Разбор сложных вопросов по сценариям

Вопросы SCS-C02 в основном представлены сценариями: абзац описывает ситуацию и спрашивает о наилучшем действии. Нередко несколько вариантов технически могли бы сработать.

Ваша задача - найти наиболее безопасный, соответствующий минимальным привилегиям и рекомендованный AWS ответ, а не просто работоспособный.

Перед вариантами ответов найдите ключевые требования: «минимальная операционная нагрузка», «без управления серверами», «наиболее экономично», «без раскрытия ключей».

Эти уточнения исключают ответы, которые в иных условиях были бы верными. Мысленно подчеркните их: именно в них заключается вопрос.

Когда два ответа предоставляют доступ, обычно правилен тот, который предоставляет меньше прав.

• Роль с ограниченной областью действия вместо широкой роли.
• Конкретный ресурс вместо подстановочного символа.
• Временные учетные данные вместо долгосрочных ключей.

Минимальные привилегии - значение по умолчанию на экзамене.

AWS отдает предпочтение управляемым сервисам и автоматизации перед ручной работой.

• Смена секретов в Диспетчере секретов вместо ручного сценария.
• Диспетчер сеансов SSM вместо самостоятельно управляемого бастионного узла.
• Автоматическое устранение через EventBridge вместо дежурного специалиста.

Фраза «минимальная операционная нагрузка» указывает на этот вариант.

Быстро отбрасывайте ответы, которые:

• Используют корневую учетную запись для повседневной работы.
• Встраивают долгосрочные ключи в код.
• Без необходимости открывают доступ для 0.0.0.0/0.
• Отключают шифрование или журналирование.

Такие варианты почти никогда не бывают правильными.

В привлекательных отвлекающих вариантах называется реальный сервис, который не вполне подходит.

Например, GuardDuty (обнаружение), когда в вопросе нужен Маси (обнаружение данных), или NACL, когда требуется группа безопасности с сохранением состояния. Сопоставляйте сервис с его точным назначением.

Вопросы о доступе между учетными записями и KMS проверяют, помните ли Вы, что доступ должны разрешать обе стороны.

Ответ, который исправляет только политику доверия, но не разрешение IAM вызывающей стороны (или только политику ключа, но не IAM), неполон. Ищите вариант, охватывающий обе стороны.

Вспомните небольшие, но проверяемые факты:

• Сертификаты CloudFront должны находиться в us-east-1.
• Нельзя зашифровать существующий том на месте; скопируйте снимок.
• Чтобы поделиться зашифрованным снимком, нужно также предоставить доступ к ключу KMS.

Если время ограничено, не тратьте слишком много времени на один сложный вопрос.

• Исключите явно неверные варианты, выберите наиболее подходящий и отметьте вопрос для повторного просмотра.
• Простые вопросы оцениваются так же, как сложные.

Рассчитывайте темп так, чтобы успеть ответить на каждый вопрос.

Обращайте внимание на глаголы в вопросе. «Предотвратить» или «заблокировать» указывает на средства предотвращения (SCP, группы безопасности, запреты в политике корзины).

«Обнаружить», «оповестить» или «расследовать» указывает на средства обнаружения (GuardDuty, Config, CloudTrail, Detective). Если сопоставить глагол с типом средства, правильный ответ можно быстро определить.

Для каждого сценария определите основное требование, отметьте уточняющие условия, исключите небезопасные или избыточные варианты и выберите ответ, соответствующий принципам минимальных привилегий и управляемого сервиса.

Этот алгоритм превращает пугающие объёмные описания в понятное решение.

Примените стратегию расшифровки вопроса.

Вы научились расшифровывать сценарии.

• Читайте уточняющие условия, сужающие выбор ответа.
• Отдавайте предпочтение вариантам с минимальными привилегиями, управляемым сервисом и автоматизацией.
• Исключайте небезопасные варианты и помните о нюансах двусторонних разрешений и регионов.