Mini-examen complet à domaines mixtes

Cette leçon de synthèse présente 10 questions scénarisées couvrant plusieurs domaines et les quatre domaines SAA-C03 : architectures sécurisées, architectures résilientes, architectures hautement performantes et architectures optimisées en matière de coûts. Chaque question présente un scénario avec quatre choix de réponse, suivis de la bonne réponse et d’une explication. Traitez chaque question comme un défi chronométré : visez 2 minutes par question. Utilisez les mots-clés et les techniques d’élimination des leçons précédentes. À la fin, le questionnaire de vérification rapide teste un dernier scénario de synthèse.

Q1 (domaine 1) : Une instance EC2 doit accéder à S3 sans stocker d’identifiants à long terme. Meilleure solution : associer un rôle IAM au moyen d’un profil d’instance. L’application récupère automatiquement des identifiants temporaires auprès du service de métadonnées de l’instance : aucune clé n’est stockée où que ce soit.

Q2 (domaine 1) : Un développeur a accidentellement validé des clés d’accès IAM dans un dépôt GitHub public. Quelle est la FIRST action ? Réponse : désactiver et supprimer immédiatement la paire de clés d’accès exposée. Des attaquants peuvent trouver et utiliser en quelques secondes des clés exposées sur GitHub grâce à des analyseurs automatisés. Supprimer le dépôt ou faire pivoter la clé prend trop de temps : l’ancienne clé active doit d’abord être invalidée.

Q3 (domaine 2) : Une fonction Lambda qui traite des commandes SQS échoue dans 5 % des cas. Les commandes sont perdues. Comment corriger ce problème ? Réponse : configurer une file d’attente Dead-Letter Queue (DLQ) avec maxReceiveCount=3. Les messages en échec sont conservés pour investigation au lieu de disparaître à l’expiration du délai de visibilité.

Q4 (domaine 2) : Une entreprise a besoin d’une solution de reprise après sinistre pour RDS avec un RPO d’1 heure, un RTO de 4 heures et un budget modéré. Réponse : Pilot Light : répliquer RDS dans une seconde Region au moyen d’un réplica en lecture inter-Region. En cas de sinistre, promouvoir le réplica en instance autonome et lancer les serveurs d’application à partir d’AMI préconfigurées.

Q5 (domaine 3) : Une application nécessite une latence de quelques millisecondes pour des recherches clé-valeur à raison de 1 million d’écritures par seconde dans le monde. Réponse : Amazon DynamoDB avec le mode de capacité On-Demand et Global Tables pour une réplication active-active multi-Region.

Q6 (domaine 3) : Un système de gestion de contenu nécessite un système de fichiers partagé accessible simultanément par 20 instances EC2 Linux. Réponse : Amazon EFS. EFS prend en charge des milliers de montages simultanés avec un espace de noms partagé compatible POSIX. EBS ne peut être monté en lecture-écriture que sur une seule instance à la fois (Multi-Attach est limité). Un NFS autogéré ajoute une charge opérationnelle.

Q7 (domaine 4) : Une entreprise exécute des travaux de transcodage vidéo qui durent 2 à 4 heures, tolèrent les interruptions avec redémarrage depuis un point de contrôle et s’exécutent en continu. Quel modèle tarifaire choisir ? Réponse : EC2 Spot Instances avec AWS Batch pour gérer les nouvelles tentatives. Spot offre une remise pouvant atteindre 90 %, soit le maximum pour les travaux par lots tolérant les interruptions.

Q8 (domaine 4) : Un script Python s’exécute chaque nuit à 2 h du matin pendant 20 minutes sur une instance EC2 t3.micro qui fonctionne 24 h/24 et 7 j/7. Comment réduire les coûts au minimum ? Réponse : déplacer le script vers une fonction Lambda déclenchée par une règle planifiée EventBridge, puis résilier l’instance EC2. Lambda pour 20 minutes par nuit coûte moins de 0,01 $ par mois, contre 7,49 $ par mois pour une instance t3.micro toujours active.

Q9 (plusieurs domaines) : Une entreprise doit imposer que ALL les ressources AWS soient créées uniquement dans eu-central-1 sur 50 comptes AWS d’une Organisation. Réponse : Create une Service Control Policy (SCP) qui refuse les actions lorsque RequestedRegion n’est pas eu-central-1, puis l’associer à la racine de l’Organisation. Les SCP s’appliquent simultanément à toutes les entités IAM, y compris les utilisateurs racine, dans tous les comptes membres.

Q10 (plusieurs domaines) : Une jeune entreprise crée une API REST qui doit authentifier les utilisateurs, stocker les données et gérer 1 million de requêtes par jour, sans gestion d’infrastructure. Réponse : API Gateway HTTP API + Lambda + Cognito User Pool + DynamoDB On-Demand. Il s’agit de la pile entièrement sans serveur et la moins coûteuse, sans planification de capacité ni serveurs à gérer.

