Ngân hàng đề — AWS Certified Cloud Practitioner

Đáp án

A — Tạo tài khoản AWS riêng cho môi trường phát triển và môi trường sản xuất

Vì sao đúng

Hoá đơn được lập theo từng tài khoản AWS. Vì vậy muốn có hai hoá đơn riêng thì phải có hai tài khoản.

Đây cũng là thực hành tốt được AWS khuyến nghị vì nhiều lý do ngoài chuyện hoá đơn:

• Cách ly hoàn toàn — lỗi ở môi trường phát triển không chạm được tới sản xuất.
• Ranh giới quyền rõ ràng — không cần chính sách IAM phức tạp để ngăn nhầm lẫn.
• Hạn mức dịch vụ riêng — thử nghiệm ở dev không ăn vào hạn mức của production.

Vì sao các phương án khác sai

• D. Dùng AWS Organizations để tạo hoá đơn riêng — ngược lại: Organizations làm thanh toán hợp nhất, tức là gộp mọi tài khoản về một hoá đơn duy nhất. Đây là phương án nhiễu chính, và điều cần nhớ là:

  	Kết quả
  Tài khoản riêng, không dùng Organizations	Hoá đơn riêng cho từng tài khoản
  Organizations	Một hoá đơn cho cả tổ chức, kèm giá bậc thang gộp và chia sẻ RI

  (Organizations có báo cáo chi phí tách theo từng tài khoản, nhưng đó là báo cáo, không phải hoá đơn riêng.)

• C. Gắn thẻ tài nguyên rồi tạo hoá đơn theo thẻ — thẻ cho phép phân bổ và báo cáo chi phí, nhưng vẫn chỉ có một hoá đơn.

• B. Dùng Cost Explorer — công cụ phân tích, không phát hành hoá đơn.

Đáp án

C và E — Customer gateway và Virtual private gateway

Vì sao đúng

AWS Site-to-Site VPN cần một đầu kết thúc ở mỗi phía:

Trung tâm dữ liệu                        AWS
┌────────────────────┐              ┌──────────────────────┐
│ CUSTOMER GATEWAY   │══ đường hầm ═│ VIRTUAL PRIVATE      │
│ (thiết bị của bạn) │    IPsec     │ GATEWAY (phía AWS)   │
└────────────────────┘              └──────────────────────┘

• C. Customer gateway — trong AWS, đây là tài nguyên mô tả thiết bị VPN thật của bạn: địa chỉ IP công cộng và số ASN dùng cho BGP.
• E. Virtual private gateway — đầu kết thúc VPN phía AWS, gắn vào VPC.

Mỗi kết nối VPN của AWS tạo ra hai đường hầm tới hai endpoint ở hai AZ khác nhau, để có dự phòng sẵn.

Vì sao các phương án khác sai

• A. Internet gateway — cho tài nguyên trong VPC ra Internet; VPN không dùng nó.
• D. NAT gateway — cho tài nguyên ở private subnet đi ra Internet một chiều.
• B. AWS Storage Gateway — dịch vụ hoàn toàn khác, cho ứng dụng tại chỗ truy cập lưu trữ đám mây. Tên có chữ "gateway" nhưng không liên quan gì tới VPN.

Lưu ý

Thay cho virtual private gateway, bạn dùng được Transit Gateway làm đầu kết thúc phía AWS — hợp khi cần nối VPN tới nhiều VPC cùng lúc.

Đáp án

A — US East (N. Virginia) — us-east-1

Vì sao đúng

Dữ liệu chỉ số về thanh toán (billing metrics) của CloudWatch chỉ được lưu ở us-east-1, bất kể tài nguyên của bạn nằm ở Region nào.

Lý do: thanh toán là chức năng toàn tài khoản, không thuộc Region nào — nên AWS gom chỉ số về một nơi duy nhất.

Hệ quả thực tế rất cụ thể: muốn tạo cảnh báo CloudWatch cho chi phí, bạn phải chuyển sang us-east-1 trong Console mới thấy chỉ số EstimatedCharges. Đây là chỗ khiến rất nhiều người bối rối lần đầu — họ tìm mãi không thấy chỉ số ở Region của mình.

Vì sao các phương án khác sai

• B. Ở Region nơi tài nguyên được cấp phát và D. Ở Region nơi tài khoản được tạo — đều nghe hợp lý nhưng sai; nếu vậy thì chỉ số sẽ nằm rải rác nhiều nơi và không cộng lại được. Đây là hai phương án nhiễu chính.
• C. us-west-1 — không đúng Region.

Ghi nhớ

us-east-1 là Region đặc biệt trong nhiều trường hợp: chỉ số thanh toán, chứng chỉ ACM dùng cho CloudFront, và một số dịch vụ toàn cầu khác đều phải làm việc ở đó.

Đáp án

C — AWS Lambda

Vì sao đúng

Đây là một trong những mẫu kiến trúc phổ biến nhất trên AWS: S3 event notification kích hoạt Lambda.

