Mini examen completo de dominios combinados

Esta lección final presenta 10 preguntas de escenarios de dominios combinados que abarcan los cuatro dominios de SAA-C03: arquitecturas seguras, arquitecturas resilientes, arquitecturas de alto rendimiento y arquitecturas optimizadas para costes. Cada pregunta presenta un escenario con cuatro opciones de respuesta, seguido de la respuesta correcta y una explicación. Trate cada pregunta como un desafío cronometrado: intente resolverla en 2 minutos. Utilice las técnicas de palabras clave y eliminación de las lecciones anteriores. Al final, el cuestionario de comprobación rápida evalúa un último escenario final.

P1 (Dominio 1): Una instancia EC2 necesita acceder a S3 sin almacenar credenciales de larga duración. Mejor solución: asociar un rol de IAM mediante un perfil de instancia. La aplicación recupera automáticamente credenciales temporales del servicio de metadatos de instancia; no se almacenan claves en ningún lugar.

P2 (Dominio 1): Un desarrollador ha confirmado accidentalmente claves de acceso de IAM en un repositorio público de GitHub. ¿Cuál es la PRIMERA acción? Respuesta: desactivar y eliminar inmediatamente el par de claves de acceso expuesto. Los atacantes pueden encontrar y utilizar en cuestión de segundos las claves expuestas en GitHub mediante analizadores automatizados. Eliminar el repositorio o rotar la clave es demasiado lento: primero se debe invalidar la clave antigua que sigue activa.

P3 (Dominio 2): Una función de Lambda que procesa pedidos de SQS falla el 5 % de las veces. Los pedidos se pierden. ¿Cómo solucionarlo? Respuesta: configurar una Dead-Letter Queue (DLQ) con maxReceiveCount=3. Los mensajes fallidos se conservan para investigarlos en lugar de desaparecer cuando caduca el tiempo de espera de visibilidad.

P4 (Dominio 2): Una empresa necesita una solución de recuperación ante desastres para RDS con un RPO de 1 hora, un RTO de 4 horas y un presupuesto moderado. Respuesta: Pilot Light: replicar RDS en una segunda región mediante Cross-Region Read Replica. En caso de desastre, promover la réplica a independiente y lanzar los servidores de la aplicación a partir de AMI preparadas previamente.

P5 (Dominio 3): Una aplicación requiere una latencia de un solo dígito en milisegundos para búsquedas de clave-valor con 1 millón de escrituras por segundo a nivel global. Respuesta: Amazon DynamoDB con el modo de capacidad On-Demand y Global Tables para la replicación activa-activa entre regiones.

P6 (Dominio 3): Un sistema de gestión de contenidos necesita un sistema de archivos compartido al que puedan acceder simultáneamente 20 instancias EC2 de Linux. Respuesta: Amazon EFS. EFS admite miles de montajes simultáneos con un espacio de nombres compartido compatible con POSIX. EBS solo se puede montar con acceso de lectura y escritura en una única instancia cada vez (Multi-Attach tiene limitaciones). Gestionar NFS por cuenta propia añade carga operativa.

P7 (Dominio 4): Una empresa ejecuta trabajos de transcodificación de vídeo que tardan entre 2 y 4 horas, toleran interrupciones con reinicio desde un punto de control y se ejecutan continuamente. ¿Cuál es el mejor modelo de precios? Respuesta: EC2 Spot Instances con AWS Batch gestionando los reintentos. Spot ofrece un descuento de hasta el 90 %, el máximo para cargas de trabajo por lotes tolerantes a interrupciones.

P8 (Dominio 4): Un script de Python se ejecuta todas las noches a las 2:00 durante 20 minutos en una EC2 t3.micro que funciona las 24 horas. ¿Cómo minimizar el coste? Respuesta: mover el script a una función de Lambda activada por una regla programada de EventBridge y terminar la instancia EC2. Ejecutar Lambda durante 20 minutos cada noche cuesta menos de 0,01 $ al mes, frente a los 7,49 $ al mes de una t3.micro siempre activa.

P9 (Combinado): Una empresa necesita garantizar que TODOS los recursos de AWS se creen únicamente en eu-central-1 en 50 cuentas de AWS de una organización. Respuesta: crear una Service Control Policy (SCP) que deniegue las acciones cuando RequestedRegion no sea eu-central-1 y asociarla a la raíz de la organización. Las SCP se aplican simultáneamente a todas las entidades de IAM, incluidos los usuarios raíz, en todas las cuentas miembro.

P10 (Combinado): Una startup crea una API REST que debe autenticar usuarios, almacenar datos y gestionar 1 millón de solicitudes al día, sin administrar infraestructura. Respuesta: API Gateway HTTP API + Lambda + Cognito User Pool + DynamoDB On-Demand. Esta es la arquitectura sin servidor completamente gestionada y de menor coste, sin necesidad de planificar capacidad ni administrar servidores.

