Ngân hàng đề — AWS Certified Cloud Practitioner

Đáp án

A — Chỉ tính phí dữ liệu truyền ra (outbound)

Vì sao đúng

AWS áp một nguyên tắc rất nhất quán về phí truyền dữ liệu:

Lý do miễn phí chiều vào rất thẳng thắn: AWS muốn việc đưa dữ liệu lên đám mây không có rào cản nào. Chiều ra thì khác — nó vừa tốn băng thông thật, vừa tạo ra một yếu tố giữ chân khách hàng.

Đây cũng là khoản chi phí ẩn hay gây bất ngờ nhất trong hoá đơn, đặc biệt với ứng dụng phục vụ nhiều nội dung cho người dùng cuối. Cách giảm thông dụng: dùng CloudFront (giá truyền dữ liệu ra rẻ hơn và có phần cache), và giữ tài nguyên xử lý cùng Region với nơi lưu dữ liệu.

Vì sao các phương án khác sai

• C. Chỉ tính phí chiều vào — đảo ngược hoàn toàn.
• B. Tính cả hai chiều — sai ở chiều vào.
• D. Không tính phí chiều nào — sai ở chiều ra, và đây là khoản chi phí đáng kể trong thực tế.

Đáp án

D — Envision (Hình dung)

Vì sao đúng

AWS Cloud Adoption Framework mô tả hành trình chuyển đổi qua bốn giai đoạn lặp lại, và Envision là giai đoạn đầu tiên:

Điểm cốt lõi của Envision: nó bắt đầu từ kết quả kinh doanh, không bắt đầu từ công nghệ. Đây là lời nhắc quan trọng — rất nhiều dự án đám mây thất bại vì bắt đầu bằng câu hỏi "dùng dịch vụ nào" thay vì "muốn đạt điều gì".

Vì sao các phương án khác sai

• C. Align — tập trung vào khoảng trống năng lực và sự đồng thuận, diễn ra sau khi đã hình dung được mục tiêu.
• A. Launch — thực hiện dự án thí điểm.
• B. Scale — nhân rộng những gì đã thành công.

Đáp án

C — Amazon FSx for Windows File Server

Vì sao đúng

Chi tiết quyết định trong đề là ứng dụng chạy trên Windows. FSx for Windows File Server là dịch vụ được xây trên Windows Server thật, nên nó hỗ trợ đúng những thứ mà ứng dụng Windows trông đợi:

• Giao thức SMB — cách chuẩn để Windows truy cập tệp qua mạng.
• Tích hợp Active Directory — dùng chính tài khoản miền và quyền NTFS quen thuộc.
• Danh sách kiểm soát truy cập NTFS, Shadow Copies, khử trùng lặp dữ liệu.

Nhờ vậy chuyển file server tại chỗ lên AWS mà không phải thiết kế lại mô hình quyền.

Vì sao các phương án khác sai

• D. Amazon EFS — hệ thống tệp chia sẻ dùng NFS, giao thức của thế giới Linux; ứng dụng Windows không dùng tự nhiên được. Đây là phương án nhiễu chính, và ranh giới rất rõ:

  	EFS	FSx for Windows
  Giao thức	NFS	SMB
  Dành cho	Linux	Windows

• B. Amazon FSx for Lustre — hệ thống tệp hiệu năng cực cao cho tính toán khoa học và HPC, không phải cho ứng dụng doanh nghiệp chạy Windows.

• A. Amazon EBS — lưu trữ khối gắn vào một máy, không phải hệ thống tệp chia sẻ.

Đáp án

B và C

Vì sao đúng

• C. Lambda cho phép chạy mã mà không cần cấp phát hay quản lý máy chủ — đây là câu mô tả cốt lõi của dịch vụ. Bạn tải mã lên, AWS lo mọi thứ còn lại: cấp phát, co giãn từ 0 tới hàng nghìn lần chạy đồng thời, và tính sẵn sàng.
• B. Bạn trả tiền cho thời gian tính toán đã tiêu thụ — Lambda tính theo số lượt gọi cộng thời gian chạy nhân với bộ nhớ cấu hình, làm tròn tới mili giây. Không có yêu cầu thì không tốn gì.

