Ngân hàng đề — AWS Certified Cloud Practitioner

🔎 Phân tích câu hỏi

Which AWS service uses edge locations to cache content?

Câu hỏi yêu cầu xác định dịch vụ AWS nào hỗ trợ việc lưu trữ (cache) nội dung tại các Edge Location – các điểm cuối mạng nằm ở các thành phố, khu vực địa lý khác nhau trên toàn cầu, dùng để giảm độ trễ và tăng tốc độ truy cập cho người dùng cuối.

Trong AWS, Edge Locations là thành phần cốt lõi của Amazon CloudFront (mạng phân phối nội dung – CDN) và cũng được sử dụng bởi một số tính năng phụ trợ như AWS Global Accelerator và AWS WAF, nhưng câu hỏi chỉ tập trung vào việc “cache content”, vì vậy đáp án đúng là Amazon CloudFront.

✅ Đáp án đúng

• ✅ Amazon CloudFront

  CloudFront là dịch vụ Content Delivery Network (CDN) của AWS. Khi bạn tạo một distribution, nội dung (HTML, hình ảnh, video, API responses, …) sẽ được sao chép và lưu trữ tạm thời (cache) tại các Edge Locations gần người dùng cuối. Khi có yêu cầu, CloudFront sẽ trả về nội dung đã cache nếu vẫn còn hợp lệ, giảm thời gian phản hồi và tải cho origin server (S3, EC2, ELB, …).

  👉 Nguồn: Amazon CloudFront Developer Guide – Edge Locations (cập nhật tới 2024, vẫn chưa có thay đổi lớn tới 2026).

❌ Giải thích các phương án sai

• ❌ Amazon Kinesis

  • Mô tả: Dịch vụ thu thập, xử lý và phân tích luồng dữ liệu thời gian thực.
  • Lý do sai: Kinesis không có khái niệm edge location; nó hoạt động trong các regional AWS Regions và Availability Zones, không thực hiện caching nội dung cho người dùng cuối.

• ❌ Amazon Simple Queue Service (Amazon SQS)

  • Mô tả: Dịch vụ hàng đợi tin nhắn hoàn toàn quản lý, dùng để truyền tải tin nhắn giữa các thành phần của ứng dụng.
  • Lý do sai: SQS là dịch vụ regional và không có cơ chế cache tại Edge Locations. Nó chỉ lưu trữ tin nhắn trong các queue nội bộ của AWS.

• ❌ Amazon Route 53

  • Mô tả: Dịch vụ DNS quản lý tên miền và routing lưu lượng dựa trên chính sách (latency‑based, geolocation, …).
  • Lý do sai: Mặc dù Route 53 có global anycast network và “edge locations” cho DNS query routing, nhưng nó không cache nội dung. Nó chỉ trả về bản ghi DNS và không lưu trữ dữ liệu tĩnh như hình ảnh, video, hay API response.

🧩 Tổng hợp kiến thức liên quan (đến năm 2026)

1. Edge Locations vs. Regional Edge Caches

   • Edge Locations: Đầu cuối mạng gần người dùng, dùng để cache nội dung và chạy các chức năng như Lambda@Edge, WAF.
   • Regional Edge Caches: Các cache trung gian lớn hơn nằm trong các region, giúp giảm tải cho origin khi nội dung không có ở Edge Locations.

2. Các dịch vụ AWS khác cũng khai thác Edge Locations

   • AWS Global Accelerator: Dùng các Edge Locations để định tuyến lưu lượng qua mạng backbone của AWS, không phải để cache nội dung.
   • Lambda@Edge: Cho phép chạy mã tại Edge Locations, nhưng vẫn phụ thuộc vào CloudFront để cache.

3. Cập nhật tính năng (2025‑2026)

   • CloudFront bổ sung Realtime Log Streaming và Cache‑Control enhancements (ví dụ: “Cache-Tag” hỗ trợ invalidation linh hoạt hơn).
   • Edge Locations mở rộng tới hơn 300 điểm trên toàn cầu, bao gồm các khu vực mới ở châu Á‑Thái Bình Dương và châu Phi.

📚 Tham khảo

1. Amazon CloudFront Developer Guide – “Edge Locations” (phiên bản 2024‑2026).
   https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/edge-caching.html
2. AWS Global Infrastructure – “Edge Locations”.
   https://aws.amazon.com/about-aws/global-infrastructure/
3. AWS Blog – New CloudFront Features (2025) – mô tả các cải tiến cache và edge.
   https://aws.amazon.com/blogs/aws/category/networking-content-delivery/amazon-cloudfront/

📝 Kết luận:
Trong các lựa chọn đưa ra, Amazon CloudFront là dịch vụ duy nhất sử dụng edge locations để cache nội dung, do đó là đáp án đúng. Các dịch vụ khác (Kinesis, SQS, Route 53) đều không có chức năng cache tại edge và vì thế là các đáp án sai.

📖 Phân tích câu hỏi

• Yêu cầu: Một công ty muốn truy cập an toàn vào một Amazon S3 bucket từ một Amazon EC2 instance không cần kết nối Internet.
• Điều kiện:
  1. Không có kết nối Internet ra bên ngoài (không dùng NAT, IGW, VPN tới Internet).
  2. Giao tiếp phải nằm trong VPC và phải được bảo mật (không qua mạng công cộng).

Vì vậy câu hỏi đang kiểm tra kiến thức về cách kết nối nội bộ VPC tới các dịch vụ AWS (S3) mà không cần qua Internet – cụ thể là VPC Endpoints (Gateway Endpoint cho S3) – một tính năng đã có từ năm 2017 và vẫn được duy trì, cập nhật trong AWS 2026 (đã hỗ trợ PrivateLink cho nhiều dịch vụ và Gateway Endpoint cho S3 & DynamoDB).

