破解棘手的场景题

SCS-C02 题目大多是场景题：一段文字描述某种情况，并要求您选择最佳操作。通常有多个选项在技术上都可行。

您的任务是找出最安全、权限最小且符合 AWS 建议的答案，而不只是一个能用的答案。

在查看选项前，先找出关键要求：“最低运营开销”“无需管理服务器”“最具成本效益”“不暴露密钥”。

这些限定条件会排除那些其他方面正确的答案。请在脑中标记它们；它们才是题目的真正重点。

当两个答案都能授予访问权时，授予更少权限的答案通常是正确的。

• 选择限定范围的角色，而不是宽泛的角色。
• 选择特定资源，而不是通配符。
• 选择临时凭证，而不是长期密钥。

最低权限是考试默认遵循的原则。

AWS 更推崇托管服务和自动化，而不是手动操作。

• 使用密钥管理器轮换，而不是手动脚本。
• 使用 SSM 会话管理器，而不是自行运行的堡垒主机。
• 使用 EventBridge 自动修复，而不是依靠值班人员。

“最低运营开销”通常指向这类方案。

快速排除以下答案：

• 使用根账户处理日常工作。
• 将长期密钥嵌入代码。
• 不必要地开放 0.0.0.0/0。
• 禁用加密或日志记录。

这些选项几乎从来都不是正确答案。

诱人的干扰项会提到真实存在的服务，但该服务并不完全符合要求。

例如，题目需要麦希进行数据发现，却给出用于检测的 GuardDuty；或者题目需要有状态的安全组，却给出网络访问控制列表。请将服务与其确切用途匹配起来。

跨账户和 KMS 题目会考查您是否记得，访问必须得到双方允许。

只修复信任策略而不修复调用方的 IAM 权限，或只修复密钥策略而不修复 IAM 权限的答案，都是不完整的。请寻找涵盖双方的选项。

Recall the small but tested facts:

• CloudFront certificates must be in us-east-1.
• You cannot encrypt an existing volume in place; copy a snapshot.
• Sharing an encrypted snapshot needs the KMS key shared too.

时间有限时，不要在一道难题上投入过多时间。

• 排除明显错误的选项，选出最佳答案，并标记以便复查。
• 简单题和难题的分值相同。

请合理控制答题速度，确保完成所有题目。

注意题目中的动词。“Prevent”（预防）或“block”（阻止）指向预防性控制措施（SCP、安全组、拒绝访问的存储桶策略）。

“Detect”（侦测）、“alert”（告警）或“investigate”（调查）指向侦测性控制措施（GuardDuty、配置、CloudTrail、侦探）。将动词与控制类型对应起来，可以快速缩小正确答案的范围。

对于每个场景：确定核心要求，记录限定条件，排除不安全或过度配置的选项，然后选择最小权限、托管式答案。

这一流程可以将令人望而生畏的段落转化为清晰的决策。

应用解码策略。

您学会了解码场景。

• 阅读能够缩小答案范围的限定条件。
• 优先选择最小权限、托管式、自动化的选项。
• 排除不安全的选择，并记住双向权限和区域方面的易错点。