混合领域全长模拟考试

本综合实践课程包含 10 道混合领域场景题，涵盖 SAA-C03 的四个领域：安全架构、弹性架构、高性能架构和成本优化架构。每道题先给出一个场景和四个答案选项，随后提供正确答案及解释。请将每道题视为限时挑战——目标是每题用时 2 分钟。请使用之前课程中介绍的关键词和排除技巧。最后，快速检查测验会测试一道综合实践场景题。

Q1（领域 1）：某个 EC2 实例需要访问 S3，但不能存储长期凭证。最佳解决方案：通过实例配置文件附加 IAM 角色。应用程序会自动从实例元数据服务获取临时凭证，无需在任何位置存储密钥。

Q2（领域 1）：一名开发人员意外地将 IAM 访问密钥提交到了公开的 GitHub 存储库。第一步应该做什么？答案：立即停用并删除暴露的访问密钥对。攻击者可以通过自动扫描器在几秒内找到并使用暴露在 GitHub 上的密钥。删除存储库或轮换密钥都太慢了——必须先使旧的活动密钥失效。

Q3（领域 2）：一个处理 SQS 订单的 Lambda 函数有 5% 的失败率，订单会丢失。如何修复？答案：配置带有 maxReceiveCount=3 的 Dead-Letter Queue（DLQ）。失败的消息会被保留下来以供调查，而不是在可见性超时到期后消失。

Q4（领域 2）：一家公司需要为 RDS 制定灾难恢复方案，要求 RPO 为 1 小时、RTO 为 4 小时，预算适中。答案：Pilot Light——使用 Cross-Region Read Replica 将 RDS 复制到第二个 Region。发生灾难时，将副本提升为独立数据库，并从预先构建的 AMI 启动应用服务器。

Q5（领域 3）：某应用需要在全球范围内以每秒 100 万次写入的吞吐量，为键值查找提供个位数毫秒级延迟。答案：使用具有 On-Demand 容量模式的 Amazon DynamoDB，并通过 Global Tables 实现多 Region 主动-主动复制。

Q6（领域 3）：某内容管理系统需要一个可供 20 台 EC2 Linux 实例同时访问的共享文件系统。答案：Amazon EFS。EFS 支持数千个并发挂载，并提供符合 POSIX 的共享命名空间。EBS 一次只能以读写方式挂载到一台实例上（Multi-Attach 受到限制）。自行管理 NFS 会增加运维负担。

Q7（领域 4）：一家公司运行视频转码任务，每个任务耗时 2–4 小时，可以容忍中断并通过检查点重新启动，而且任务会持续运行。最佳定价模式是什么？答案：使用 EC2 Spot Instances，并由 AWS Batch 管理重试。Spot 最多可享受 90% 的折扣，这是可容忍中断的批处理工作负载能够获得的最大折扣。

Q8（领域 4）：一个 Python 脚本每天凌晨 2 点运行一次，每次运行 20 分钟，但承载它的 t3.micro EC2 却全天候运行。如何最大限度降低成本？答案：将脚本移到由 EventBridge 计划规则触发的 Lambda 函数中，并终止 EC2 实例。Lambda 每晚运行 20 分钟的费用低于每月 $0.01，而始终运行的 t3.micro 每月需要 $7.49。

Q9（混合领域）：一家公司需要确保某个 Organisation 中的 50 个 AWS 账户只能在 eu-central-1 中创建 ALL AWS 资源。答案：Create 一个 Service Control Policy（SCP），拒绝 RequestedRegion 不是 eu-central-1 时的操作，并将其附加到 Organisation 根。SCP 会同时应用于所有成员账户中的所有 IAM 实体，包括根用户。

Q10（混合领域）：一家初创公司构建 REST API，需要对用户进行身份验证、存储数据、处理每天 100 万个请求，并且不管理基础设施。答案：API Gateway HTTP API + Lambda + Cognito User Pool + DynamoDB On-Demand。这是完全无服务器且成本最低的技术栈，无需进行容量规划或管理服务器。

