Afkodning af vanskelige scenariebaserede spørgsmål

Spørgsmålene i SCS-C02 er hovedsageligt scenarier: Et afsnit beskriver en situation og spørger efter den bedste handling. Ofte vil flere valgmuligheder teknisk set fungere.

Din opgave er at finde det mest sikre, mindst privilegerede og AWS-anbefalede svar, ikke blot et svar, der kan fungere.

Gennemgå de vigtigste krav, før du ser på valgmulighederne: "mindst mulig driftsmæssig indsats", "uden at administrere servere", "mest omkostningseffektive", "uden at eksponere nøgler".

Disse præciseringer udelukker ellers korrekte svar. Understreg dem mentalt; de er det egentlige spørgsmål.

Når to svar giver adgang, er det svar, der giver mindre adgang, som regel korrekt.

• Afgrænset rolle frem for bred rolle.
• Specifik ressource frem for et jokertegn.
• Midlertidige legitimationsoplysninger frem for langsigtede nøgler.

Mindst mulige rettigheder er eksamenens standardprincip.

AWS belønner administrerede tjenester og automatisering frem for manuelt arbejde.

• Rotation i Secrets Manager frem for et manuelt script.
• SSM Session Manager frem for en bastion, du selv driver.
• Automatisk afhjælpning med EventBridge frem for en person på vagt.

"Mindst mulig driftsmæssig indsats" peger i denne retning.

Frasortér hurtigt svar, der:

• Bruger root-kontoen til rutinearbejde.
• Indlejrer langsigtede nøgler i kode.
• Åbner 0.0.0.0/0 uden behov.
• Deaktiverer kryptering eller logning.

Disse er næsten aldrig korrekte.

Fristende afledningssvar nævner en reel tjeneste, som ikke helt passer.

For eksempel GuardDuty (detektion), når spørgsmålet kræver Macie (dataopdagelse), eller NACLs, når der menes en sikkerhedsgruppe med tilstandshåndtering. Knyt tjenesten til dens præcise formål.

Spørgsmål om konti på tværs af konti og KMS tester, om du husker, at begge sider skal tillade adgang.

Et svar, der kun retter tillidspolitikken, men ikke den kaldende parts IAM-tilladelse (eller kun nøglepolitikken, men ikke IAM), er ufuldstændigt. Se efter den valgmulighed, der dækker begge dele.

Husk disse små, men afprøvede fakta:

• CloudFront-certifikater skal være i us-east-1.
• Du kan ikke kryptere en eksisterende diskenhed på stedet; kopiér et snapshot.
• Hvis du deler et krypteret snapshot, skal KMS-nøglen også deles.

Med begrænset tid skal du ikke bruge for meget tid på ét svært spørgsmål.

• Udeluk de tydeligt forkerte valgmuligheder, vælg det bedste svar, og markér spørgsmålet til gennemgang.
• Nemme spørgsmål giver lige så mange point som svære.

Hold et tempo, der giver dig mulighed for at nå alle spørgsmål.

Hold øje med udsagnsordene i spørgsmålet. "Forebyg" eller "blokér" peger på forebyggende kontroller (SCP'er, sikkerhedsgrupper og afvisninger i bucket-politikker).

"Opdag", "alarmér" eller "undersøg" peger på afslørende kontroller (GuardDuty, Config, CloudTrail og Detective). Når du matcher udsagnsordet med kontroltypen, kan du hurtigt indsnævre det rigtige svar.

For hvert scenarie skal du identificere det centrale krav, notere kvalificerende oplysninger, udelukke usikre eller overdrevne valgmuligheder og vælge det mindst privilegerede, administrerede svar.

Denne metode forvandler afskrækkende afsnit til en klar beslutning.

Du lærte at afkode scenarier.

• Læs de kvalificerende oplysninger, der indsnævrer svaret.
• Foretræk mindst privilegerede, administrerede og automatiserede valgmuligheder.
• Udeluk usikre valg, og husk faldgruber med tilladelser i begge retninger og regioner.