Referencia rápida para las opciones de servicios de SAA-C03 que suelen confundirse:

• Acceso privado y gratuito a S3 desde una VPC → S3 Gateway Endpoint
• Sistema de archivos POSIX compartido, Linux → Amazon EFS
• Recursos compartidos SMB de Windows → FSx for Windows File Server
• Varios consumidores, mismo flujo, reproducción → Kinesis Data Streams
• Cola ordenada con entrega exactamente una vez → SQS FIFO
• Distribución a muchos suscriptores → SNS
• Enrutamiento de eventos basado en contenido → EventBridge
• Flujo de trabajo de varios pasos con gestión de errores → Step Functions
• ETL sin servidor → AWS Glue
• SQL ad hoc sobre S3 → Athena

Resumen del marco de selección de bases de datos para el examen:

• Relacional ACID, gestionada → Amazon RDS o Aurora
• Clave-valor a escala, con latencia de un solo dígito en milisegundos → DynamoDB
• Caché en memoria, almacén de sesiones → ElastiCache Redis o Memcached
• Análisis SQL complejos sobre petabytes → Amazon Redshift
• Relaciones entre grafos, detección de fraude → Amazon Neptune
• Datos de series temporales de IoT → Amazon Timestream
• Búsquedas y consultas de texto completo → Amazon OpenSearch Service
• Documentos / JSON, compatible con MongoDB → Amazon DocumentDB

Cuando tenga dudas, elija el servicio cuyo propósito de diseño principal coincida exactamente con el requisito de la carga de trabajo indicado.

Resumen de la selección de estrategias de recuperación ante desastres para el examen:

• Mayor RTO/RPO tolerado, menor coste → Backup and Restore (instantáneas de S3 + AWS Backup)
• RTO moderado (horas), bajo coste → Pilot Light (solo la base de datos replicada en la región de recuperación ante desastres; lanzamiento de servidores cuando ocurre un desastre)
• RTO menor (minutos), copia reducida → Warm Standby (flota reducida en ejecución en la región de recuperación ante desastres)
• RTO casi nulo, mayor coste → Multi-Site Active-Active (capacidad de producción completa en 2 o más regiones, enrutamiento por latencia de Route 53)

Indicador del examen: cuanto más cortos sean el RTO y el RPO, más cara será la estrategia de recuperación ante desastres. Las preguntas proporcionan objetivos de RTO/RPO; relaciónelos con el nivel adecuado.

Referencia rápida para las preguntas sobre cifrado y cumplimiento:

• Cifrar objetos de S3 con una clave gestionada por AWS → SSE-S3 (AES-256, gratuito)
• Cifrar S3 con control y auditoría por parte del cliente → SSE-KMS (CMK, llamadas a la API de KMS registradas en CloudTrail)
• Cifrar EBS/RDS/EFS en reposo → KMS CMK (debe habilitarse al crear RDS)
• Certificados TLS para ALB/CloudFront → AWS Certificate Manager (ACM, gratuito para certificados públicos)
• Rotar automáticamente las credenciales de la base de datos → AWS Secrets Manager
• Auditar todas las llamadas a la API de una cuenta → AWS CloudTrail
• Detectar amenazas en tiempo real → Amazon GuardDuty
• Encontrar información de identificación personal en S3 → Amazon Macie
• Bloquear los 10 principales ataques de OWASP → AWS WAF
• Protección frente a DDoS → AWS Shield (Standard gratuito, Advanced de pago)

Referencia rápida de las 7 R de la migración:

• Rehost (Lift-and-Shift) → AWS MGN, la migración más rápida
• Replatform → RDS en lugar de MySQL en EC2, menor carga operativa
• Refactor → Lambda + DynamoDB, mayor beneficio de la nube
• Repurchase → sustitución de la aplicación heredada por una solución SaaS
• Retire → retirar las aplicaciones que no se utilizan
• Retain → mantenerla en las instalaciones por ahora
• Relocate → VMware Cloud on AWS

Servicios serverless: Lambda, API Gateway, DynamoDB On-Demand, Aurora Serverless v2, Fargate, Athena, Glue, Step Functions Express, SQS/SNS, EventBridge, S3 — cuando se indique que «no hay servidores que administrar», responda con un servicio de esta lista.

Compruebe su comprensión de los conceptos de AWS Solutions Architect (SAA-C03) de esta lección.

Enhorabuena por completar el curso completo de AWS Solutions Architect (SAA-C03). Ha cubierto los cuatro dominios del examen: arquitecturas seguras (30 %), arquitecturas resilientes (26 %), arquitecturas de alto rendimiento (24 %) y arquitecturas optimizadas en costes (20 %). Ideas clave: reconocer las palabras clave que permiten identificar los servicios, utilizar el método de eliminación en dos pasadas, dedicar 2 minutos a cada pregunta con puntos de control del ritmo y relacionar siempre las estrategias de DR con los objetivos de RTO/RPO indicados. Programe su examen, repase los dominios en los que tenga más dificultades con pruebas de práctica y aplique las técnicas que ha aprendido. ¡Mucha suerte en el SAA-C03!