Ngân hàng đề — AWS Certified Cloud Practitioner

Đáp án

C — AWS Trusted Advisor

Vì sao đúng

Trusted Advisor quét môi trường AWS của bạn và đối chiếu với thực hành tốt của AWS, rồi đưa khuyến nghị theo năm hạng mục:

Đề nhắc tới đúng ba trong năm hạng mục — chi phí, bảo mật, hiệu năng — nên đây là câu trả lời trực tiếp.

Lưu ý về gói hỗ trợ: gói Basic và Developer chỉ thấy các kiểm tra cốt lõi; từ Business trở lên mới có đủ bộ.

Vì sao các phương án khác sai

• A. AWS Cost Explorer — chỉ lo chi phí, không xét bảo mật hay hiệu năng.
• D. Amazon Inspector — chỉ lo lỗ hổng bảo mật của workload.
• B. Amazon CloudWatch — giám sát chỉ số và log; nó cho dữ liệu chứ không đưa khuyến nghị kiến trúc.

Đáp án

D — Amazon EMR

Vì sao đúng

EMR (Elastic MapReduce) là dịch vụ được quản lý để chạy các framework dữ liệu lớn: Apache Hadoop, Spark, Hive, HBase, Presto, Flink.

Nó lo phần vất vả nhất của việc vận hành Hadoop: cấp phát cụm, cài đặt và cấu hình framework, điều chỉnh số node theo tải, xử lý node hỏng, và tích hợp sẵn với S3 để lưu dữ liệu.

Một điểm tối ưu chi phí đáng nhớ: EMR chạy được trên Spot Instance, và vì công việc dữ liệu lớn thường chịu được gián đoạn, đây là cách giảm chi phí rất mạnh.

Vì sao các phương án khác sai

• C. Amazon EC2 — bạn tự cài Hadoop lên đó được, nhưng khi ấy phải tự cấu hình, tự vá, tự quản lý cụm — đúng thứ EMR sinh ra để tránh. Đây là phương án nhiễu chính.
• A. AWS Batch — chạy tác vụ theo lô trên container; nó không phải nền tảng Hadoop.
• B. AWS Step Functions — điều phối quy trình nhiều bước.

Đáp án

C — Amazon S3 One Zone-Infrequent Access (S3 One Zone-IA)

Vì sao đúng

Ba dữ kiện trong đề ghép lại chỉ ra đúng lớp lưu trữ này:

• Ít được dùng → lớp Infrequent Access.
• Cần truy cập được ngay → không dùng được Glacier.
• Tạo lại dễ dàng nếu mất → đây là chi tiết quyết định: bạn không cần độ bền cao nhất, nên không phải trả tiền cho nó.

One Zone-IA lưu dữ liệu ở một Availability Zone duy nhất thay vì ba, nên rẻ hơn Standard-IA khoảng 20%. Đánh đổi: mất trọn AZ đó là mất dữ liệu — nhưng thumbnail thì sinh lại được từ ảnh gốc.

Vì sao các phương án khác sai

• B. S3 Standard-IA — cũng dành cho dữ liệu ít truy cập, nhưng lưu ở ba AZ; bạn trả thêm cho độ bền mà đề đã nói rõ là không cần. Đây là phương án nhiễu chính.
• A. S3 Glacier Flexible Retrieval — rẻ hơn nhưng lấy dữ liệu mất từ phút tới giờ, vi phạm yêu cầu "truy cập ngay từ ứng dụng web".
• D. S3 Standard — đắt nhất, dành cho dữ liệu truy cập thường xuyên.

Ghi nhớ

Hễ đề nói dữ liệu "tạo lại được" hoặc "không quan trọng", hãy nghĩ tới One Zone-IA.

Đáp án

A và D — AWS Direct Connect và AWS VPN

Vì sao đúng

Đây là hai cách nối trung tâm dữ liệu tại chỗ với AWS, và chúng đánh đổi khác nhau:

Trong thực tế, kiến trúc phổ biến là dùng cả hai: Direct Connect làm đường chính, VPN làm dự phòng — vừa có băng thông ổn định vừa có đường thay thế khi đường riêng hỏng.