✅ Đáp án đúng: VPC endpoint

Lý do:

• VPC Endpoint (kiểu Gateway Endpoint cho S3) cho phép các tài nguyên trong VPC (như EC2) truy cập S3 mà không cần ra Internet, thông qua một đường truyền riêng tư trong mạng AWS.
• Dữ liệu không đi qua Internet, không cần NAT, IGW, VPN hay cấu hình route qua Internet.
• Bạn có thể kiểm soát quyền truy cập bằng endpoint policy và IAM để tăng cường bảo mật.
• Được tính phí đối với traffic đi qua endpoint, nhưng không phát sinh phí cho IGW/NAT.

AWS Documentation (2026) – “VPC endpoints enable private connections between your VPC and supported AWS services without requiring an internet gateway, NAT device, VPN connection, or AWS Direct Connect connection” 📘.

🔍 Giải thích các phương án

• VPN connection

  • VPN tạo kết nối bảo mật tới mạng on‑premises hoặc đến một VPC khác qua Internet.
  • Để EC2 truy cập S3 qua VPN, vẫn cần định tuyến qua Internet (đi qua VPN tunnel).
  • Không đáp ứng yêu cầu “không truy cập Internet” và tốn chi phí, cấu hình phức tạp hơn so với VPC endpoint. ❌

• Internet gateway

  • IGW là cổng ra/ vào Internet cho toàn bộ VPC.
  • Khi EC2 muốn truy cập S3, traffic sẽ đi qua Internet (đi qua địa chỉ công cộng của S3).
  • Điều này đối lập với yêu cầu “không truy cập Internet”. ❌

• VPC endpoint

  • Đã giải thích ở trên: kết nối nội bộ, không qua Internet, an toàn, không cần NAT/IGW/VPN. ✅

• NAT gateway

  • NAT Gateway cho phép điều hướng traffic outbound từ các subnet private ra Internet, để truy cập dịch vụ công cộng (như S3).
  • Mặc dù cho phép EC2 truy cập S3, nhưng traffic vẫn đi qua Internet (được NAT).
  • Không đáp ứng yêu cầu “không truy cập Internet”. ❌

🛠️ Khi nào nên cân nhắc các lựa chọn khác?

📚 Tham khảo

1. AWS Documentation – VPC Endpoints (phiên bản 2026): https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints.html
2. AWS Well‑Architected Framework – Security Pillar, mục “Protect data in transit” – khuyến nghị sử dụng VPC Endpoints cho S3.
3. AWS Blog – New features for VPC Endpoints (2025‑2026 updates) – cập nhật khả năng quản lý policy chi tiết và hỗ trợ PrivateLink cho nhiều dịch vụ.

🎯 Kết luận

Để truy cập an toàn S3 từ EC2 mà không cần Internet, công ty phải sử dụng VPC endpoint (gateway endpoint cho S3). Các lựa chọn còn lại (VPN, Internet gateway, NAT gateway) đều yêu cầu hoặc tạo ra một đường truyền qua Internet, do đó không đáp ứng yêu cầu của câu hỏi. ✅

🔎 Phân tích câu hỏi

Câu hỏi yêu cầu một dịch vụ của AWS có khả năng tự động triển khai (deploy) phần mềm trên cả Amazon EC2 instances và các instance chạy ở môi trường on‑premises (trong trung tâm dữ liệu của công ty).
Các yếu tố quan trọng cần chú ý:

1. Tự động hoá triển khai: Dịch vụ phải hỗ trợ việc đưa mã nguồn, gói phần mềm, hoặc container lên các máy chủ mà không cần thao tác thủ công.
2. Hỗ trợ đa môi trường: Không chỉ EC2 mà còn các máy chủ vật lý hoặc ảo ở ngoài AWS (on‑prem).
3. Không cần viết mã “pipeline” phức tạp: Yêu cầu chỉ là “có thể tự động triển khai”, không yêu cầu quản lý toàn bộ quy trình CI/CD.

Với những yêu cầu trên, dịch vụ phù hợp nhất là AWS CodeDeploy – một dịch vụ chuyên dụng để triển khai ứng dụng lên EC2, Lambda và on‑premises servers.

✅ Đáp án đúng

🔹 AWS CodeDeploy

• Tự động triển khai: CodeDeploy thực hiện việc sao chép, cài đặt và cấu hình ứng dụng trên các instance mục tiêu.
• Hỗ trợ EC2 và on‑premises: Bạn có thể đăng ký on‑premises instances bằng cách cài đặt CodeDeploy agent trên máy chủ nội bộ, sau đó chúng sẽ xuất hiện trong cùng một deployment group với EC2.
• Không cần viết script CI: Chỉ cần định nghĩa application, deployment group và revision (gói .zip, .tar, hoặc Amazon S3/ECR).
• Tính năng nâng cao: Blue/Green deployments, canary, rolling updates, tự động rollback khi lỗi, tích hợp với CloudWatch Logs & Events để giám sát.

Vì vậy AWS CodeDeploy là dịch vụ đáp ứng đầy đủ yêu cầu câu hỏi.

❌ Giải thích các phương án còn lại

• AWS CodeCommit

  • Mô tả: Dịch vụ lưu trữ mã nguồn (Git repository) quản lý version.
  • Tại sao sai: CodeCommit chỉ là kho lưu trữ, không thực hiện việc triển khai phần mềm lên EC2 hay on‑prem. Để tự động deploy, bạn cần kết hợp với CodeDeploy hoặc CodePipeline.

• AWS CodeBuild

  • Mô tả: Dịch vụ build (compile, test) mã nguồn thành artefact (ví dụ .jar, Docker image).
  • Tại sao sai: CodeBuild thực hiện quá trình build, không có chức năng triển khai tới EC2/on‑prem. Nó thường được dùng trong chuỗi CI để tạo artefact, sau đó artefact này sẽ được đưa vào CodeDeploy hoặc CodePipeline.