Vì sao các phương án khác sai

Ba phương án còn lại đều gán cho Lambda những khả năng trái với bản chất serverless:

• A. Lambda cho phép truy cập hệ điều hành bên dưới để điều khiển hành vi bằng mã — không; không có hệ điều hành nào bạn chạm tới được. Muốn kiểm soát hệ điều hành thì dùng EC2.
• E. Lambda cho phép cài cơ sở dữ liệu lên hệ điều hành serverless bên dưới — sai theo cùng lý do; ngoài ra Lambda không giữ trạng thái, mỗi lần gọi có thể chạy trên môi trường mới.
• D. Lambda cho phép điều phối và quản lý container Docker — đó là việc của ECS hoặc EKS. (Lambda hỗ trợ đóng gói hàm bằng image container, nhưng đó khác hẳn việc điều phối container.)

Đáp án

B — Hybrid deployment (triển khai lai)

Vì sao đúng

Mô hình lai là khi hạ tầng chạy đồng thời ở trung tâm dữ liệu tại chỗ và trên đám mây, hai bên nối với nhau qua Direct Connect hoặc VPN và làm việc như một hệ thống.

Đây là mô hình rất phổ biến trong thực tế vì hiếm tổ chức nào chuyển hết một lần. Lý do giữ lại phần tại chỗ thường là: hệ thống cũ khó di chuyển, quy định bắt dữ liệu phải nằm trong nước, hoặc thiết bị đã đầu tư chưa hết khấu hao.

Vì sao các phương án khác sai

• D. Cloud deployment — chỉ đúng nếu mọi thứ đã ở trên đám mây.
• A. Private deployment — mô hình đám mây riêng, toàn bộ hạ tầng riêng biệt.
• C. "Mixed deployment" — không phải thuật ngữ chuẩn của AWS; nghe hợp lý nhưng không tồn tại trong tài liệu. Đây là bẫy chính.

Đáp án

D — Amazon Inspector

Vì sao đúng

Đề nêu hai việc, và Inspector làm cả hai: đánh giá lỗ hổng và phát hiện sai lệch so với thực hành tốt trên EC2 instance.

Inspector quét liên tục và tự động, đối chiếu phần mềm đã cài với cơ sở dữ liệu lỗ hổng đã biết (CVE), đồng thời đánh giá mức độ phơi bày ra mạng — cổng nào của instance đang tiếp cận được từ Internet, xét qua toàn bộ security group, NACL và bảng định tuyến.

Nó cũng chấm điểm rủi ro theo ngữ cảnh, không chỉ theo điểm CVSS: một lỗ hổng nghiêm trọng trên máy không tiếp cận được từ ngoài sẽ được xếp thấp hơn cùng lỗ hổng đó trên máy công khai.

Vì sao các phương án khác sai

• B. AWS Trusted Advisor — cũng kiểm tra theo thực hành tốt, nhưng ở mức tài khoản và cấu hình dịch vụ; nó không quét vào bên trong instance để tìm lỗ hổng phần mềm. Đây là phương án nhiễu chính.
• A. AWS Secrets Manager — lưu và xoay vòng bí mật.
• C. AWS CloudHSM — module phần cứng quản lý khoá mã hoá.

Đáp án

C — Quản lý bản vá cho hệ điều hành khách (guest OS) trên EC2

Vì sao đúng

Với EC2, ranh giới trách nhiệm nằm ở tầng ảo hoá: mọi thứ bên dưới là của AWS, mọi thứ bên trong instance là của bạn.

─────────────── Bạn ───────────────
Dữ liệu, ứng dụng
HỆ ĐIỀU HÀNH KHÁCH  ← bạn vá
─────────────── AWS ───────────────
Tầng ảo hoá (hypervisor)
Phần cứng, mạng nền, trung tâm dữ liệu

Đây cũng là khác biệt then chốt giữa EC2 và các dịch vụ được quản lý: với RDS hay Lambda, AWS lo luôn phần vá hệ điều hành. Chọn EC2 nghĩa là chấp nhận trách nhiệm đó để đổi lấy quyền kiểm soát.

AWS có công cụ hỗ trợ — Systems Manager Patch Manager tự động hoá việc vá theo lịch — nhưng trách nhiệm vẫn là của bạn.

Vì sao các phương án khác sai

Ba phương án còn lại đều thuộc hoàn toàn về AWS:

• A. Quản lý hạ tầng Availability Zone — hạ tầng vật lý.
• B. Vá lỗi trong hạ tầng AWS — phần bên dưới tầng ảo hoá.
• D. Quản lý cấu hình cho hạ tầng toàn cầu của AWS — thiết bị mạng nền, máy chủ vật lý.

Đáp án

D — AWS Marketplace

Vì sao đúng

AWS Marketplace là cửa hàng trực tuyến để tìm, mua và triển khai ngay phần mềm của bên thứ ba vào môi trường AWS của bạn.

