Decodificare le domande a scenario più insidiose

Le domande SCS-C02 sono soprattutto basate su scenari: un paragrafo descrive una situazione e chiede quale sia l'azione migliore. Spesso diverse opzioni potrebbero funzionare tecnicamente.

Il Suo compito è individuare la risposta più sicura, con il minimo privilegio e raccomandata da AWS, non semplicemente una soluzione funzionante.

Individui i requisiti chiave prima di esaminare le opzioni: "minimo sovraccarico operativo", "senza gestire server", "massima convenienza economica", "senza esporre le chiavi".

Queste precisazioni eliminano le risposte altrimenti corrette. Le sottolinei mentalmente: costituiscono il vero fulcro della domanda.

Quando due risposte concedono l'accesso, di solito è corretta quella che ne concede meno.

• Un ruolo con ambito limitato invece di un ruolo ampio.
• Una risorsa specifica invece di un carattere jolly.
• Credenziali temporanee invece di chiavi a lungo termine.

Il privilegio minimo è il principio predefinito dell'esame.

AWS premia i servizi gestiti e l'automazione rispetto al lavoro manuale.

• La rotazione di Secrets Manager invece di uno script manuale.
• SSM Session Manager invece di un bastion gestito autonomamente.
• La correzione automatica con EventBridge invece di una persona reperibile.

"Minimo sovraccarico operativo" indica proprio questa direzione.

Scarti rapidamente le risposte che:

• Usano l'account root per le attività ordinarie.
• Includono chiavi a lungo termine nel codice.
• Aprono 0.0.0.0/0 senza necessità.
• Disabilitano la crittografia o il logging.

Queste opzioni sono quasi mai corrette.

I distrattori più convincenti citano un servizio reale che però non è del tutto adatto.

Ad esempio, GuardDuty (rilevamento) quando la domanda richiede Macie (individuazione dei dati), oppure le NACL quando è necessario un security group stateful. Abbini il servizio al suo scopo preciso.

Le domande sugli accessi tra account e su KMS verificano se ricorda che entrambi i lati devono consentire l'accesso.

Una risposta che corregge solo la trust policy, ma non il permesso IAM del chiamante (o solo la key policy, ma non IAM), è incompleta. Cerchi l'opzione che copre entrambi gli aspetti.

Ricordi questi piccoli fatti verificati:

• I certificati CloudFront devono trovarsi in us-east-1.
• Non è possibile crittografare un volume esistente sul posto; occorre copiare uno snapshot.
• Per condividere uno snapshot crittografato è necessario condividere anche la chiave KMS.

Quando il tempo è limitato, non investa troppo in una domanda difficile.

• Elimini le opzioni chiaramente errate, scelga la risposta migliore e contrassegni la domanda per rivederla.
• Le domande facili valgono quanto quelle difficili.

Gestisca il ritmo per riuscire a rispondere a tutte le domande.

Presti attenzione ai verbi usati nella domanda. "Prevenire" o "bloccare" indica controlli preventivi (SCP, gruppi di sicurezza, rifiuti nelle policy dei bucket).

"Rilevare", "avvisare" o "investigare" indica controlli investigativi (GuardDuty, Config, CloudTrail, Detective). Collegare rapidamente il verbo al tipo di controllo restringe le possibili risposte corrette.

Per ogni scenario: identifichi il requisito fondamentale, annoti i qualificatori, elimini le opzioni non sicure o eccessive e scelga la risposta gestita con privilegi minimi.

Questa procedura trasforma paragrafi intimidatori in una decisione chiara.

Applichi la strategia di decodifica.

Ha imparato a decodificare gli scenari.

• Legga i qualificatori che restringono la risposta.
• Preferisca le opzioni con privilegi minimi, gestite e automatizzate.
• Elimini le scelte non sicure e ricordi le insidie relative alle autorizzazioni da entrambe le parti e alle Regioni.