• AWS CodePipeline

  • Mô tả: Dịch vụ orchestration cho toàn bộ quy trình CI/CD (từ source → build → test → deploy).
  • Tại sao sai: Mặc dù CodePipeline có thể tích hợp CodeDeploy để thực hiện triển khai, nhưng bản thân nó không thực hiện việc “deploy” trực tiếp. Nếu câu hỏi chỉ yêu cầu “một dịch vụ có thể tự động triển khai”, thì lựa chọn đúng là CodeDeploy; CodePipeline là một công cụ quản lý pipeline, không phải công cụ triển khai độc lập.

🛠️ Kiến thức cập nhật đến năm 2026

• AWS CodeDeploy đã được mở rộng để hỗ trợ AWS Systems Manager (SSM) Hybrid Activations, cho phép quản lý hàng ngàn máy on‑premises mà không cần mở cổng inbound.
• Tích hợp Amazon EventBridge để kích hoạt deploy dựa trên các sự kiện tùy chỉnh (ví dụ: khi một AMI mới được tạo).
• Hỗ trợ deployment groups với target tags và auto‑scaling groups, giúp triển khai đồng thời trên EC2 và on‑premises trong cùng một nhóm.
• Được cải tiến để tương thích với AWS Nitro Enclaves và Graviton 3, cung cấp khả năng deploy an toàn và tối ưu hiệu năng cho workloads mới.

📚 Tham khảo

1. AWS Documentation – CodeDeploy: https://docs.aws.amazon.com/codedeploy/latest/userguide/ (phiên bản cập nhật 2026).
2. AWS Blog – Deploying to On‑Premises with CodeDeploy & SSM (2025): https://aws.amazon.com/blogs/devops/deploy-to-on-premises-using-codedeploy-ssm/.
3. AWS Well‑Architected Framework – Operational Excellence Pillar (2024): đề cập tới việc sử dụng CodeDeploy cho tự động hoá triển khai đa môi trường.

Tóm lại: Đáp án đúng là AWS CodeDeploy vì nó là dịch vụ duy nhất trong các lựa chọn có khả năng tự động triển khai phần mềm lên cả EC2 và các instance on‑premises. Các dịch vụ khác (CodeCommit, CodeBuild, CodePipeline) chỉ phục vụ các bước khác trong chuỗi CI/CD và không thực hiện chức năng deploy trực tiếp. ✅

🔎 Phân tích câu hỏi
Câu hỏi: “Which AWS services are serverless? (Choose two.)”
Yêu cầu: Chọn hai dịch vụ AWS mà kiểu kiến trúc serverless (không cần quản lý server, tự động mở rộng, trả phí theo nhu cầu) được áp dụng.

Serverless không đồng nghĩa với “được AWS quản lý hoàn toàn” mà là người dùng không cần lo tới việc provision, patch, scale hoặc vận hành máy chủ. Các dịch vụ thường được coi là serverless bao gồm: AWS Lambda, Amazon S3, Amazon DynamoDB, Amazon EventBridge, AWS Fargate (đối với containers), …

✅ Đáp án đúng

• AWS Fargate
• Amazon S3

📚 Giải thích từng lựa chọn (giữ nguyên nội dung tiếng Anh)

✅ AWS Fargate

• Tại sao đúng: Fargate là dịch vụ serverless compute cho containers (ECS/EKS). Người dùng chỉ định task definition hoặc pod, còn Fargate lo toàn bộ provisioning, scaling và patching của underlying EC2 instances. Không có khái niệm “instance” mà bạn phải quản lý, vì vậy đây là một dịch vụ serverless.
• Chi tiết: Bạn trả phí dựa trên vCPU và memory sử dụng (Giây), không cần tạo hoặc quản lý Auto Scaling Group.

❌ Amazon Managed Streaming for Apache Kafka

• Tại sao sai: MSK là dịch vụ managed (AWS lo việc vận hành broker, patch, backup), nhưng vẫn yêu cầu bạn provision số lượng broker, kích thước instance, và cấu hình scaling. Bạn vẫn phải quyết định số lượng broker và có thể phải điều chỉnh khi tải tăng/giảm, vì vậy không thuộc dạng serverless.

❌ Amazon EMR

• Tại sao sai: Amazon EMR (Elastic MapReduce) cung cấp một cluster Hadoop/Spark, bạn phải định nghĩa số lượng và loại EC2 instances cho master, core và task nodes. Mặc dù là “managed”, nó vẫn yêu cầu provisioning và scaling thủ công (hoặc bằng Auto Scaling). Chú ý: EMR Serverless là một dịch vụ riêng biệt, nhưng trong câu hỏi “Amazon EMR” thường đề cập tới phiên bản classic, không phải serverless.

✅ Amazon S3

• Tại sao đúng: S3 là dịch vụ lưu trữ đối tượng serverless. Người dùng không cần tạo, cấu hình, hay quản lý server nào; AWS tự động mở rộng quy mô lưu trữ và xử lý các request. Bạn chỉ trả tiền theo lượng dữ liệu lưu trữ và số request, hoàn toàn không cần lo về hạ tầng.

❌ Amazon EC2

• Tại sao sai: EC2 là dịch vụ Infrastructure as a Service (IaaS). Bạn phải launch, configure, patch, scale và quản lý instances. Đây là dạng ngược lại với serverless.

🧩 Tóm tắt nhanh (đánh dấu ✅/❌)

• ✅ AWS Fargate – serverless compute cho containers.
• ❌ Amazon Managed Streaming for Apache Kafka – managed, nhưng không serverless.
• ❌ Amazon EMR – managed cluster, không serverless (trừ EMR Serverless riêng).
• ✅ Amazon S3 – lưu trữ đối tượng hoàn toàn serverless.
• ❌ Amazon EC2 – IaaS, cần quản lý server.

