Gemischte Mini-Prüfung über alle Bereiche

Diese abschließende Lektion enthält 10 Szenariofragen aus verschiedenen Themenbereichen, die alle vier SAA-C03-Domänen abdecken: sichere Architekturen, ausfallsichere Architekturen, leistungsstarke Architekturen und kostenoptimierte Architekturen. Jede Aufgabe beschreibt ein Szenario mit vier Antwortmöglichkeiten, gefolgt von der richtigen Antwort und einer Erklärung. Behandeln Sie jede Frage als zeitlich begrenzte Herausforderung – planen Sie zwei Minuten pro Frage ein. Nutzen Sie die Schlüsselwort- und Ausschlusstechniken aus den vorherigen Lektionen. Am Ende prüft der Kurztest ein abschließendes Szenario.

F1 (Domäne 1): Eine EC2-Instance muss auf S3 zugreifen, ohne langfristige Anmeldeinformationen zu speichern. Beste Lösung: Weisen Sie über ein Instance Profile eine IAM-Rolle zu. Die Anwendung ruft automatisch temporäre Anmeldeinformationen vom Instance Metadata Service ab – es werden nirgendwo Schlüssel gespeichert.

F2 (Domäne 1): Ein Entwickler hat versehentlich IAM-Zugriffsschlüssel in ein öffentliches GitHub-Repository übertragen. Was ist die ERSTE Maßnahme? Antwort: Deaktivieren und löschen Sie das offengelegte Zugriffsschlüsselpaar sofort. Angreifer können über automatisierte Scanner innerhalb von Sekunden auf offengelegte GitHub-Schlüssel stoßen und diese verwenden. Das Löschen des Repositorys oder die Rotation des Schlüssels dauert zu lange – der alte aktive Schlüssel muss zuerst ungültig gemacht werden.

F3 (Domäne 2): Eine Lambda-Funktion, die SQS-Bestellungen verarbeitet, schlägt in 5 % der Fälle fehl. Bestellungen gehen verloren. Wie lässt sich das beheben? Antwort: Konfigurieren Sie eine Dead-Letter Queue (DLQ) mit maxReceiveCount=3. Fehlgeschlagene Nachrichten bleiben zur Untersuchung erhalten, anstatt nach Ablauf des Sichtbarkeitstimeouts zu verschwinden.

F4 (Domäne 2): Ein Unternehmen benötigt eine Disaster-Recovery-Lösung für RDS mit einem RPO von 1 Stunde, einem RTO von 4 Stunden und einem moderaten Budget. Antwort: Pilot Light – replizieren Sie RDS mithilfe eines regionsübergreifenden Read Replicas in eine zweite Region. Im Katastrophenfall stufen Sie das Replica zu einer eigenständigen Datenbank hoch und starten die Anwendungsserver aus vorbereiteten AMIs.

F5 (Domäne 3): Eine Anwendung benötigt weltweit eine Latenz im einstelligen Millisekundenbereich für Schlüssel-Wert-Abfragen bei 1 Million Schreibvorgängen pro Sekunde. Antwort: Amazon DynamoDB mit dem On-Demand-Kapazitätsmodus und Global Tables für die aktive-aktive Replikation über mehrere Regionen.

F6 (Domäne 3): Ein Content-Management-System benötigt ein gemeinsam genutztes Dateisystem, auf das 20 EC2-Linux-Instances gleichzeitig zugreifen können. Antwort: Amazon EFS. EFS unterstützt Tausende gleichzeitig eingebundener Dateisysteme mit einem POSIX-konformen gemeinsamen Namensraum. EBS kann jeweils nur auf einer Instance mit Lese- und Schreibzugriff eingebunden werden (Multi-Attach ist eingeschränkt). Ein selbst verwaltetes NFS verursacht zusätzlichen Betriebsaufwand.