Người dùng tải tệp lên S3
   ▼  sự kiện s3:ObjectCreated:*
AWS Lambda tự động chạy
   ▼
Xử lý tệp (tạo ảnh thu nhỏ, quét virus, trích siêu dữ liệu, chuyển mã video…)

Ba lý do Lambda là lựa chọn đúng: nó tích hợp sẵn với S3 (chỉ cần cấu hình, không viết mã kết nối), chỉ chạy khi có sự kiện nên không tốn gì lúc rảnh, và tự co giãn — mười nghìn tệp tải lên cùng lúc thì mười nghìn lần chạy song song.

Vì sao các phương án khác sai

• B. Amazon EC2 — làm được, nhưng phải chạy 24/7 để chờ sự kiện; tốn tiền và phải tự viết cơ chế nhận sự kiện. Đây là phương án nhiễu chính.
• A. Amazon ECS — chạy container; cũng cần hạ tầng thường trực (trừ khi dùng Fargate kèm EventBridge, nhưng đó là kiến trúc phức tạp hơn nhiều cho một tác vụ đơn giản).
• D. Amazon SQS — hàng đợi thông điệp; S3 gửi được sự kiện vào SQS, nhưng SQS không chạy mã — vẫn cần một thứ khác lấy thông điệp ra và xử lý.

Đáp án

A và C — AWS Cost Explorer và AWS Trusted Advisor

Vì sao đúng

Chữ khoá của đề là "dùng ngay, không cần cấu hình thủ công". Cả hai dịch vụ này có sẵn tính năng phát hiện instance sử dụng thấp:

• C. AWS Trusted Advisor — có kiểm tra "Low Utilization Amazon EC2 Instances" trong hạng mục tối ưu chi phí; nó liệt kê thẳng những instance có mức sử dụng CPU thấp trong 14 ngày qua.
• A. AWS Cost Explorer — có tính năng "Rightsizing Recommendations" chỉ ra instance nào nên giảm cỡ hoặc dừng hẳn, kèm ước tính số tiền tiết kiệm được.

Vì sao các phương án khác sai

• B. Amazon CloudWatch — có dữ liệu về mức sử dụng CPU, nhưng bạn phải tự dựng bảng điều khiển, tự đặt ngưỡng, tự phân tích để rút ra kết luận. Đề nói rõ là không cần cấu hình thủ công. Đây là phương án nhiễu chính.
• D. AWS Budgets — đặt ngưỡng ngân sách và cảnh báo; nó không phân tích mức sử dụng tài nguyên.
• E. AWS Cost & Usage Report — cho dữ liệu thô chi tiết nhất, nhưng bạn phải tự phân tích bằng Athena hoặc QuickSight.

Lưu ý

AWS Compute Optimizer cũng làm việc này và còn sâu hơn (dùng học máy để gợi ý loại instance cụ thể), nhưng nó không nằm trong năm phương án.

Đáp án

B — AWS CodeDeploy

Vì sao đúng

CodeDeploy tự động hoá việc triển khai mã tới nhiều loại đích, và điểm quan trọng của câu này là nó hỗ trợ cả EC2 lẫn máy chủ tại chỗ.

Với máy chủ tại chỗ, bạn cài CodeDeploy agent và đăng ký máy đó vào dịch vụ — sau đó nó được triển khai giống hệt như một EC2 instance. Nhờ vậy môi trường lai dùng chung một quy trình triển khai.

CodeDeploy cũng hỗ trợ các chiến lược triển khai an toàn: in-place, blue/green, và canary — cùng khả năng tự động quay lui khi triển khai thất bại.

Vì sao các phương án khác sai

• A. AWS CodePipeline — điều phối toàn bộ quy trình CI/CD (lấy mã, dựng, kiểm thử, triển khai); nó gọi CodeDeploy ở bước triển khai chứ bản thân không triển khai. Đây là phương án nhiễu chính, và quan hệ giữa chúng là:

  CodeCommit  →  CodeBuild  →  CodeDeploy
        └──────── CodePipeline điều phối cả chuỗi ────────┘
  

• D. AWS CodeCommit — dịch vụ lưu trữ mã nguồn (Git).

• C. AWS CloudFormation — triển khai hạ tầng, không phải mã ứng dụng.

Đáp án

C — Instance Store

Vì sao đúng

Chữ khoá của đề là caching (bộ nhớ đệm), và đó chính là trường hợp dùng điển hình của instance store:

• Nhanh nhất — ổ NVMe gắn trực tiếp vào máy chủ vật lý, không đi qua mạng như EBS. Độ trễ thấp nhất và IOPS cao nhất.
• Dữ liệu mất được — cache theo định nghĩa là dữ liệu tái tạo được; mất thì tính lại. Nhược điểm lớn nhất của instance store vì thế không thành vấn đề ở đây.
• Không tính phí riêng — giá đã nằm trong giá instance.

Với ứng dụng tính toán khoa học, cache dữ liệu trung gian ở tốc độ cao là đúng nhu cầu.