📘 Tham khảo tài liệu (2026)

1. AWS Fargate – Serverless Compute for Containers – AWS Documentation, phiên bản 2026.
   https://docs.aws.amazon.com/fargate/latest/userguide/what-is-fargate.html
2. Amazon S3 – Overview – AWS Documentation, phiên bản 2026.
   https://docs.aws.amazon.com/s3/index.html
3. Amazon MSK – FAQ – AWS Documentation.
   https://docs.aws.amazon.com/msk/latest/developerguide/what-is-msk.html
4. Amazon EMR – What is Amazon EMR? – AWS Documentation.
   https://docs.aws.amazon.com/emr/latest/ManagementGuide/emr-what-is-emr.html
5. AWS Serverless Concepts – AWS Well‑Architected Framework (Serverless Lens), 2026.
   https://wa.aws.amazon.com/wellarchitected/2026/serverless-lens

Kết luận: Hai dịch vụ trong danh sách được xem là serverless là AWS Fargate và Amazon S3. Các dịch vụ còn lại dù là “managed” nhưng vẫn yêu cầu người dùng quản lý tài nguyên hạ tầng, nên không đáp ứng tiêu chí serverless. 🚀

📖 Giải thích nội dung câu hỏi
Câu hỏi đề cập đến AWS Well‑Architected Framework – một bộ hướng dẫn gồm 5 “pillars” (trụ cột) giúp các kiến trúc sư, nhà phát triển và các tổ chức thiết kế, vận hành và tối ưu hoá các workload trên AWS một cách an toàn, hiệu quả và bền vững.

Yêu cầu: “một công ty muốn liên tục cải thiện quy trình và thủ tục để mang lại giá trị kinh doanh”. Đây là mô tả tiêu chuẩn của Operational Excellence – trụ cột tập trung vào việc thiết lập, đo lường và cải tiến các quy trình vận hành (automation, incident management, change management, …) nhằm tăng tốc độ cung cấp tính năng, giảm lỗi và nâng cao giá trị cho người dùng.

✅ Đáp án đúng

Operational excellence

• Lý do: Trụ cột Operational Excellence (OE) trong AWS Well‑Architected Framework nhấn mạnh cải tiến liên tục (continuous improvement) của quy trình, tự động hoá, phản hồi nhanh với sự cố và học hỏi từ các sự kiện để tối đa hoá giá trị kinh doanh. Các khái niệm như Plan‑Do‑Check‑Act (PDCA), post‑incident reviews, runbooks, và metric‑driven decisions đều nằm trong phạm vi OE. Do vậy, mô tả trong câu hỏi hoàn toàn khớp với mục tiêu của trụ cột này.

🧩 Phân tích các phương án khác (đúng và sai)

• Performance efficiency

  • Giải thích: Trụ cột Performance Efficiency tập trung vào việc sử dụng tài nguyên tính toán, lưu trữ và mạng một cách tối ưu, đáp ứng nhu cầu thay đổi về tải và giảm chi phí. Nó quan tâm tới scaling, selection of appropriate instance types, và architectural trade‑offs để đạt hiệu suất tốt nhất, không tập trung vào việc cải tiến quy trình vận hành hay tạo ra giá trị kinh doanh liên tục. Vì vậy, đây không phải là đáp án đúng.

• Reliability

  • Giải thích: Reliability đề cập đến khả năng hệ thống luôn sẵn sàng, chịu lỗi và phục hồi nhanh chóng khi có sự cố. Các yếu tố chính bao gồm fault tolerance, redundancy, automatic recovery, và monitoring. Mặc dù độ tin cậy đóng góp vào việc cung cấp giá trị, nhưng mục tiêu “liên tục cải thiện quy trình và thủ tục” không phải là trọng tâm của trụ cột này, mà là của Operational Excellence. Do vậy, lựa chọn này sai.

• Sustainability

  • Giải thích: Sustainability (được bổ sung vào Well‑Architected Framework vào năm 2023 và cập nhật liên tục đến 2026) tập trung vào việc giảm thiểu ảnh hưởng môi trường của workload: tối ưu hoá tiêu thụ năng lượng, giảm carbon footprint, và thiết kế kiến trúc thân thiện với môi trường. Đây hoàn toàn không liên quan tới việc cải tiến quy trình nội bộ để tạo giá trị kinh doanh, nên cũng là đáp án sai.

📚 Tham khảo tài liệu (đến năm 2026)

1. AWS Well‑Architected Framework – Operational Excellence Pillar
   https://docs.aws.amazon.com/wellarchitected/latest/operational-excellence-pillar/operational-excellence-pillar.html (cập nhật thường xuyên, bao gồm phần “Continuous Improvement”).

2. AWS Well‑Architected Framework – Performance Efficiency, Reliability, Sustainability
   https://docs.aws.amazon.com/wellarchitected/latest/framework/

3. AWS Well‑Architected Tool – Latest UI (2025‑2026)
   Cung cấp các câu hỏi đánh giá tự động, trong đó câu hỏi “How do you improve your processes and procedures on an ongoing basis?” thuộc pillar Operational Excellence.

🛠️ Kết luận

Mục tiêu “liên tục cải thiện quy trình và thủ tục để mang lại giá trị kinh doanh” là đặc trưng của Operational Excellence, trụ cột thứ hai trong AWS Well‑Architected Framework. Các trụ cột còn lại – Performance Efficiency, Reliability, và Sustainability – mặc dù quan trọng, nhưng không phản ánh nội dung câu hỏi. ✅Operational excellence là đáp án duy nhất đúng.

📖 Phân tích câu hỏi
Câu hỏi: “Which of the following is a customer responsibility according to the AWS shared responsibility model?”
Bạn được yêu cầu xác định trách nhiệm của khách hàng (Customer) trong mô hình Shared Responsibility của AWS. Trong mô hình này, AWS chịu trách nhiệm về bảo mật “cơ sở hạ tầng” (Security of the Cloud) – bao gồm phần cứng, phần mềm nền, mạng, và các trung tâm dữ liệu. Khách hàng chịu trách nhiệm về bảo mật “trong” (Security in the Cloud) – các thiết lập, cấu hình, quản lý danh tính, bản vá phần mềm trên các môi trường mà họ kiểm soát, và các biện pháp bảo vệ dữ liệu, tài khoản, ứng dụng, v.v.

