Rozwiązywanie podchwytliwych pytań scenariuszowych

Pytania SCS-C02 dotyczą głównie scenariuszy: akapit opisuje sytuację i zawiera prośbę o wskazanie najlepszego działania. Często kilka odpowiedzi może technicznie zadziałać.

Pańskim zadaniem jest znalezienie odpowiedzi najbezpieczniejszej, zgodnej z zasadą najmniejszych uprawnień i zalecanej przez AWS, a nie tylko możliwej do zastosowania.

Przed zapoznaniem się z odpowiedziami wyszukaj kluczowe wymagania: „najmniejszy narzut operacyjny”, „bez zarządzania serwerami”, „najbardziej opłacalne rozwiązanie”, „bez ujawniania kluczy”.

Te określenia eliminują odpowiedzi, które w innych warunkach byłyby poprawne. Zaznacz je sobie w myślach — to one stanowią właściwe pytanie.

Gdy dwie odpowiedzi przyznają dostęp, zwykle poprawna jest ta, która przyznaje go w mniejszym zakresie.

• Rola ograniczona zakresem zamiast szerokiej roli.
• Konkretne zasoby zamiast symbolu wieloznacznego.
• Tymczasowe dane uwierzytelniające zamiast kluczy długoterminowych.

Zasada najmniejszych uprawnień jest domyślną wartością na egzaminie.

AWS promuje usługi zarządzane i automatyzację zamiast pracy ręcznej.

• Rotacja w Secrets Manager zamiast ręcznego skryptu.
• SSM Session Manager zamiast samodzielnie utrzymywanego bastionu.
• Automatyczne działania naprawcze w EventBridge zamiast osoby dyżurującej.

Określenie „najmniejszy narzut operacyjny” wskazuje właśnie na takie rozwiązanie.

Szybko odrzucaj odpowiedzi, które:

• Wykorzystują konto root do rutynowych zadań.
• Osadzają klucze długoterminowe w kodzie.
• Niepotrzebnie otwierają dostęp dla 0.0.0.0/0.
• Wyłączają szyfrowanie lub rejestrowanie zdarzeń.

Takie odpowiedzi niemal nigdy nie są poprawne.

Wprowadzające w błąd odpowiedzi często wymieniają rzeczywistą usługę, która jednak nie pasuje do sytuacji.

Na przykład GuardDuty (wykrywanie zagrożeń), gdy pytanie wymaga Macie (wykrywanie danych), albo NACLs, gdy potrzebna jest stanowa security group. Dopasuj usługę do jej konkretnego przeznaczenia.

Pytania dotyczące dostępu między kontami i KMS sprawdzają, czy pamięta Pan, że obie strony muszą zezwalać na dostęp.

Odpowiedź, która naprawia tylko zasadę zaufania, ale nie uprawnienie IAM wywołującego (albo tylko zasadę klucza, bez IAM), jest niepełna. Wybierz opcję obejmującą oba elementy.

Przypomnijmy sobie kilka drobnych, ale sprawdzanych faktów:

• Certyfikaty CloudFront muszą znajdować się w regionie us-east-1.
• Nie można zaszyfrować istniejącego woluminu w miejscu jego użycia; należy skopiować migawkę.
• Udostępnienie zaszyfrowanej migawki wymaga również udostępnienia klucza KMS.

Przy ograniczonym czasie nie należy poświęcać zbyt dużo uwagi jednemu trudnemu pytaniu.

• Proszę wyeliminować wyraźnie błędne odpowiedzi, wybrać najlepszą i oznaczyć pytanie do późniejszego przejrzenia za pomocą opcji flag.
• Łatwe pytania są warte tyle samo co trudne.

Proszę pilnować tempa, aby dotrzeć do każdego pytania.

Proszę zwracać uwagę na czasowniki użyte w pytaniu. Czasowniki „prevent” lub „block” wskazują na mechanizmy kontroli zapobiegawczej (SCP, security groups, odmowy w bucket policy).

„Detect”, „alert” lub „investigate” wskazują na mechanizmy kontroli detekcyjnej (GuardDuty, Config, CloudTrail, Detective). Dopasowanie czasownika do typu mechanizmu kontroli szybko zawęża wybór właściwej odpowiedzi.

W każdym scenariuszu proszę określić główne wymaganie, odnotować kwalifikatory, wyeliminować niebezpieczne lub nadmiarowe opcje i wybrać odpowiedź zgodną z zasadą najmniejszych uprawnień i zarządzanego rozwiązania.

Ten schemat zamienia onieśmielające akapity w jasną decyzję.

Zastosuj strategię dekodowania.

Nauczyłeś się dekodować scenariusze.

• Czytaj kwalifikatory, które zawężają wybór odpowiedzi.
• Wybieraj rozwiązania zgodne z zasadą najmniejszych uprawnień, zarządzane i zautomatyzowane.
• Eliminuj niebezpieczne opcje i pamiętaj o pułapkach dotyczących obustronnych uprawnień oraz regionów.