Decifrando Questões Complicadas de Cenários

As questões do SCS-C02 são principalmente baseadas em cenários: um parágrafo descreve uma situação e solicita a melhor ação. Muitas vezes, várias opções funcionariam tecnicamente.

Sua tarefa é encontrar a resposta mais segura, com menor privilégio e recomendada pela AWS, não apenas uma resposta viável.

Procure os requisitos principais antes de analisar as opções: "menor sobrecarga operacional", "sem gerenciar servidores", "mais econômica", "sem expor chaves".

Esses qualificadores eliminam respostas que, de outra forma, estariam corretas. Destaque-os mentalmente; eles são a verdadeira questão.

Quando duas respostas concedem acesso, geralmente a correta é a que concede menos.

• Função com escopo definido em vez de função ampla.
• Recurso específico em vez de um curinga.
• Credenciais temporárias em vez de chaves de longo prazo.

O privilégio mínimo é o princípio padrão do exame.

A AWS valoriza serviços gerenciados e automação em vez de esforço manual.

• Alternância do Secrets Manager em vez de um script manual.
• Gerenciador de Sessões do SSM em vez de um bastião administrado por você.
• Correção automática pelo EventBridge em vez de uma pessoa de plantão.

"Menor sobrecarga operacional" aponta para essa opção.

Descarte rapidamente as respostas que:

• Usam a conta raiz para tarefas rotineiras.
• Incorporam chaves de longo prazo ao código.
• Abrem 0.0.0.0/0 sem necessidade.
• Desabilitam a criptografia ou o registro.

Quase nunca essas opções estão corretas.

Distratores atraentes mencionam um serviço real que não se encaixa exatamente.

Por exemplo, o GuardDuty (detecção) quando a questão exige o Macie (descoberta de dados), ou NACLs quando o objetivo é um grupo de segurança com estado. Associe o serviço à sua finalidade precisa.

Questões sobre várias contas e KMS avaliam se você se lembra de que os dois lados precisam permitir o acesso.

Uma resposta que corrige apenas a política de confiança, mas não a permissão do IAM do solicitante (ou apenas a política da chave, mas não o IAM), está incompleta. Procure a opção que abrange os dois lados.

Relembre estes fatos pequenos, mas já testados:

• Os certificados do CloudFront devem estar em us-east-1.
• Não é possível criptografar um volume existente no local; copie um snapshot.
• Para compartilhar um snapshot criptografado, a chave KMS também precisa ser compartilhada.

Com pouco tempo, não invista demais em uma questão difícil.

• Elimine as opções claramente erradas, escolha a melhor resposta e marque-a para revisão.
• As questões fáceis valem o mesmo que as difíceis.

Controle seu ritmo para chegar a todas as questões.

Observe os verbos usados na questão. "Impedir" ou "bloquear" aponta para controles preventivos (políticas de controle de serviço, grupos de segurança e negações em políticas de bucket).

"Detectar", "alertar" ou "investigar" aponta para controles detetivos (GuardDuty, Config, CloudTrail e Detective). Relacionar o verbo ao tipo de controle restringe rapidamente a resposta correta.

Para cada cenário: identifique o requisito principal, observe os qualificadores, elimine as opções inseguras ou excessivas e escolha a resposta gerenciada e de menor privilégio.

Essa rotina transforma parágrafos intimidadores em uma decisão clara.

Aplique a estratégia de decodificação.

Você aprendeu a decodificar cenários.

• Leia os qualificadores que restringem a resposta.
• Prefira opções de menor privilégio, gerenciadas e automatizadas.
• Elimine escolhas inseguras e lembre-se das armadilhas de permissões em duas camadas e de regiões.