最常被混淆的 SAA-C03 服务选择快速参考：

• 从 VPC 私下免费访问 S3 → S3 Gateway Endpoint
• 共享 POSIX 文件系统，Linux → Amazon EFS
• Windows SMB 共享 → FSx for Windows File Server
• 多个使用者、同一数据流、支持重放 → Kinesis Data Streams
• 严格一次且有序的队列 → SQS FIFO
• 向多个订阅者扇出 → SNS
• 基于内容的事件路由 → EventBridge
• 带错误处理的多步骤工作流 → Step Functions
• 无服务器 ETL → AWS Glue
• 在 S3 上执行临时 SQL 查询 → Athena

考试中的数据库选择框架总结：

• ACID 关系型、托管式 → Amazon RDS 或 Aurora
• 大规模个位数毫秒级键值访问 → DynamoDB
• 内存缓存、会话存储 → ElastiCache Redis 或 Memcached
• 针对 PB 级数据的复杂 SQL 分析 → Amazon Redshift
• 图关系、欺诈检测 → Amazon Neptune
• IoT 时间序列数据 → Amazon Timestream
• 搜索和全文查询 → Amazon OpenSearch Service
• 文档 / JSON，兼容 MongoDB → Amazon DocumentDB

如果无法确定，请选择其主要设计用途与题目明确说明的工作负载要求完全匹配的服务。

考试中的 DR 策略选择总结：

• 可容忍最高的 RTO/RPO、最低成本 → Backup and Restore（S3 快照 + AWS Backup）
• 中等 RTO（数小时）、低成本 → Pilot Light（仅在 DR Region 中复制数据库，发生灾难时启动服务器）
• 较低 RTO（数分钟）、缩减规模的副本 → Warm Standby（在 DR Region 中运行缩减后的实例群）
• 接近零的 RTO、最高成本 → Multi-Site Active-Active（在 2 个或更多 Region 中提供完整生产容量，使用 Route 53 延迟路由）

考试提示：RTO 和 RPO 越短，DR 策略的成本越高。题目会给出 RTO/RPO 目标，请将其匹配到适当的层级。

加密与合规问题快速参考：

• 使用 AWS 管理的密钥加密 S3 对象 → SSE-S3（AES-256，免费）
• 使用客户控制的密钥加密 S3 并进行审计 → SSE-KMS（CMK，KMS API 调用会记录在 CloudTrail 中）
• 加密静态存储中的 EBS/RDS/EFS 数据 → KMS CMK（RDS 必须在创建时启用）
• 用于 ALB/CloudFront 的 TLS 证书 → AWS Certificate Manager（ACM，公有证书免费）
• 自动轮换数据库凭证 → AWS Secrets Manager
• 审计账户中的所有 API 调用 → AWS CloudTrail
• 实时检测威胁 → Amazon GuardDuty
• 查找 S3 中的 PII → Amazon Macie
• 阻止 OWASP 前十类攻击 → AWS WAF
• DDoS 防护 → AWS Shield（Standard 免费，Advanced 收费）

迁移 7R 快速参考：

• Rehost（迁移上云）→ AWS MGN，迁移速度最快
• Replatform（平台重构）→ 使用 RDS 替代 EC2 上的 MySQL，运维开销最低
• Refactor（重构）→ Lambda + DynamoDB，云端收益最高
• Repurchase（重新购买）→ 用 SaaS 替代旧版应用
• Retire（停用）→ 退役不再使用的应用
• Retain（保留）→ 暂时继续保留在本地
• Relocate（迁移位置）→ AWS 上的 VMware Cloud

无服务器服务：Lambda、API Gateway、DynamoDB On-Demand、Aurora Serverless v2、Fargate、Athena、Glue、Step Functions Express、SQS/SNS、EventBridge、S3——当题目提到“无需管理服务器”时，请从此列表中作答。

请测试您对本课 AWS Solutions Architect（SAA-C03）概念的理解。

恭喜您完成完整的 AWS Solutions Architect（SAA-C03）课程。您已经学习了考试的四个领域：安全架构（30%）、弹性架构（26%）、高性能架构（24%）和成本优化架构（20%）。重点内容包括：识别用于确定服务的关键词信号，使用两轮排除法，每道题分配 2 分钟并设置答题进度检查点，以及始终根据题目给出的 RTO/RPO 目标匹配 DR 策略。请安排考试时间，通过练习测试复习薄弱领域，并运用您学到的技巧。祝您 SAA-C03 考试顺利！