Tolk vanskelige scenariospørsmål

Oppgavene på SCS-C02 er for det meste scenarioer: Et avsnitt beskriver en situasjon og spør etter den beste handlingen. Ofte vil flere alternativer fungere rent teknisk.

Din oppgave er å finne det sikreste, minst privilegerte og av AWS anbefalte svaret, ikke bare et svar som fungerer.

Se etter de viktigste kravene før du vurderer alternativene: «minst mulig driftsarbeid», «uten å administrere servere», «mest kostnadseffektivt», «uten å eksponere nøkler».

Disse presiseringene utelukker svar som ellers ville vært riktige. Merk dem mentalt; det er de som utgjør det egentlige spørsmålet.

Når to svar gir tilgang, er det som gir mindre tilgang, vanligvis riktig.

• Avgrenset rolle fremfor bred rolle.
• Spesifikk ressurs fremfor jokertegn.
• Midlertidig legitimasjon fremfor langsiktige nøkler.

Minste privilegium er eksamenens standardverdi.

AWS belønner administrerte tjenester og automatisering fremfor manuelt arbeid.

• Rotasjon med Secrets Manager fremfor et manuelt skript.
• SSM Session Manager fremfor en bastion som du drifter selv.
• Automatisk utbedring med EventBridge fremfor en person som må være beredskapsvakt.

«Minst mulig driftsarbeid» peker i denne retningen.

Forkast raskt svar som:

• Bruker root-kontoen til rutinearbeid.
• Bygger inn langsiktige nøkler i kode.
• Åpner 0.0.0.0/0 uten at det er nødvendig.
• Deaktiverer kryptering eller logging.

Disse er nesten aldri riktige.

Fristende distraktorer nevner en reell tjeneste som ikke passer helt.

For eksempel GuardDuty (oppdagelse) når spørsmålet krever Macie (dataoppdagelse), eller NACL-er når det er ment å bruke en sikkerhetsgruppe med tilstand. Knytt tjenesten til dens presise formål.

Oppgaver om kontoer på tvers og KMS tester om du husker at begge sider må tillate tilgang.

Et svar som bare retter tillitspolicyen, men ikke IAM-tillatelsen til den som kaller (eller bare nøkkelpolicyen, men ikke IAM), er ufullstendig. Se etter alternativet som dekker begge deler.

Husk disse små, men testede faktaene:

• CloudFront-sertifikater må være i us-east-1.
• De kan ikke kryptere et eksisterende volum direkte; kopier et snapshot.
• Hvis et kryptert snapshot skal deles, må KMS key også deles.

Når tiden er knapp, bør De ikke bruke for mye tid på ett vanskelig spørsmål.

• Utelukk alternativer som åpenbart er feil, velg det beste alternativet, og flag spørsmålet for gjennomgang.
• Enkle spørsmål gir like mange poeng som vanskelige.

Hold et jevnt tempo slik at De rekker alle spørsmålene.

Legg merke til verbene i spørsmålet. «Prevent» eller «block» peker på forebyggende kontroller (SCPs, security groups, bucket policy denies).

«Detect», «alert» eller «investigate» peker på avdekkende kontroller (GuardDuty, Config, CloudTrail, Detective). Når De kobler verbet til kontrolltypen, kan De raskt snevre inn det riktige svaret.

For hvert scenario: identifiser kjernekravet, noter presiseringene, fjern usikre eller overdrevne alternativer, og velg svaret som er minste privilegium og administrert.

Denne rutinen gjør avskrekkende avsnitt om til en tydelig beslutning.

De har lært å avkode scenarioer.

• Les presiseringene som snevrer inn svaret.
• Foretrekk alternativer med minste privilegium, administrert og automatisert.
• Fjern usikre alternativer, og husk fallgruvene med tillatelser på to sider og regioner.