Ba điểm khiến nó tiện hơn mua phần mềm theo cách truyền thống:

• Thanh toán gộp vào hoá đơn AWS — không phải làm hợp đồng riêng với từng nhà cung cấp.
• Nhiều mô hình giá — trả theo giờ, thuê bao hằng năm, dùng thử miễn phí, hoặc Bring Your Own License.
• Triển khai một cú bấm — phần mềm được đóng gói sẵn thành AMI, container hoặc mẫu CloudFormation.

Danh mục gồm hệ điều hành, phần mềm bảo mật, cơ sở dữ liệu, công cụ DevOps, ứng dụng học máy và bộ dữ liệu.

Vì sao các phương án khác sai

• C. AWS Systems Manager — quản lý và vận hành máy chủ (cài đặt bản vá, chạy lệnh từ xa); nó không phải nơi mua phần mềm.
• A. AWS Config — theo dõi thay đổi cấu hình tài nguyên.
• B. AWS OpsWorks — quản lý cấu hình bằng Chef và Puppet.

Phân biệt với một dịch vụ gần giống

AWS Service Catalog cũng là "danh mục sản phẩm", nhưng nó chứa các giải pháp nội bộ do chính tổ chức bạn duyệt, còn Marketplace bán phần mềm của bên thứ ba.

Đáp án

B và D — thời gian hàm chạy, và số lượng yêu cầu

Vì sao đúng

Giá của Lambda gồm đúng hai thành phần:

• D. Số lượng yêu cầu — tính theo mỗi triệu lượt gọi.
• B. Thời gian chạy — tính theo mili giây, và nhân với lượng bộ nhớ bạn cấu hình cho hàm (đơn vị GB-giây).

Vế thứ hai dẫn tới một điều phản trực giác đáng nhớ: tăng bộ nhớ có thể làm giảm tổng chi phí. Vì Lambda cấp CPU tỷ lệ với bộ nhớ, hàm có 1024 MB có thể chạy nhanh gấp đôi hàm 512 MB — và 2 × 512 MB × T bằng 1024 MB × T/2, trong khi độ trễ giảm một nửa. Đây chính là thứ AWS Compute Optimizer tính giúp bạn.

Vì sao các phương án khác sai

Ba phương án còn lại không ảnh hưởng tới giá:

• A. Số dòng mã — hoàn toàn không liên quan.
• C. Ngôn ngữ chạy (runtime) — Python, Node.js hay Java đều cùng biểu giá. (Ngôn ngữ gián tiếp ảnh hưởng qua tốc độ chạy và thời gian khởi động nguội, nhưng bản thân nó không phải yếu tố tính tiền.)
• E. Kích thước gói triển khai — không tính phí; nó chỉ bị giới hạn dung lượng (250 MB đã giải nén).

Đáp án

A — Amazon S3 Glacier Deep Archive

Vì sao đúng

Ba dữ kiện trong đề chỉ ra đúng lớp này: dữ liệu lịch sử, giữ 10 năm vì quy định, và tiết kiệm chi phí nhất.

Glacier Deep Archive là lớp rẻ nhất của S3, dựng chính xác cho dữ liệu bạn gần như chắc chắn sẽ không cần tới nhưng buộc phải giữ — hồ sơ y tế, hồ sơ tài chính, bản sao lưu tuân thủ.

Cái giá phải trả là thời gian lấy dữ liệu 12–48 giờ. Với dữ liệu lưu trữ theo quy định thì điều này chấp nhận được: nếu bị yêu cầu xuất trình, bạn có nhiều ngày để chuẩn bị.

Điều kiện đi kèm: mức tối thiểu 180 ngày lưu trữ. Xoá sớm hơn vẫn bị tính đủ 180 ngày — nhưng với dữ liệu giữ 10 năm thì không thành vấn đề.

Vì sao các phương án khác sai

• D. S3 Glacier Flexible Retrieval — cũng dành cho lưu trữ dài hạn nhưng đắt hơn Deep Archive khoảng bốn lần; nó đáng dùng khi bạn cần lấy dữ liệu trong vài phút tới vài giờ, còn đề không có yêu cầu đó. Đây là phương án nhiễu chính.
• C. Amazon EFS — hệ thống tệp truy cập tức thì, đắt hơn nhiều lần và hoàn toàn thừa cho dữ liệu không ai đụng tới.
• B. AWS Storage Gateway — là cầu nối cho ứng dụng tại chỗ truy cập lưu trữ đám mây, không phải một lớp lưu trữ.