Référence rapide pour les choix de services SAA-C03 souvent confondus :

• Accès privé et gratuit à S3 depuis un VPC → S3 Gateway Endpoint
• Système de fichiers POSIX partagé, Linux → Amazon EFS
• Partages Windows SMB → FSx for Windows File Server
• Plusieurs consommateurs, même flux, relecture → Kinesis Data Streams
• File d’attente ordonnée avec traitement exactement une fois → SQS FIFO
• Diffusion vers de nombreux abonnés → SNS
• Routage d’événements basé sur leur contenu → EventBridge
• Flux de travail en plusieurs étapes avec gestion des erreurs → Step Functions
• ETL sans serveur → AWS Glue
• SQL ponctuel sur S3 → Athena

Résumé du cadre de sélection des bases de données pour l’examen :

• Relationnelle ACID, gérée → Amazon RDS ou Aurora
• Clé-valeur en quelques millisecondes à grande échelle → DynamoDB
• Cache en mémoire, stockage de sessions → ElastiCache Redis ou Memcached
• Analyses SQL complexes sur des pétaoctets → Amazon Redshift
• Relations entre graphes, détection de fraudes → Amazon Neptune
• Données de séries temporelles IoT → Amazon Timestream
• Recherche et requêtes en texte intégral → Amazon OpenSearch Service
• Documents / JSON, compatible MongoDB → Amazon DocumentDB

En cas de doute, choisissez le service dont la fonction de conception principale correspond exactement à l’exigence de charge de travail indiquée.

Résumé de la sélection d’une stratégie de reprise après sinistre pour l’examen :

• RTO/RPO les plus élevés acceptés, coût le plus faible → sauvegarde et restauration (instantanés S3 + AWS Backup)
• RTO modéré (heures), coût faible → Pilot Light (réplication de la base de données uniquement dans la Region de reprise, lancement des serveurs en cas de sinistre)
• RTO plus faible (minutes), copie réduite → Warm Standby (parc réduit en fonctionnement dans la Region de reprise)
• RTO proche de zéro, coût le plus élevé → Multi-Site Active-Active (capacité de production complète dans au moins 2 Regions, routage selon la latence avec Route 53)

Indication pour l’examen : plus le RTO et le RPO sont courts, plus la stratégie de reprise après sinistre est coûteuse. Les questions fournissent des objectifs de RTO/RPO : faites-les correspondre au niveau approprié.

Référence rapide pour les questions sur le chiffrement et la conformité :

• Chiffrer les objets S3 avec une clé gérée par AWS → SSE-S3 (AES-256, gratuit)
• Chiffrer S3 avec contrôle client et audit → SSE-KMS (CMK, appels d’API KMS consignés dans CloudTrail)
• Chiffrer EBS/RDS/EFS au repos → KMS CMK (doit être activé lors de la création pour RDS)
• Certificats TLS pour ALB/CloudFront → AWS Certificate Manager (ACM, gratuit pour les certificats publics)
• Faire pivoter automatiquement les identifiants de base de données → AWS Secrets Manager
• Auditer tous les appels d’API du compte → AWS CloudTrail
• Détecter les menaces en temps réel → Amazon GuardDuty
• Rechercher les PII dans S3 → Amazon Macie
• Bloquer les 10 principales attaques OWASP → AWS WAF
• Protection contre les attaques DDoS → AWS Shield (Standard gratuit, Advanced payant)

Référence rapide des 7 R de la migration :

• Rehost (Lift-and-Shift) → AWS MGN, migration la plus rapide
• Replatform → RDS au lieu de MySQL sur EC2, surcharge opérationnelle minimale
• Refactor → Lambda + DynamoDB, bénéfice du cloud maximal
• Repurchase → remplacement de l'application existante par une solution SaaS
• Retire → mise hors service des applications inutilisées
• Retain → conserver sur site pour le moment
• Relocate → VMware Cloud on AWS

Services sans serveur : Lambda, API Gateway, DynamoDB On-Demand, Aurora Serverless v2, Fargate, Athena, Glue, Step Functions Express, SQS/SNS, EventBridge, S3 — lorsque l'énoncé indique « aucun serveur à gérer », choisissez dans cette liste.

Testez votre compréhension des concepts AWS Solutions Architect (SAA-C03) abordés dans cette leçon.

Félicitations pour avoir terminé l'intégralité du cours AWS Solutions Architect (SAA-C03). Vous avez étudié les quatre domaines de l'examen : architectures sécurisées (30 %), architectures résilientes (26 %), architectures hautement performantes (24 %) et architectures optimisées en termes de coûts (20 %). À retenir : reconnaître les mots-clés indiquant les services, utiliser la méthode d'élimination en deux passes, consacrer 2 minutes à chaque question avec des points de contrôle du rythme, et toujours faire correspondre les stratégies de reprise après sinistre aux objectifs RTO/RPO indiqués. Planifiez votre examen, révisez les domaines où vous êtes moins à l'aise avec des tests d'entraînement et appliquez les techniques apprises. Bonne chance pour le SAA-C03 !