✅ Đáp án đúng

Implement multi-factor authentication (MFA) for IAM user accounts.

Giải thích:

• MFA là một tính năng bảo mật cấp độ người dùng / danh tính. Việc kích hoạt và quản lý MFA cho các tài khoản IAM là trách nhiệm của khách hàng, vì nó liên quan tới quy trình truy cập và xác thực vào tài nguyên AWS mà khách hàng điều hành. AWS cung cấp tính năng MFA, nhưng khách hàng phải bật và duy trì nó.

🧩 Phân tích từng phương án

1. Apply security patches for Amazon S3 infrastructure devices.

   • Sai vì việc vá lỗi cơ sở hạ tầng (điều khiển phần cứng, firmware, hệ điều hành của các thiết bị lưu trữ S3) thuộc trách nhiệm của AWS. Khách hàng chỉ cần quản lý các quyền truy cập và cấu hình bucket (ví dụ: bucket policies, encryption).

2. Provide physical security for AWS datacenters.

   • Sai. An ninh vật lý (đóng cửa, kiểm soát ra vào, camera, hệ thống phòng cháy) là trách nhiệm của AWS. Khách hàng không có quyền truy cập vào trung tâm dữ liệu và không cần lo về việc này.

3. Install operating system updates on Lambda@Edge.

   • Sai. Lambda@Edge chạy trên môi trường managed của AWS; hệ điều hành và runtime được AWS duy trì, cập nhật. Khách hàng chỉ cần viết code và cấu hình function, không can thiệp vào bản vá hệ điều hành.

4. Implement multi-factor authentication (MFA) for IAM user accounts.

   • Đúng. MFA là biện pháp bảo mật danh tính mà khách hàng phải cấu hình và duy trì. AWS chỉ cung cấp dịch vụ MFA (ứng dụng, thiết bị phần cứng) và không tự động bật cho tài khoản IAM.

📌 Tổng kết nhanh (danh sách)

• ✅ Customer responsibilities (trách nhiệm khách hàng):

  • Cấu hình và quản lý IAM (người dùng, vai trò, chính sách).
  • Kích hoạt MFA cho IAM users.
  • Bảo vệ dữ liệu (encryption, backup, versioning).
  • Quản lý patch cho hệ điều hành, runtime, ứng dụng mà khách hàng tự quản (ví dụ: EC2, on‑premise VPN, containers).
  • Thiết lập network security (Security Groups, NACLs, VPC flow logs).

• ❌ AWS responsibilities (trách nhiệm AWS):

  • Hạ tầng vật lý (datacenter, power, cooling).
  • Hệ điều hành, firmware, patch cho dịch vụ managed (S3, RDS, Lambda, DynamoDB…).
  • Bảo mật mạng nội bộ và các thiết bị mạng trong data center.

📚 Tham khảo (2026)

• AWS Documentation – Security – Shared Responsibility Model (phiên bản 2026): https://docs.aws.amazon.com/security/latest/userguide/security-iam.html#shared-responsibility-model
• AWS Well‑Architected Framework – Security Pillar (phiên bản 2026): https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/
• AWS IAM User Guide – Enabling MFA (phiên bản 2026): https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa.html

🛠️ Mẹo thực hành: Khi chuẩn bị cho kỳ thi AWS DevOps Engineer – Professional, luôn nhớ rằng mọi thứ “có thể cấu hình/điều khiển bởi khách hàng” đều là trách nhiệm của khách hàng. Các dịch vụ được quản lý hoàn toàn (S3, DynamoDB, Lambda, RDS, …) thì chỉ cần cấu hình bảo mật (policy, encryption, IAM) chứ không cần lo về bản vá hệ thống.

Chúc bạn ôn tập tốt và đạt kết quả cao trong kỳ thi! 🚀

🔎 Phân tích câu hỏi

Câu hỏi: “Which AWS service should a company use to organize, characterize, and search large numbers of images?”

• Yêu cầu: tổ chức, đặc trưng hoá (gán nhãn, trích xuất metadata) và tìm kiếm trên một kho ảnh quy mô lớn.
• Điều này liên quan đến xử lý và phân tích nội dung hình ảnh (object detection, facial analysis, text in image, image similarity, …) và khả năng lưu trữ metadata để tìm kiếm nhanh.

AWS hiện (đến 2026) cung cấp một dịch vụ chuyên biệt cho việc này: Amazon Rekognition. Nó là dịch vụ “deep‑learning‑based image và video analysis” cho phép:

1. Phân loại/đánh nhãn tự động (objects, scenes, activities).
2. Nhận dạng khuôn mặt, so sánh, và tìm kiếm dựa trên đặc điểm khuôn mặt.
3. Trích xuất văn bản (OCR) từ ảnh.
4. Tìm kiếm hình ảnh tương đồng (Image‑Similarity Search) thông qua “Amazon Rekognition Image Search” (được ra mắt trong 2023 và mở rộng tính năng trong 2025).
5. Tích hợp với Amazon S3 + DynamoDB/ElasticSearch để xây dựng index tìm kiếm toàn diện.

Do đó, Amazon Rekognition là đáp án đúng.

✅ Đáp án đúng

• Amazon Rekognition
  • Là dịch vụ AI/ML được thiết kế để phân tích, gán nhãn, và tìm kiếm trên tập hợp lớn các hình ảnh và video.
  • Hỗ trợ detect labels, detect faces, detect text, compare faces, và search by image similarity – tất cả các chức năng cần thiết để “organize, characterize, and search” ảnh.
  • Được cập nhật liên tục (phiên bản mới 2025‑2026 bổ sung Custom Labels cho mô hình tùy chỉnh, cho phép doanh nghiệp đào tạo nhãn riêng cho bộ ảnh đặc thù).

❌ Giải thích các phương án sai

• Amazon Transcribe

  • Dịch vụ này chuyển đổi giọng nói thành văn bản (speech‑to‑text).
  • Không liên quan tới xử lý hình ảnh, không hỗ trợ gán nhãn hay tìm kiếm ảnh.
  • Vì vậy không thể đáp ứng yêu cầu của câu hỏi.

