquea su creación con una política de organización.
Tips para el día del examen
- Jerarquía: organización > carpetas > proyectos > recursos. IAM se hereda hacia abajo; para quitar un permiso heredado se usa una política de denegación.
- Roles básicos (evitar en producción), predefinidos (preferidos) y personalizados (solo en organización o proyecto, nunca en carpeta).
- Un presupuesto de solo alertas no detiene el gasto. Los spend cap budgets pausan servicios compatibles; también se puede automatizar con Pub/Sub.
- Compute Engine = control total. GKE Autopilot = Kubernetes sin nodos. Cloud Run = contenedores que escalan a cero. Cloud Run functions = código por eventos.
- Las plantillas de instancia son inmutables. Para cambiar un MIG: plantilla nueva + rolling update.
- VPC global, subredes regionales. El rango de una subred se amplía pero no se reduce. Peering no es transitivo.
- Firewall: número de prioridad menor gana; a igual prioridad, deny gana. Implícito: deniega entrada, permite salida.
- Cloud SQL = relacional regional. Spanner = relacional global (99.999%). Firestore = documentos para apps. Bigtable = clave-valor masivo. BigQuery = analítica SQL.
- Cloud Storage: Nearline 30 días, Coldline 90, Archive 365. Soft delete conserva objetos borrados 7 días por defecto.
- Service Account User = adjuntar una cuenta a un recurso. Token Creator = suplantarla y crear credenciales cortas (1 h por defecto, hasta 12 h).
Pon a prueba lo que aprendiste de ACE
Preguntas originales, cada una con su explicación.
Empezar un simulacro¿Te fue útil esta guía?