Vì sao các phương án khác sai

• B. Internet Gateway — cho tài nguyên trong VPC ra Internet; nó không nối tới mạng tại chỗ.
• C. Amazon VPC — là mạng ảo của bạn trên AWS, tức là đích đến, không phải phương tiện kết nối.
• E. Amazon Route 53 — dịch vụ DNS.

Đáp án

C — Amazon DynamoDB

Vì sao đúng

Đề đòi ít công vận hành nhất ở mọi quy mô, và đó là điểm mạnh nhất của DynamoDB:

• Không có máy chủ nào để quản lý — không cấp phát, không vá, không nâng cấp phiên bản.
• Co giãn tự động theo tải, hoặc dùng chế độ on-demand để không phải nghĩ tới năng lực.
• Hiệu năng mili giây một chữ số giữ nguyên dù dữ liệu tăng lên hàng terabyte.

Với dữ liệu của hệ gợi ý thì mô hình cũng khớp: truy vấn chủ yếu là tra theo khoá (lấy gợi ý cho người dùng này), đúng thứ DynamoDB làm nhanh nhất.

Vì sao các phương án khác sai

• B. Amazon RDS — là dịch vụ được quản lý, nhưng bạn vẫn phải chọn loại instance, theo dõi dung lượng, quyết định khi nào nâng cấp. Ở quy mô lớn, việc mở rộng theo chiều ngang cũng khó hơn nhiều. Đây là phương án nhiễu chính.
• A. Amazon Neptune — cơ sở dữ liệu đồ thị; hợp với quan hệ phức tạp, nhưng vẫn cần quản lý cụm và không phải lựa chọn ít công nhất.
• D. Amazon S3 — là lưu trữ đối tượng, không phải cơ sở dữ liệu; nó không truy vấn theo khoá với độ trễ thấp như cơ sở dữ liệu.

Đáp án

D — AWS Business Support

Vì sao đúng

Đề đòi hỗ trợ kỹ thuật qua điện thoại 24/7 với chi phí thấp nhất có thể. Business là gói rẻ nhất có tính năng đó:

Business cũng là gói đầu tiên có toàn bộ kiểm tra Trusted Advisor và hỗ trợ phần mềm bên thứ ba — nên nó là mốc nâng cấp phổ biến nhất với các công ty đang chạy hệ thống thật.

Vì sao các phương án khác sai

• C. Developer Support — rẻ hơn, nhưng chỉ hỗ trợ qua email trong giờ làm việc; không đáp ứng yêu cầu 24/7 qua điện thoại. Đây là phương án nhiễu chính.
• B. Enterprise On-Ramp và A. Enterprise Support — đắt hơn nhiều; chúng đáp ứng yêu cầu nhưng vi phạm tiêu chí "tiết kiệm nhất".

Đáp án

C — Latency-based routing (định tuyến theo độ trễ)

Vì sao đúng

Latency-based routing trả về endpoint cho độ trễ mạng thấp nhất với từng người dùng cụ thể.

Điểm quan trọng: Route 53 không đơn thuần chọn Region gần nhất về địa lý. Nó dựa trên dữ liệu đo độ trễ thực tế mà AWS thu thập liên tục — và độ trễ thật đôi khi không tương ứng với khoảng cách, vì đường đi trên Internet phụ thuộc vào cách các nhà mạng kết nối với nhau.

Vì sao các phương án khác sai

• B. Weighted routing — chia lưu lượng theo tỷ lệ bạn đặt; dùng cho triển khai blue/green và kiểm thử A/B, không tối ưu độ trễ.
• A. Failover routing — chỉ có chính và dự phòng, chuyển hướng dựa trên kết quả health check.
• D. Simple routing — trả về một hoặc nhiều giá trị không xét vị trí người dùng; nếu nhiều giá trị thì trả ngẫu nhiên.

Phân biệt với một chính sách rất gần

Geolocation routing định tuyến theo vị trí địa lý của người dùng — dùng khi bạn muốn phục vụ nội dung khác nhau theo quốc gia (ngôn ngữ, quy định pháp lý). Còn latency-based tối ưu tốc độ. Hai cái nghe giống nhau nhưng giải hai bài toán khác nhau.

