Tückische Szenariofragen entschlüsseln

Die Fragen zu SCS-C02 sind überwiegend Szenarien: Ein Absatz beschreibt eine Situation und fragt nach der besten Maßnahme. Häufig würden mehrere Optionen technisch funktionieren.

Ihre Aufgabe ist es, die sicherste, nach dem Prinzip der geringsten Berechtigung aufgebaute und von AWS empfohlene Antwort zu finden – nicht nur eine umsetzbare.

Suchen Sie vor den Optionen nach den wichtigen Anforderungen: „möglichst geringer Betriebsaufwand“, „ohne Server verwalten zu müssen“, „möglichst kostengünstig“, „ohne Schlüssel offenzulegen“.

Diese Einschränkungen schließen ansonsten korrekte Antworten aus. Markieren Sie sie gedanklich; sie bilden die eigentliche Frage.

Wenn zwei Antworten Zugriff gewähren, ist in der Regel diejenige korrekt, die weniger gewährt.

• Eingeschränkte Rolle statt umfassender Rolle.
• Bestimmte Ressource statt Wildcard.
• Temporäre Anmeldedaten statt langfristiger Schlüssel.

Das Prinzip der geringsten Berechtigung ist der Standardmaßstab der Prüfung.

AWS bevorzugt verwaltete Services und Automatisierung gegenüber manuellen Tätigkeiten.

• Rotation mit Secrets Manager statt eines manuellen Skripts.
• SSM Session Manager statt eines selbst betriebenen Bastion Hosts.
• Automatische Behebung mit EventBridge statt einer Bereitschaftsperson.

„Möglichst geringer Betriebsaufwand“ weist auf diese Richtung hin.

Verwerfen Sie schnell Antworten, die:

• das Root-Konto für routinemäßige Arbeiten verwenden.
• langfristige Schlüssel in den Code einbetten.
• 0.0.0.0/0 unnötigerweise öffnen.
• Verschlüsselung oder Logging deaktivieren.

Diese sind fast nie korrekt.

Verlockende Ablenkungsoptionen nennen einen echten Service, der aber nicht ganz passt.

Beispielsweise GuardDuty (Erkennung), wenn die Frage Macie (Datenerkennung) erfordert, oder NACLs, wenn eine zustandsbehaftete Security Group gemeint ist. Ordnen Sie den Service seinem genauen Zweck zu.

Fragen zu kontoübergreifendem Zugriff und KMS prüfen, ob Sie sich daran erinnern, dass beide Seiten den Zugriff erlauben müssen.

Eine Antwort, die nur die Trust Policy, nicht aber die IAM-Berechtigung des Aufrufers korrigiert (oder nur die Key Policy, nicht IAM), ist unvollständig. Suchen Sie nach der Option, die beide Seiten abdeckt.

Merken Sie sich diese kleinen, aber prüfungsrelevanten Fakten:

• CloudFront-Zertifikate müssen sich in us-east-1 befinden.
• Ein vorhandenes Volume kann nicht direkt verschlüsselt werden; kopieren Sie stattdessen einen Snapshot.
• Zum Freigeben eines verschlüsselten Snapshots muss auch der KMS-Schlüssel freigegeben werden.

Investieren Sie bei begrenzter Zeit nicht zu viel in eine schwierige Frage.

• Schließen Sie eindeutig falsche Optionen aus, treffen Sie die bestmögliche Auswahl und markieren Sie die Frage zur späteren Überprüfung.
• Einfache Fragen zählen genauso viel wie schwierige.

Teilen Sie Ihre Zeit so ein, dass Sie jede Frage erreichen.

Achten Sie auf die Verben in der Frage. „Verhindern“ oder „blockieren“ weist auf präventive Kontrollen hin (SCPs, Sicherheitsgruppen, Denials in Bucket-Richtlinien).

„Erkennen“, „alarmieren“ oder „untersuchen“ weist auf detektive Kontrollen hin (GuardDuty, Config, CloudTrail, Detective). Wenn Sie das Verb dem Kontrolltyp zuordnen, können Sie die richtige Antwort schnell eingrenzen.

Gehen Sie bei jedem Szenario so vor: Ermitteln Sie die Kernanforderung, achten Sie auf Einschränkungen, schließen Sie unsichere oder übermäßig umfangreiche Optionen aus und wählen Sie die verwaltete Lösung mit den geringsten Berechtigungen.

Diese Methode macht aus einschüchternden Absätzen eine klare Entscheidung.

Wenden Sie die Strategie zum Entschlüsseln an.

Sie haben gelernt, Szenarien zu entschlüsseln.

• Lesen Sie die Einschränkungen, die die Antwort eingrenzen.
• Bevorzugen Sie Optionen mit geringsten Berechtigungen, verwaltete und automatisierte Optionen.
• Schließen Sie unsichere Optionen aus und denken Sie an die Stolperfallen bei beidseitigen Berechtigungen und Regionen.