• Amazon Aurora

  • Là cơ sở dữ liệu quan hệ tương thích MySQL/PostgreSQL được tối ưu cho hiệu năng và độ bền cao.
  • Aurora lưu trữ dữ liệu có cấu trúc, không có khả năng “phân tích nội dung hình ảnh”.
  • Không cung cấp các API để nhận diện, gán nhãn, hoặc tìm kiếm dựa trên nội dung ảnh.

• Amazon QuickSight

  • Dịch vụ BI (Business Intelligence) và visualisation cho phép tạo dashboard, báo cáo từ dữ liệu.
  • QuickSight có thể trực quan hoá dữ liệu ảnh nếu đã có metadata trong nguồn dữ liệu, nhưng không tự động trích xuất metadata hay thực hiện tìm kiếm nội dung ảnh.
  • Do vậy không phù hợp với yêu cầu “organize, characterize, and search large numbers of images”.

📚 Tham khảo tài liệu (đến 2026)

1. Amazon Rekognition Documentation – “Image and Video Analysis”, cập nhật 2025‑2026 (https://docs.aws.amazon.com/rekognition/latest/dg/).
2. AWS Blog – “Introducing Image Search with Amazon Rekognition” (2023) và “Custom Labels – Train Your Own Image Classifiers” (2025).
3. AWS Well‑Architected Framework – Machine Learning Lens – phần “Choose the right AWS service for image analysis”.
4. Amazon QuickSight User Guide – chỉ tập trung vào visualisation, không hỗ trợ phân tích ảnh (2024).

🧩 Kết luận:
Đối với nhu cầu tổ chức, đặc trưng hoá và tìm kiếm khối lượng lớn ảnh, Amazon Rekognition là dịch vụ thích hợp nhất trong danh sách đưa ra. Các dịch vụ còn lại (Transcribe, Aurora, QuickSight) không đáp ứng chức năng phân tích nội dung hình ảnh nên là các lựa chọn sai.

🔎 Phân tích câu hỏi
Câu hỏi: “Which AWS service is always available free of charge to users?”

• Yêu cầu xác định dịch vụ nào của AWS không thu phí bất kỳ cho mọi tài khoản, bất kể mức độ sử dụng.
• “Always available free of charge” khác với “Free Tier” (có giới hạn thời gian hoặc mức sử dụng). Ở đây chúng ta tìm dịch vụ miễn phí hoàn toàn, tức là không có bất kỳ chi phí nào được tính cho bất kỳ hành động nào.

✅ Đáp án đúng

✅ AWS Identity and Access Management (IAM)

Lý do:

• IAM là dịch vụ quản lý người dùng, nhóm, vai trò và chính sách truy cập. AWS không tính phí cho việc tạo, quản lý, hoặc sử dụng IAM.
• Tài liệu AWS xác nhận: “IAM is offered at no additional cost. You are charged only for the AWS resources you create and use.” (AWS Documentation, “IAM pricing”, cập nhật 2024‑2026).
• Dịch vụ này luôn khả dụng trên mọi tài khoản AWS, không phụ thuộc vào thời gian đăng ký hay mức sử dụng.

🧩 Giải thích các phương án khác

1. ❌ Amazon Athena

   • Giải thích: Athena là dịch vụ truy vấn dữ liệu trên S3, tính phí theo lượng dữ liệu được quét (đơn vị GB). Không có mức “miễn phí vô hạn”; chỉ có Free Tier 1 TB mỗi tháng trong 12 tháng cho tài khoản mới. Sau khi vượt quota hoặc sau 12 tháng, phí sẽ được tính.
   • Nguồn: AWS Athena Pricing (2024‑2026).

2. ❌ AWS Secrets Manager

   • Giải thích: Secrets Manager lưu trữ, quay vòng và quản lý mật khẩu, API keys, … phí $0.40 mỗi secret mỗi tháng + phí cho các lần gọi API. Không có bất kỳ phần nào miễn phí (trừ 30 ngày dùng thử cho một số khách hàng).
   • Nguồn: AWS Secrets Manager Pricing (2024‑2026).

3. ❌ Amazon ElastiCache

   • Giải thích: ElastiCache cung cấp Redis hoặc Memcached dưới dạng managed cache. Tính phí theo loại node, kích thước, và thời gian chạy. Không có mức “always free”. Chỉ có Free Tier 750 GiB‑hours cho một node t2.micro trong 12 tháng cho tài khoản mới.
   • Nguồn: Amazon ElastiCache Pricing (2024‑2026).

🛠️ Lưu ý quan trọng khi trả lời câu hỏi kiểu này

• Kiểm tra “Always Free” vs “Free Tier”:
  • Always Free → Dịch vụ không thu phí bất kỳ (ví dụ: IAM, Amazon CloudWatch Logs Insights (có giới hạn) – nhưng IAM là ví dụ điển hình).
  • Free Tier → Miễn phí trong thời gian hoặc mức sử dụng nhất định (ví dụ: Athena, ElastiCache, RDS).
• Xem tài liệu Pricing chính thức trên trang AWS (được cập nhật liên tục, phiên bản 2026 vẫn giữ IAM là dịch vụ miễn phí).

📚 Tham khảo

• AWS Identity and Access Management (IAM) – Pricing: https://aws.amazon.com/iam/pricing/ (truy cập 2026).
• Amazon Athena – Pricing: https://aws.amazon.com/athena/pricing/.
• AWS Secrets Manager – Pricing: https://aws.amazon.com/secrets-manager/pricing/.
• Amazon ElastiCache – Pricing: https://aws.amazon.com/elasticache/pricing/.

