Pełny mini-egzamin z mieszanych domen

Ta końcowa lekcja zawiera 10 scenariuszowych pytań z różnych dziedzin, obejmujących wszystkie cztery domeny SAA-C03: bezpieczne architektury, odporne architektury, wysokowydajne architektury oraz zoptymalizowane kosztowo architektury. Każde pytanie przedstawia scenariusz i cztery odpowiedzi do wyboru, a następnie poprawną odpowiedź wraz z wyjaśnieniem. Potraktuj każde pytanie jako zadanie na czas — przeznacz na nie około 2 minut. Wykorzystaj słowa kluczowe i techniki eliminacji z poprzednich lekcji. Na końcu quiz Quick Check sprawdzi Państwa wiedzę na podstawie końcowego scenariusza.

Q1 (Domain 1): Instancja EC2 musi uzyskiwać dostęp do S3 bez przechowywania długoterminowych danych uwierzytelniających. Najlepsze rozwiązanie: dołączyć rolę IAM za pośrednictwem profilu instancji. Aplikacja automatycznie pobiera tymczasowe dane uwierzytelniające z usługi metadanych instancji — żadne klucze nie są nigdzie przechowywane.

Q2 (Domain 1): Programista przypadkowo zatwierdził klucze dostępu IAM w publicznym repozytorium GitHub. Jakie działanie należy podjąć jako PIERWSZE? Odpowiedź: natychmiast dezaktywować i usunąć ujawnioną parę kluczy dostępu. Atakujący mogą w ciągu kilku sekund znaleźć i wykorzystać klucze ujawnione w GitHubie za pomocą automatycznych skanerów. Usunięcie repozytorium lub rotacja klucza trwa zbyt długo — najpierw należy unieważnić stary aktywny klucz.

Q3 (Domain 2): Funkcja Lambda przetwarzająca zamówienia z SQS kończy się błędem w 5% przypadków. Zamówienia są tracone. Jak to naprawić? Odpowiedź: skonfigurować kolejkę Dead-Letter Queue (DLQ) z maxReceiveCount=3. Nieprzetworzone wiadomości zostaną zachowane do celów analizy zamiast zniknąć po upływie limitu widoczności.

Q4 (Domain 2): Firma potrzebuje rozwiązania odzyskiwania po awarii dla RDS z RPO wynoszącym 1 godzinę, RTO wynoszącym 4 godziny i umiarkowanym budżetem. Odpowiedź: Pilot Light — replikować RDS do drugiego Regionu za pomocą Cross-Region Read Replica. W razie awarii promować replikę do samodzielnej bazy danych i uruchamiać serwery aplikacji na podstawie wcześniej przygotowanych obrazów AMI.

Q5 (Domain 3): Aplikacja wymaga jednocyfrowych opóźnień w milisekundach dla operacji wyszukiwania par klucz-wartość przy globalnej przepustowości 1 miliona zapisów na sekundę. Odpowiedź: Amazon DynamoDB z trybem przepustowości On-Demand i Global Tables zapewniającymi aktywną replikację active-active w wielu Regionach.

Q6 (Domain 3): System zarządzania treścią potrzebuje współdzielonego systemu plików, do którego jednocześnie może uzyskiwać dostęp 20 instancji EC2 z systemem Linux. Odpowiedź: Amazon EFS. EFS obsługuje tysiące jednoczesnych montowań i udostępnia współdzieloną przestrzeń nazw zgodną z POSIX. EBS można zamontować w trybie odczytu i zapisu tylko w jednej instancji naraz (Multi-Attach ma ograniczenia). Samodzielnie zarządzany NFS zwiększa nakład pracy operacyjnej.

Q7 (Domain 4): Firma uruchamia zadania transkodowania wideo, które trwają 2–4 godziny, tolerują przerwy dzięki wznawianiu od punktu kontrolnego i działają nieprzerwanie. Jaki model cenowy będzie najlepszy? Odpowiedź: instancje EC2 Spot Instances z AWS Batch zarządzającym ponownymi próbami. Spot oferuje do 90% zniżki — jest to maksymalna oszczędność w przypadku tolerujących przerwy zadań wsadowych.

Q8 (Domain 4): Skrypt w Pythonie uruchamia się co noc o 2:00 i działa przez 20 minut na instancji EC2 t3.micro, która jest uruchomiona przez całą dobę. Jak zminimalizować koszt? Odpowiedź: przenieść skrypt do funkcji Lambda wyzwalanej zaplanowaną regułą EventBridge i zakończyć działanie instancji EC2. Lambda uruchamiana przez 20 minut każdej nocy kosztuje mniej niż 0,01 USD miesięcznie, w porównaniu z 7,49 USD miesięcznie za stale działającą instancję t3.micro.

Q9 (Mixed): Firma musi wymusić, aby WSZYSTKIE zasoby AWS były tworzone wyłącznie w eu-central-1 na 50 kontach AWS należących do organizacji. Odpowiedź: utworzyć Service Control Policy (SCP) odrzucającą działania, dla których RequestedRegion jest różny od eu-central-1, i dołączyć ją do katalogu głównego organizacji. SCP mają zastosowanie do wszystkich jednostek IAM, w tym użytkowników root, jednocześnie we wszystkich kontach członkowskich.

Q10 (Mixed): Startup tworzy interfejs REST API, który musi uwierzytelniać użytkowników, przechowywać dane i obsługiwać 1 milion żądań dziennie bez zarządzania infrastrukturą. Odpowiedź: API Gateway HTTP API + Lambda + Cognito User Pool + DynamoDB On-Demand. Jest to w pełni bezserwerowy stos o najniższym koszcie, bez konieczności planowania przepustowości i zarządzania serwerami.

