Professional Cloud Security Engineer（Google Cloud） 問題集

正解: D

正解の理由
公式の「Identifying clients for rate limiting」は、HTTP_HEADER は設定した名前のヘッダーの値ごとに一意のキーを作り（値は先頭 128 バイトに切り詰める）、そのヘッダーが無い場合や外部プロキシ ネットワーク ロードバランサで使おうとした場合は、キーの種類が ALL になると書いている。ヘッダーを持たない要求はすべて ALL の1つのカウンタにまとめて数えられる。

違う選択肢
「ヘッダーがない要求は個別のランダムキーになる」…要求ごとにランダムキーを作る仕様ではない。
「ヘッダーがない要求は制限評価から除外される」…ヘッダー欠落はレート制限の対象外を意味しない。
「ヘッダーがない要求はIPキーとして集計される」…欠落時にIPへフォールバックするのは別のキー種別の挙動である。

押さえどころ
クライアントがヘッダーを省略・変更できるかを検討する。正常系の値ごとの動作だけでなく、欠落や長い値を使った集計も試験する。