Décrypter les questions de mise en situation délicates

Les questions du SCS-C02 sont principalement des scénarios : un paragraphe décrit une situation et demande la meilleure action. Plusieurs options peuvent souvent fonctionner techniquement.

Votre rôle consiste à trouver la réponse la plus sécurisée, respectant le moindre privilège et recommandée par AWS, et pas seulement une réponse réalisable.

Repérez les exigences clés avant les options : « la moindre charge opérationnelle », « sans gérer de serveurs », « le meilleur rapport coût-efficacité », « sans exposer les clés ».

Ces précisions éliminent les réponses par ailleurs correctes. Soulignez-les mentalement : elles constituent la véritable question.

Lorsque deux réponses accordent un accès, celle qui en accorde moins est généralement correcte.

• Un rôle limité plutôt qu'un rôle étendu.
• Une ressource précise plutôt qu'un caractère générique.
• Des identifiants temporaires plutôt que des clés à long terme.

Le moindre privilège est la valeur par défaut de l'examen.

AWS privilégie les services gérés et l'automatisation plutôt que les interventions manuelles.

• La rotation de Secrets Manager plutôt qu'un script manuel.
• SSM Session Manager plutôt qu'un bastion géré par vos soins.
• La correction automatique avec EventBridge plutôt qu'une intervention humaine d'astreinte.

« La moindre charge opérationnelle » vous oriente vers ces solutions.

Écartez rapidement les réponses qui :

• Utilisent le compte racine pour les tâches courantes.
• Intègrent des clés à long terme dans le code.
• Ouvrent 0.0.0.0/0 sans nécessité.
• Désactivent le chiffrement ou la journalisation.

Elles sont presque toujours incorrectes.

Les distracteurs tentants citent un service réel qui ne correspond pas tout à fait au besoin.

Par exemple, GuardDuty (détection) lorsque la question nécessite Macie (découverte de données), ou les NACL lorsqu'un groupe de sécurité avec état est attendu. Associez le service à son objectif précis.

Les questions sur les accès entre comptes et KMS vérifient que vous vous souvenez que les deux côtés doivent autoriser l'accès.

Une réponse qui corrige uniquement la politique d'approbation, mais pas l'autorisation IAM de l'appelant (ou uniquement la politique de clé, mais pas IAM), est incomplète. Recherchez l'option qui couvre les deux.

Retenez ces faits courts mais souvent testés :

• Les certificats CloudFront doivent se trouver dans us-east-1.
• Vous ne pouvez pas chiffrer un volume existant sur place ; copiez un instantané.
• Pour partager un instantané chiffré, vous devez également partager la clé KMS.

Lorsque le temps est limité, ne consacrez pas trop de temps à une question difficile.

• Éliminez les options manifestement fausses, faites votre meilleur choix, puis signalez la question pour y revenir.
• Les questions faciles valent autant que les questions difficiles.

Gérez votre rythme pour atteindre toutes les questions.

Observez les verbes employés dans la question. « Empêcher » ou « bloquer » désigne des contrôles préventifs (SCP, groupes de sécurité, refus dans une politique de compartiment).

« Détecter », « alerter » ou « enquêter » désigne des contrôles détectifs (GuardDuty, Config, CloudTrail, Detective). Faire correspondre le verbe au type de contrôle permet de trouver rapidement la bonne réponse.

Pour chaque scénario : identifiez l’exigence principale, relevez les qualificatifs, éliminez les options non sécurisées ou excessives, puis choisissez la réponse gérée appliquant le moindre privilège.

Cette méthode transforme les paragraphes intimidants en une décision claire.

Appliquez la stratégie de décodage.

Vous avez appris à décoder les scénarios.

• Lisez les qualificatifs qui restreignent la réponse.
• Privilégiez les options appliquant le moindre privilège, gérées et automatisées.
• Éliminez les choix non sécurisés et retenez les pièges liés aux autorisations à deux niveaux et aux régions.