F7 (Domäne 4): Ein Unternehmen führt Video-Transcodierungsjobs aus, die 2–4 Stunden dauern, Unterbrechungen mit einem Neustart am letzten Checkpoint tolerieren und kontinuierlich ausgeführt werden. Welches Preismodell ist am besten geeignet? Antwort: EC2 Spot Instances, wobei AWS Batch die Wiederholungsversuche verwaltet. Spot bietet einen Rabatt von bis zu 90 % – den maximalen Rabatt für unterbrechungstolerante Batch-Workloads.

F8 (Domäne 4): Ein Python-Skript läuft jede Nacht um 2 Uhr 20 Minuten lang auf einer t3.micro-EC2-Instance, die rund um die Uhr läuft. Wie lassen sich die Kosten minimieren? Antwort: Verschieben Sie das Skript in eine Lambda-Funktion, die durch eine geplante EventBridge-Regel ausgelöst wird, und beenden Sie die EC2-Instance. Lambda für 20 Minuten pro Nacht kostet weniger als 0,01 $ pro Monat gegenüber 7,49 $ pro Monat für eine dauerhaft laufende t3.micro.

F9 (Gemischt): Ein Unternehmen muss erzwingen, dass ALLE AWS-Ressourcen in einer Organisation mit 50 AWS-Konten ausschließlich in eu-central-1 erstellt werden. Antwort: Erstellen Sie eine Service Control Policy (SCP), die Aktionen ablehnt, wenn RequestedRegion nicht eu-central-1 ist, und hängen Sie sie an die Organisations-Stammstruktur an. SCPs gelten gleichzeitig für alle IAM-Entitäten, einschließlich Root-Benutzer, in sämtlichen Mitgliedskonten.

F10 (Gemischt): Ein Startup entwickelt eine REST-API, die Benutzer authentifizieren, Daten speichern und 1 Million Anfragen pro Tag verarbeiten muss – ohne Infrastrukturverwaltung. Antwort: API Gateway HTTP API + Lambda + Cognito User Pool + DynamoDB On-Demand. Dies ist ein vollständig serverloser Stack mit den niedrigsten Kosten, ohne Kapazitätsplanung oder zu verwaltende Server.

Schnellreferenz für die am häufigsten verwechselten SAA-C03-Serviceentscheidungen:

• Privater, kostenloser S3-Zugriff aus einer VPC → S3 Gateway Endpoint
• Gemeinsam genutztes POSIX-Dateisystem, Linux → Amazon EFS
• Windows-SMB-Freigaben → FSx for Windows File Server
• Mehrere Consumer, gleicher Stream, Replay → Kinesis Data Streams
• Exakt einmal zugestellte, geordnete Warteschlange → SQS FIFO
• Fan-out an viele Abonnenten → SNS
• Ereignisweiterleitung auf Inhaltsbasis → EventBridge
• Mehrstufiger Workflow mit Fehlerbehandlung → Step Functions
• Serverloses ETL → AWS Glue
• Ad-hoc-SQL auf S3 → Athena

Zusammenfassung des Frameworks zur Auswahl von Datenbanken für die Prüfung:

• ACID-relational, verwaltet → Amazon RDS oder Aurora
• Schlüssel-Wert-Zugriffe im einstelligen Millisekundenbereich bei hoher Skalierung → DynamoDB
• In-Memory-Cache, Sitzungsspeicher → ElastiCache Redis oder Memcached
• Komplexe SQL-Analysen auf Petabyte-Datenmengen → Amazon Redshift
• Graphbeziehungen, Betrugserkennung → Amazon Neptune
• Zeitreihendaten aus dem IoT → Amazon Timestream
• Suche und Volltextabfragen → Amazon OpenSearch Service
• Dokumente / JSON, MongoDB-kompatibel → Amazon DocumentDB

Wenn Sie unsicher sind, wählen Sie den Service, dessen primärer Verwendungszweck exakt den genannten Anforderungen des Workloads entspricht.