Tóm tắt: Dịch vụ luôn miễn phí trong AWS là AWS Identity and Access Management (IAM). Các dịch vụ còn lại (Athena, Secrets Manager, ElastiCache) đều có chi phí dựa trên mức sử dụng hoặc có chỉ miễn phí trong thời gian/độ giới hạn của Free Tier, nên không đáp ứng yêu cầu “always available free of charge”. 🚀

1️⃣ Giải thích nội dung câu hỏi
Công ty có hai nhu cầu quan trọng:

• Một phần workload phải chạy “on‑premises” để đáp ứng quy định pháp lý (ví dụ: dữ liệu phải ở trong khu vực địa lý cụ thể, yêu cầu kiểm soát vật lý…).
• Phần còn lại có thể chạy trên AWS Cloud.
• Công ty muốn sử dụng cùng một bộ API (cùng một SDK, cùng một mô hình IAM, cùng một endpoint logic) cho cả workload trên‑prem và workload trong cloud, nhằm giảm chi phí vận hành và tránh việc viết mã riêng cho mỗi môi trường.

Vì vậy, câu hỏi đang hỏi dịch vụ hoặc tính năng nào của AWS cho phép triển khai tài nguyên AWS trong data‑center của khách hàng, đồng thời cung cấp các API và công cụ quản lý giống như trên AWS Region?

2️⃣ Đáp án đúng
✅ AWS Outposts

Lý do chọn AWS Outposts:

• Outposts là một rack hoặc máy chủ vật lý do AWS cung cấp, được lắp đặt và quản lý trong trung tâm dữ liệu hoặc phòng máy của khách hàng.
• Các tài nguyên (EC2, EBS, RDS, ECS/EKS, S3‑compatible storage…) được tạo, quản lý và truy cập bằng cùng một AWS Management Console, AWS CLI, SDK và API như khi chúng chạy trong một AWS Region.
• Hybrid consistency: cùng một VPC, cùng một IAM, cùng một CloudFormation template, cùng một Terraform provider … giúp đội ngũ phát triển không cần thay đổi code khi chuyển workload giữa on‑prem và cloud.
• Hỗ trợ AWS Local Zones / Wavelength chỉ là các điểm hiện diện mạng, không cung cấp tài nguyên compute on‑prem.
• Đáp ứng yêu cầu quy định vì dữ liệu và compute thực tế nằm trong data‑center của công ty, nhưng vẫn được bảo trì, cập nhật phần mềm và bảo mật bởi AWS.

Do đó, Outposts là lựa chọn duy nhất thỏa mãn cả ba tiêu chí: chạy on‑premises, đồng thời dùng cùng một API với môi trường cloud.

3️⃣ Giải thích từng phương án (giữ nguyên nội dung tiếng Anh)

• 🛑 Dedicated Hosts

  • Explanation (tiếng Việt): Dedicated Hosts là máy chủ vật lý được AWS cung cấp trong một AWS Region và được dành riêng cho một tài khoản. Chúng không được đặt tại trung tâm dữ liệu của khách hàng mà luôn nằm trong hạ tầng AWS. Vì vậy, chúng không đáp ứng yêu cầu “run on‑premises”. Ngoài ra, API vẫn là của AWS, nhưng không có khả năng đồng nhất với môi trường on‑premises vì không có tài nguyên thực tế ở bên khách hàng.

• ✅ AWS Outposts

  • Explanation (tiếng Việt): Như đã phân tích ở mục 2️⃣, Outposts cung cấp phần cứng tại chỗ, đồng bộ hoá với AWS Cloud, và cho phép sử dụng cùng một API/SDK/CLI để quản lý tài nguyên ở cả hai môi trường. Đây là giải pháp hybrid duy nhất hiện nay đáp ứng đầy đủ yêu cầu quy định và tính thống nhất API.

• 🛑 Availability Zones

  • Explanation (tiếng Việt): Availability Zones (AZ) là các trung tâm dữ liệu riêng biệt trong một AWS Region, không phải là một dịch vụ hoặc tính năng để triển khai tài nguyên tại cơ sở của khách hàng. AZ luôn nằm trong hạ tầng AWS, do đó không đáp ứng yêu cầu “on‑premises”.

• 🛑 AWS Wavelength

  • Explanation (tiếng Việt): AWS Wavelength đưa các Edge Computing Zones vào mạng của các nhà cung cấp viễn thông (ví dụ: Verizon, Vodafone) để giảm độ trễ cho ứng dụng di động. Wavelength không cung cấp phần cứng tại trung tâm dữ liệu của khách hàng và không cho phép sử dụng cùng một API để quản lý workload on‑premises. Nó chỉ mở rộng cloud tới edge, không giải quyết yêu cầu “run on‑premises”.

4️⃣ Kiến thức cập nhật đến năm 2026

• Từ 2024 trở đi, AWS đã mở rộng Outposts với các Instance Types mới (ví dụ: Graviton3‑based EC2, GPU‑accelerated instances) và hỗ trợ EKS Anywhere cũng như ECS Anywhere trên Outposts, giúp triển khai Kubernetes hoặc container workloads một cách đồng nhất.
• Outposts Rack Version 2 (ra mắt Q3‑2025) cung cấp dung lượng lưu trữ lên tới 100 TB và khả năng AWS Local Zones integration để mở rộng mạng nội bộ tới các dịch vụ như S3 Access Points và IAM Identity Center.
• Đối với quy định dữ liệu (ví dụ: GDPR, HIPAA, dữ liệu tài chính ở Mỹ), AWS Outposts vẫn được chứng nhận ISO 27001, SOC 2, FedRAMP và cho phép AWS Artifact cung cấp tài liệu compliance cho phần hạ tầng tại chỗ.

5️⃣ Tham khảo

• AWS Documentation – Outposts (phiên bản 2026): https://docs.aws.amazon.com/outposts/latest/userguide/what-is-outposts.html
• AWS Blog – “Introducing New Instance Types on AWS Outposts” (2025‑07‑15)
• AWS Compliance Center – Outposts compliance reports (cập nhật 2026)

Tóm lại:
🔑 Để đáp ứng việc chạy một phần workload on‑premises theo quy định, đồng thời sử dụng cùng một API cho cả môi trường on‑prem và cloud, công ty nên chọn AWS Outposts. Các phương án khác (Dedicated Hosts, Availability Zones, AWS Wavelength) không cung cấp khả năng triển khai tài nguyên tại chỗ và không đáp ứng yêu cầu đồng nhất API.