Vì sao các phương án khác sai

• D. Amazon EBS — bền vững và cũng nhanh, nhưng đi qua mạng nên độ trễ cao hơn, và tính phí riêng theo GB. Khi dữ liệu là cache thì trả tiền cho tính bền vững là thừa. Đây là phương án nhiễu chính.
• A. Amazon EFS — hệ thống tệp chia sẻ qua NFS; độ trễ cao hơn hẳn, không hợp làm cache tốc độ cao.
• B. Amazon S3 — lưu trữ đối tượng truy cập qua API HTTP; độ trễ tính bằng chục mili giây.

Lưu ý

Nếu cần cache chia sẻ giữa nhiều máy, câu trả lời sẽ là ElastiCache. Instance store là cache cục bộ của từng máy.

Đáp án

A và E

Vì sao đúng

• *A. Với mỗi tài nguyên, mỗi khoá thẻ phải là duy nhất và chỉ có một giá trị — đúng: một tài nguyên không thể vừa có Environment=Dev vừa có Environment=Prod. Gán lại cùng khoá sẽ ghi đè giá trị cũ.
• E. Phải kích hoạt riêng cả thẻ do AWS sinh ra lẫn thẻ do người dùng định nghĩa trước khi chúng xuất hiện trong Cost Explorer hoặc báo cáo phân bổ chi phí — đúng, và đây là bước rất hay bị quên.

Điểm E đáng nhớ vì hậu quả của việc quên: bạn gắn thẻ cẩn thận cho hàng trăm tài nguyên, rồi mở Cost Explorer và không thấy thẻ nào — vì chưa kích hoạt chúng trong phần Billing. Tệ hơn, việc kích hoạt không có hiệu lực hồi tố: chi phí phát sinh trước đó vẫn không phân bổ theo thẻ được.

Vì sao các phương án khác sai

• B. Mỗi khoá thẻ có thể có nhiều giá trị — sai, và mâu thuẫn với A.
• C. Chỉ thẻ do người dùng định nghĩa mới cần kích hoạt — sai; cả hai loại đều cần, và mâu thuẫn với E. Đây là phương án nhiễu chính.
• D. Thẻ là cấu hình bắt buộc để chạy báo cáo — sai; thẻ hoàn toàn tuỳ chọn. Bạn vẫn có báo cáo chi phí theo dịch vụ và theo Region mà không cần thẻ nào; thẻ chỉ thêm chiều phân tích.

Đáp án

B — Read Replica cải thiện khả năng mở rộng của cơ sở dữ liệu

Vì sao đúng

Read replica là bản sao chỉ đọc được nhân bản bất đồng bộ từ instance chính. Ứng dụng gửi truy vấn đọc sang các bản sao, còn ghi vẫn đi vào bản chính.

Nhờ vậy bạn mở rộng năng lực đọc theo chiều ngang — thêm bản sao là thêm khả năng phục vụ đọc. Với ứng dụng có tỷ lệ đọc trên ghi cao (rất phổ biến: trang thương mại điện tử, mạng xã hội, trang tin), đây là cách mở rộng hiệu quả nhất.

Bạn tạo được tối đa 15 read replica cho một instance chính, kể cả ở Region khác.

Vì sao các phương án khác sai

• C. Nâng cao tính sẵn sàng — đây là nhầm lẫn phổ biến nhất: read replica không tự động chuyển dự phòng. Muốn dùng nó thay bản chính thì phải nâng cấp thủ công, và quá trình đó mất thời gian. Tính sẵn sàng là việc của Multi-AZ. Đây là phương án nhiễu chính.
• A. Bảo vệ khỏi sự cố toàn Region — chỉ đúng nếu bạn cố ý đặt read replica ở Region khác, và ngay cả khi đó việc chuyển đổi vẫn là thủ công. Không phải lợi ích chính.
• D. Giảm chi phí — ngược lại: mỗi read replica là một instance tính tiền riêng.

Ghi nhớ cặp hay bị lẫn

Đáp án

C — Amazon Kendra

Vì sao đúng

Kendra là dịch vụ tìm kiếm doanh nghiệp dùng học máy để hiểu ngôn ngữ tự nhiên. Nó khớp với mọi yêu cầu của đề:

• Đọc được nhiều định dạng — PDF, Word, văn bản thuần, HTML, PowerPoint.
• Hiểu câu hỏi thường ngày — người dùng hỏi bằng câu hỏi chứ không phải từ khoá.
• Trả về tài liệu liên quan nhất, và với câu hỏi cụ thể thì trích thẳng đoạn trả lời trong tài liệu.

Với kho bằng sáng chế cũ, một lợi thế đáng kể là Kendra hiểu từ đồng nghĩa và ngữ cảnh — nên tìm được cả những tài liệu dùng thuật ngữ khác với câu hỏi.

Vì sao các phương án khác sai

• B. Amazon Comprehend — phân tích văn bản (rút thực thể, cụm từ khoá, chủ đề, cảm xúc). Nó hiểu một tài liệu, nhưng không phải công cụ tìm kiếm trên cả kho. Đây là phương án nhiễu chính, và hai dịch vụ này thường được dùng cùng nhau.
• A. Amazon Lex — xây giao diện hội thoại (chatbot).
• D. Amazon Personalize — hệ gợi ý cá nhân hoá theo hành vi người dùng.