Zusammenfassung der Auswahl von DR-Strategien für die Prüfung:

• Höchstes toleriertes RTO/RPO, niedrigste Kosten → Backup and Restore (S3-Snapshots + AWS Backup)
• Moderates RTO (Stunden), niedrige Kosten → Pilot Light (nur replizierte Datenbank in der DR-Region, Server werden im Katastrophenfall gestartet)
• Niedrigeres RTO (Minuten), verkleinerte Kopie → Warm Standby (reduzierte Flotte läuft in der DR-Region)
• Nahezu null RTO, höchste Kosten → Multi-Site Active-Active (vollständige Produktionskapazität in mindestens zwei Regionen, Latenz-Routing mit Route 53)

Hinweis für die Prüfung: Je kürzer RTO und RPO sind, desto teurer ist die DR-Strategie. In den Fragen werden RTO-/RPO-Ziele genannt – ordnen Sie sie der passenden Stufe zu.

Schnellreferenz für Fragen zu Verschlüsselung und Compliance:

• S3-Objekte mit einem von AWS verwalteten Schlüssel verschlüsseln → SSE-S3 (AES-256, kostenlos)
• S3 mit Kundenkontrolle und Audit-Funktionen verschlüsseln → SSE-KMS (CMK, KMS-API-Aufrufe werden in CloudTrail protokolliert)
• EBS/RDS/EFS im Ruhezustand verschlüsseln → KMS CMK (bei RDS muss dies bei der Erstellung aktiviert werden)
• TLS-Zertifikate für ALB/CloudFront → AWS Certificate Manager (ACM, kostenlos für öffentliche Zertifikate)
• Datenbankanmeldeinformationen automatisch rotieren → AWS Secrets Manager
• Alle API-Aufrufe im Konto auditieren → AWS CloudTrail
• Bedrohungen in Echtzeit erkennen → Amazon GuardDuty
• PII in S3 finden → Amazon Macie
• Angriffe aus den OWASP Top 10 blockieren → AWS WAF
• DDoS-Schutz → AWS Shield (Standard kostenlos, Advanced kostenpflichtig)

Schnellreferenz zu den 7 Rs der Migration:

• Rehost (Lift-and-Shift) → AWS MGN, schnellste Migration
• Replatform → RDS statt MySQL auf EC2, geringster Betriebsaufwand
• Refactor → Lambda + DynamoDB, größter Cloud-Nutzen
• Repurchase → SaaS-Ersatz für eine Legacy-Anwendung
• Retire → nicht verwendete Anwendungen außer Betrieb nehmen
• Retain → vorerst lokal weiterbetreiben
• Relocate → VMware Cloud on AWS

Serverless-Dienste: Lambda, API Gateway, DynamoDB On-Demand, Aurora Serverless v2, Fargate, Athena, Glue, Step Functions Express, SQS/SNS, EventBridge, S3 — wenn „keine zu verwaltenden Server“ genannt werden, wählen Sie die Antwort aus dieser Liste.

Testen Sie Ihr Verständnis der Konzepte aus dieser Lektion für AWS Solutions Architect (SAA-C03).

Herzlichen Glückwunsch zum Abschluss des vollständigen Kurses AWS Solutions Architect (SAA-C03). Sie haben alle vier Prüfungsbereiche behandelt: sichere Architekturen (30 %), ausfallsichere Architekturen (26 %), leistungsstarke Architekturen (24 %) und kostenoptimierte Architekturen (20 %). Die wichtigsten Erkenntnisse: Erkennen Sie Schlüsselbegriffe, um Dienste zu identifizieren, verwenden Sie die Ausschlussmethode in zwei Durchgängen, planen Sie 2 Minuten pro Frage mit Zeitkontrollen ein und stimmen Sie DR-Strategien immer auf die genannten RTO-/RPO-Ziele ab. Melden Sie sich zur Prüfung an, wiederholen Sie schwache Bereiche mithilfe von Übungstests und wenden Sie die erlernten Techniken an. Viel Erfolg bei der SAA-C03-Prüfung!