Em um projeto de consolidação de infraestrutura para uma
instituição financeira, a equipe de arquitetura precisa definir a
plataforma de execução para uma nova aplicação de
High-Frequency Trading (HFT). A aplicação exige latência mínima
e garantias estritas de isolamento de segurança entre os
ambientes de diferentes clientes. Durante a análise técnica das
opções de virtualização baseada em hipervisores e de
conteinerização, o arquiteto responsável avaliou os mecanismos
de interação com o processador e o gerenciamento de chamadas
de sistema (syscalls).
Considerando as características arquiteturais e os modos de
execução dessas tecnologias, é correto afirmar que:

Question

Em um projeto de consolidação de infraestrutura para uma
instituição financeira, a equipe de arquitetura precisa definir a
plataforma de execução para uma nova aplicação de
High-Frequency Trading (HFT). A aplicação exige latência mínima
e garantias estritas de isolamento de segurança entre os
ambientes de diferentes clientes. Durante a análise técnica das
opções de virtualização baseada em hipervisores e de
conteinerização, o arquiteto responsável avaliou os mecanismos
de interação com o processador e o gerenciamento de chamadas
de sistema (syscalls).
Considerando as características arquiteturais e os modos de
execução dessas tecnologias, é correto afirmar que:  Alternativa A: a arquitetura de contêineres em Linux supera as limitações de
segurança do compartilhamento de kernel ao implementar
namespaces de usuário (User Namespaces) que mapeiam o
usuário root do contêiner para um usuário não privilegiado
no host, garantindo um isolamento de falhas e de superfície
de ataque idêntico ao proporcionado pelas instruções de
virtualização assistida por hardware (VT-x/AMD-V) das
máquinas virtuais; Ou Alternativa B: o monitor de máquinas virtuais (VMM), nos hipervisores do
Tipo 1 (Bare Metal), opera em um modo de alto privilégio da
CPU (como o VMX root mode), enquanto os sistemas
operacionais convidados executam em um modo
desprivilegiado, o que obriga a ocorrência de uma troca de
contexto (VM Exit) sempre que o convidado tenta executar
instruções sensíveis que alteram o estado global do sistema; Ou Alternativa C: os hipervisores do Tipo 2 diferenciam-se dos do Tipo 1
principalmente pela capacidade de delegar a gestão de
memória e o escalonamento de CPU diretamente ao
hardware através de passthrough, sem a necessidade de
intervenção do sistema operacional hospedeiro, o que
elimina o overhead de tradução de endereços de memória
característico das soluções Bare Metal; Ou Alternativa D: a paravirtualização é uma técnica de otimização em que o
hipervisor apresenta ao sistema operacional convidado uma
cópia idêntica e não modificada do hardware subjacente,
exigindo que o hipervisor intercepte e emule, via software,
todas as instruções privilegiadas, independentemente do
suporte de hardware para virtualização; Ou Alternativa E: os contêineres, diferentemente das máquinas virtuais, que
virtualizam o hardware para criar ambientes isolados,
realizam a virtualização no nível da aplicação através da
duplicação da camada de kernel do sistema operacional
hospedeiro para cada instância, permitindo que cada
contêiner carregue seus próprios módulos de kernel e drivers
de dispositivo.

Qconcursos · Accepted Answer

Alternativa [B] o monitor de máquinas virtuais (VMM), nos hipervisores do
Tipo 1 (Bare Metal), opera em um modo de alto privilégio da
CPU (como o VMX root mode), enquanto os sistemas
operacionais convidados executam em um modo
desprivilegiado, o que obriga a ocorrência de uma troca de
contexto (VM Exit) sempre que o convidado tenta executar
instruções sensíveis que alteram o estado global do sistema; Gabarito: BFundamento decisivo: A distinção decisiva era a arquitetura de virtualização por hardware: no hipervisor, o VMM atua em modo privilegiado e o convidado em modo não root, com VM exit quando executa operação sensível interceptada.Tema central: Modos de virtualizaçãoAnálise das alternativasAErradaEstá errada porque transforma uma mitigação em equivalência arquitetural. User namespaces reduzem risco ao mapear o root do contêiner para usuário não privilegiado no host, mas contêineres continuam compartilhando o kernel do hospedeiro; por isso, não se pode afirmar isolamento de falhas e superfície de ataque idêntico ao de VMs com VT-x/AMD-V.BCertaA alternativa B está correta porque descreve o funcionamento compatível com a virtualização por hardware. Quando o guest tenta executar instrução ou operação sensível configurada para interceptação, ocorre VM exit para tratamento pelo VMM. Esse é o critério arquitetural cobrado na questão.CErradaEstá errada porque inverte a distinção entre hipervisor tipo 1 e tipo 2. O tipo 2 executa sobre um sistema operacional hospedeiro, portanto não tem como traço principal uma delegação direta ao hardware sem intervenção do host; além disso, a alternativa também erra ao dizer que isso eliminaria o overhead de tradução de endereços atribuído às soluções bare metal.DErradaEstá errada porque descreve virtualização plena, não paravirtualização. Paravirtualização pressupõe cooperação do sistema convidado com a camada de virtualização, por meio de interfaces específicas, e não a apresentação de hardware idêntico e não modificado para um guest não alterado.EErradaEstá errada porque contradiz o modelo de contêineres. Contêineres não duplicam a camada de kernel para cada instância, não possuem kernel próprio por contêiner e não carregam módulos e drivers de kernel independentes; eles compartilham o kernel do host.Pegadinha da questãoA questão explora confusões clássicas: tratar contêiner como se tivesse isolamento equivalente ao de VM, confundir paravirtualização com virtualização plena e supor que isolamento de espaço de usuário signifique kernel separado por instância.Dica para questões semelhantesSe a alternativa atribuir a contêiner kernel próprio por instância, ela contraria o modelo básico de contêinerização em Linux.Se a alternativa disser que mecanismos de contêiner tornam seu isolamento idêntico ao de VM por hardware, verifique se ainda há compartilhamento de kernel; se houver, a equivalência é indevida.Para hipervisores com VT-x/AMD-V, procure a tríade correta: hipervisor em modo privilegiado de virtualização, guest em modo não root e VM exit para operações sensíveis interceptadas.Na distinção entre tipo 1 e tipo 2, o ponto central é a dependência estrutural do sistema operacional hospedeiro no tipo 2.

🚀 Mais performance?

🚀 Mais performance?

Em um projeto de consolidação de infraestrutura para uma in...

Gabarito comentado

Gabarito: B

Clique para visualizar este gabarito

Questões de assuntos semelhantes

Provas relacionadas