Menguraikan Pertanyaan Skenario yang Menjebak

Pertanyaan SCS-C02 sebagian besar berupa skenario: sebuah paragraf menjelaskan situasi dan meminta tindakan terbaik. Sering kali beberapa pilihan secara teknis dapat digunakan.

Tugas Anda adalah menemukan jawaban yang paling aman, menggunakan hak istimewa minimum, dan direkomendasikan AWS, bukan sekadar jawaban yang dapat digunakan.

Pindai persyaratan utama sebelum melihat pilihan: "beban operasional minimum," "tanpa mengelola server," "paling hemat biaya," "tanpa mengekspos kunci."

Kualifikasi ini menyingkirkan jawaban yang sebenarnya benar. Tandai secara mental; itulah inti pertanyaannya.

Ketika dua jawaban memberikan akses, jawaban yang memberikan akses lebih sedikit biasanya benar.

• Peran dengan cakupan terbatas daripada peran luas.
• Sumber daya tertentu daripada karakter pengganti.
• Kredensial sementara daripada kunci jangka panjang.

Hak istimewa minimum adalah nilai bawaan dalam ujian.

AWS mengutamakan layanan terkelola dan otomatisasi daripada upaya manual.

• Rotasi Pengelola Rahasia daripada skrip manual.
• Pengelola Sesi SSM daripada bastion yang dikelola sendiri.
• Pemulihan otomatis EventBridge daripada petugas yang sedang siaga.

"Beban operasional minimum" mengarah ke sini.

Segera singkirkan jawaban yang:

• Menggunakan akun root untuk pekerjaan rutin.
• Menyematkan kunci jangka panjang dalam kode.
• Membuka 0.0.0.0/0 tanpa alasan.
• Menonaktifkan enkripsi atau pencatatan.

Pilihan-pilihan ini hampir tidak pernah benar.

Pengalih perhatian yang menggoda menyebutkan layanan nyata yang ternyata tidak benar-benar sesuai.

Contohnya, GuardDuty (deteksi) ketika pertanyaan memerlukan Macie (penemuan data), atau NACL ketika yang dimaksud adalah grup keamanan berstatus. Sesuaikan layanan dengan tujuan yang tepat.

Pertanyaan lintas akun dan KMS menguji apakah Anda ingat bahwa kedua sisi harus mengizinkan akses.

Jawaban yang hanya memperbaiki kebijakan kepercayaan tetapi tidak memperbaiki izin IAM pemanggil (atau hanya kebijakan kunci, bukan IAM) tidak lengkap. Cari pilihan yang mencakup keduanya.

Ingat fakta-fakta kecil tetapi teruji berikut:

• Sertifikat CloudFront harus berada di us-east-1.
• Anda tidak dapat mengenkripsi volume yang sudah ada secara langsung; salin snapshot.
• Untuk membagikan snapshot terenkripsi, kunci KMS juga harus dibagikan.

Dengan waktu yang terbatas, jangan menghabiskan terlalu banyak waktu untuk satu soal yang sulit.

• Coret pilihan yang jelas salah, pilih jawaban terbaik, lalu tandai untuk ditinjau.
• Soal mudah bernilai sama dengan soal sulit.

Atur kecepatan agar Anda dapat menjawab semua soal.

Perhatikan kata kerja dalam soal. "Mencegah" atau "memblokir" mengarah ke kontrol preventif (SCP, grup keamanan, penolakan dalam kebijakan bucket).

"Mendeteksi," "memberi peringatan," atau "menyelidiki" mengarah ke kontrol detektif (GuardDuty, Config, CloudTrail, Detective). Mencocokkan kata kerja dengan jenis kontrol akan dengan cepat mempersempit jawaban yang benar.

Untuk setiap skenario: identifikasi persyaratan inti, catat kualifikasi, singkirkan pilihan yang tidak aman atau berlebihan, lalu pilih jawaban yang dikelola dan menerapkan hak akses paling sedikit.

Prosedur ini mengubah paragraf yang mengintimidasi menjadi keputusan yang jelas.

Terapkan strategi penguraian.

Anda telah belajar menguraikan skenario.

• Baca kualifikasi yang mempersempit jawaban.
• Utamakan pilihan yang menerapkan hak akses paling sedikit, dikelola, dan otomatis.
• Singkirkan pilihan yang tidak aman dan ingat hal-hal penting tentang izin dua sisi serta Region.