Đáp án

A và D — EC2 instance cùng Auto Scaling group, và EBS volume cùng hàm Lambda

Vì sao đúng

AWS Compute Optimizer phân tích chỉ số sử dụng thực tế bằng học máy rồi khuyến nghị cấu hình tối ưu. Nó phủ đúng bốn loại tài nguyên nằm trong hai phương án đúng:

Mục cuối rất đáng chú ý vì nó phản trực giác: tăng bộ nhớ cho Lambda cũng tăng CPU tương ứng, nên hàm chạy nhanh hơn — và đôi khi tổng chi phí lại giảm dù đơn giá mỗi mili giây cao hơn. Compute Optimizer tính giúp bạn điểm cân bằng đó.

(Nó cũng hỗ trợ ECS service trên Fargate và RDS, nhưng hai cái này không có trong phương án.)

Vì sao các phương án khác sai

Ba phương án còn lại đều nhắc tới dịch vụ không được Compute Optimizer hỗ trợ:

• B. Amazon S3 — lưu trữ đối tượng, không có "cấu hình tính toán" để tối ưu.
• C và E. Amazon EFS — cũng không nằm trong phạm vi của dịch vụ.

Đáp án

A — AWS Acceptable Use Policy (Chính sách sử dụng chấp nhận được)

Vì sao đúng

Acceptable Use Policy là văn bản mô tả những hành vi bị cấm khi dùng dịch vụ của AWS. Nó là một phần của Thoả thuận Khách hàng, và mọi khách hàng đều bị ràng buộc bởi nó.

Các nhóm hành vi bị cấm gồm: hoạt động bất hợp pháp hoặc gây hại, phát tán thư rác, xâm phạm quyền sở hữu trí tuệ, làm gián đoạn hệ thống của người khác (tấn công từ chối dịch vụ, quét cổng trái phép), và phát tán mã độc.

Nếu bạn phát hiện hành vi vi phạm phát xuất từ tài nguyên AWS, kênh báo cáo là AWS Abuse Team (abuse@amazonaws.com).

Một lưu ý thực hành liên quan: kiểm thử xâm nhập đối với tài nguyên của chính bạn giờ đã được phép cho một số dịch vụ mà không cần xin trước, nhưng kiểm thử gây tải nặng thì vẫn phải xin.

Vì sao các phương án khác sai

• B. "AWS Fair Use Policy" và C. "AWS Applicable Use Policy" — không tồn tại; đây là hai tên bịa nghe rất giống tên thật.
• D. AWS Trusted Advisor — là công cụ đưa khuyến nghị kỹ thuật, không phải chính sách pháp lý.

Đáp án

A — AWS Web Application Firewall (AWS WAF)

Vì sao đúng

Đề nêu đích danh SQL injection và cross-site scripting — hai kiểu tấn công web kinh điển ở tầng 7, và WAF là dịch vụ dựng riêng cho chúng.

WAF đọc được nội dung của yêu cầu HTTP: đường dẫn, header, cookie, chuỗi truy vấn, thân yêu cầu. Chính khả năng đó cho phép nó nhận ra mã SQL hay đoạn script nhúng trong tham số — thứ mà tầng thấp hơn nhìn vào chỉ thấy một yêu cầu bình thường.

Bạn không phải tự viết luật: AWS cung cấp Managed Rule Groups dựng sẵn, trong đó có bộ chống SQL injection và XSS, được AWS cập nhật liên tục.

Vì sao các phương án khác sai

• C. Amazon Inspector — quét lỗ hổng phần mềm trên EC2 và container; nó tìm ra điểm yếu chứ không chặn lưu lượng tấn công đang diễn ra. Đây là phương án nhiễu chính.
• D. Amazon GuardDuty — phát hiện mối đe doạ bằng cách phân tích nhật ký; cũng chỉ phát hiện, không chặn.
• B. Amazon CloudWatch — giám sát và cảnh báo.

Ghi nhớ