Szybka ściągawka dotycząca najczęściej mylonych wyborów usług w SAA-C03:

• Prywatny i bezpłatny dostęp do S3 z VPC → S3 Gateway Endpoint
• Współdzielony system plików POSIX, Linux → Amazon EFS
• Udziały SMB dla systemu Windows → FSx for Windows File Server
• Wielu odbiorców, ten sam strumień, możliwość odtwarzania → Kinesis Data Streams
• Kolejka z gwarancją dokładnie jednokrotnego przetworzenia i zachowaniem kolejności → SQS FIFO
• Rozsyłanie do wielu subskrybentów → SNS
• Trasowanie zdarzeń na podstawie ich zawartości → EventBridge
• Wielostopniowy przepływ pracy z obsługą błędów → Step Functions
• Bezserwerowy ETL → AWS Glue
• Zapytania SQL ad hoc dotyczące S3 → Athena

Podsumowanie schematu wyboru bazy danych na egzamin:

• Relacyjna baza ACID, zarządzana → Amazon RDS lub Aurora
• Operacje klucz-wartość z jednocyfrowymi opóźnieniami przy dużej skali → DynamoDB
• Pamięć podręczna w pamięci, magazyn sesji → ElastiCache Redis lub Memcached
• Złożona analityka SQL na petabajtach danych → Amazon Redshift
• Relacje grafowe, wykrywanie oszustw → Amazon Neptune
• Dane szeregów czasowych z urządzeń IoT → Amazon Timestream
• Wyszukiwanie i zapytania pełnotekstowe → Amazon OpenSearch Service
• Dokumenty / JSON, zgodność z MongoDB → Amazon DocumentDB

W razie wątpliwości należy wybrać usługę, której główne przeznaczenie dokładnie odpowiada wymaganiom danego obciążenia.

Podsumowanie wyboru strategii DR na egzamin:

• Największe akceptowalne RTO/RPO, najniższy koszt → Backup and Restore (migawki S3 + AWS Backup)
• Umiarkowane RTO (godziny), niski koszt → Pilot Light (w Regionie DR replikowana jest tylko baza danych, a serwery są uruchamiane po wystąpieniu awarii)
• Krótsze RTO (minuty), pomniejszona kopia → Warm Standby (pomniejszona flota działająca w Regionie DR)
• RTO bliskie zeru, najwyższy koszt → Multi-Site Active-Active (pełna zdolność produkcyjna w co najmniej 2 Regionach, trasowanie według opóźnień Route 53)

Wskazówka egzaminacyjna: im krótsze RTO i RPO, tym droższa strategia DR. W pytaniach podawane są docelowe wartości RTO/RPO — należy dopasować je do odpowiedniej warstwy.

Szybka ściągawka dotycząca pytań o szyfrowanie i zgodność:

• Szyfrowanie obiektów S3 za pomocą klucza zarządzanego przez AWS → SSE-S3 (AES-256, bezpłatne)
• Szyfrowanie S3 z kontrolą klienta i audytem → SSE-KMS (CMK, wywołania API KMS rejestrowane w CloudTrail)
• Szyfrowanie danych EBS/RDS/EFS w spoczynku → KMS CMK (dla RDS należy włączyć je podczas tworzenia)
• Certyfikaty TLS dla ALB/CloudFront → AWS Certificate Manager (ACM, bezpłatny dla certyfikatów publicznych)
• Automatyczna rotacja danych uwierzytelniających bazy danych → AWS Secrets Manager
• Audyt wszystkich wywołań API na koncie → AWS CloudTrail
• Wykrywanie zagrożeń w czasie rzeczywistym → Amazon GuardDuty
• Wyszukiwanie danych osobowych (PII) w S3 → Amazon Macie
• Blokowanie ataków z listy OWASP Top 10 → AWS WAF
• Ochrona przed DDoS → AWS Shield (Standard bezpłatny, Advanced płatny)

Szybkie zestawienie 7 strategii migracji:

• Rehost (Lift-and-Shift) → AWS MGN, najszybsza migracja
• Replatform → RDS zamiast MySQL na EC2, najmniejszy narzut operacyjny
• Refactor → Lambda + DynamoDB, największe korzyści z chmury
• Repurchase → zastąpienie starszej aplikacji rozwiązaniem SaaS
• Retire → wycofanie nieużywanych aplikacji
• Retain → pozostawienie na razie w środowisku lokalnym
• Relocate → VMware Cloud on AWS

Usługi serverless: Lambda, API Gateway, DynamoDB On-Demand, Aurora Serverless v2, Fargate, Athena, Glue, Step Functions Express, SQS/SNS, EventBridge, S3 — gdy w treści pojawia się informacja „nie trzeba zarządzać serwerami”, odpowiedź należy wybrać z tej listy.

Sprawdź swoją znajomość zagadnień AWS Solutions Architect (SAA-C03) omówionych w tej lekcji.

Gratulujemy ukończenia pełnego kursu AWS Solutions Architect (SAA-C03). Omówili Państwo wszystkie cztery obszary egzaminacyjne: bezpieczne architektury (30%), odporne architektury (26%), wysokowydajne architektury (24%) oraz zoptymalizowane kosztowo architektury (20%). Najważniejsze wnioski: rozpoznawać słowa kluczowe wskazujące usługi, stosować dwuetapową metodę eliminacji, przeznaczać 2 minuty na pytanie i kontrolować tempo w wyznaczonych punktach, a także zawsze dopasowywać strategie DR do podanych wartości RTO/RPO. Proszę zaplanować egzamin, powtórzyć słabsze obszary, rozwiązując testy praktyczne, i stosować poznane techniki. Powodzenia na egzaminie SAA-C03!