🔎 Phân tích câu hỏi

What is the recommended use case for Amazon EC2 On‑Demand Instances?

Câu hỏi yêu cầu bạn xác định “trường hợp sử dụng đề xuất” (recommended use case) cho EC2 On‑Demand Instances.
On‑Demand là mô hình trả phí theo giờ/phút (từ 2024‑2026 còn hỗ trợ tính giây) mà không cần cam kết thời gian sử dụng hoặc tiền đặt cọc. Khách hàng chỉ trả tiền cho thời gian máy ảo thực tế chạy, có thể bắt đầu, dừng, đổi loại ngay lập tức. Vì không có cam kết, chi phí trên‑đơn vị (giờ) cao hơn so với Reserved Instances hay Savings Plans, nhưng lại cung cấp độ linh hoạt tối đa và không rủi ro về việc bị “kết nối” vào một tài nguyên cố định.

Do đó, On‑Demand thích hợp cho:

• Workload không đoán trước được (ví dụ: đột biến traffic, thử nghiệm, môi trường phát triển, hay các ứng dụng ngắn‑hạn).
• Không có yêu cầu dài hạn hoặc không muốn ký hợp đồng thuê bao.
• Khi cần điều chỉnh nhanh (scale‑out/scale‑in) hoặc thử nghiệm cấu hình instance trước khi quyết định mua Reserved/Savings.

✅ Đáp án đúng:

An unpredictable workload that does not require a long-term commitment

Bây giờ sẽ giải thích từng lựa chọn một cách chi tiết.

📚 Giải thích từng phương án

1️⃣ A steady-state workload that requires a particular EC2 instance configuration for a long period of time

• Tại sao sai:
  • Steady‑state nghĩa là tải ổn định, chạy liên tục trong thời gian dài. Khi tải ổn định và kéo dài, Reserved Instances (RI) hoặc Savings Plans sẽ giảm chi phí tới 70 % so với On‑Demand.
  • Ngoài ra, nếu có yêu cầu cấu hình cố định (VD: một loại instance nhất định) trong nhiều tháng hoặc năm, khách hàng nên cân nhắc Reserved Instances hoặc Savings Plans để tận dụng ưu đãi chi phí và bảo đảm tài nguyên.
  • Do vậy On‑Demand không phải là lựa chọn tối ưu cho trường hợp này.

2️⃣ A workload that can be interrupted for a project that requires the lowest possible cost

• Tại sao sai:
  • Đề cập tới “có thể bị interrupted” (gián đoạn) gợi nhớ tới EC2 Spot Instances hoặc EC2 Spot Fleets, là những loại instance được bán với mức giá thấp nhất nhưng có thể bị thu hồi khi giá Spot vượt ngưỡng hoặc khi AWS cần tài nguyên.
  • Nếu mục tiêu là chi phí thấp nhất và chấp nhận gián đoạn, Spot Instances mới là giải pháp phù hợp, không phải On‑Demand.
  • On‑Demand không thể bị gián đoạn trừ khi người dùng tự dừng/khởi động lại.

3️⃣ An unpredictable workload that does not require a long-term commitment

• Tại sao đúng:
  • “Unpredictable workload” (tải không đoán trước) như traffic đột biến, các thử nghiệm A/B, hoặc các công việc batch ngắn ngày.
  • Không có cam kết dài hạn → không cần mua RI hoặc Savings Plans.
  • On‑Demand cung cấp khả năng mở rộng nhanh, không có chi phí dự trữ và trả phí theo thực tế sử dụng, đáp ứng đúng yêu cầu của câu hỏi.
  • Đây là case study thường được AWS đề cập trong tài liệu: “Use On‑Demand for short‑term, irregular workloads that cannot be interrupted.” (AWS Documentation, EC2 Pricing, cập nhật 2025‑2026).

4️⃣ A workload that is expected to run for longer than 1 year

• Tại sao sai:
  • Khi workload dự kiến chạy hơn 1 năm, chi phí On‑Demand sẽ tích lũy nhanh chóng và vượt quá chi phí của Reserved Instances (1‑year hoặc 3‑year terms) hoặc Savings Plans.
  • Đối với tải dài hạn, AWS khuyến cáo sử dụng Reserved Instances hoặc Compute Savings Plans để tiết kiệm đáng kể.
  • Vì vậy On‑Demand không phải là giải pháp đề xuất cho trường hợp này.

🛠️ Khi nào nên cân nhắc các lựa chọn khác

📖 Tham khảo tài liệu (đến năm 2026)

1. AWS Documentation – Amazon EC2 Pricing (phiên bản 2025‑2026).
   https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ec2-instance-pricing.html

2. AWS Well‑Architected Framework – Cost Optimization Pillar (cập nhật 2024).
   https://d1.awsstatic.com/whitepapers/architecture/AWS-Well-Architected-Cost-Optimization-Pillar.pdf

3. AWS Compute Savings Plans – Giới thiệu và so sánh với Reserved Instances (2025).
   https://aws.amazon.com/savingsplans/

4. AWS Blog – How to choose the right EC2 pricing model (2026).
   https://aws.amazon.com/blogs/aws/choose-right-ec2-pricing-model/

🏁 Kết luận

• Đáp án đúng: An unpredictable workload that does not require a long-term commitment ✅
• On‑Demand Instances được thiết kế cho những tải ngắn hạn, không dự đoán được, và không muốn ràng buộc tài chính lâu dài.
• Các lựa chọn khác (Spot, Reserved, Savings Plans) sẽ tối ưu hơn tùy thuộc vào tính chất độ ổn định, chi phí tối đa, và khả năng chấp nhận gián đoạn của workload.