Ngân hàng đề — AWS Certified Cloud Practitioner

Đáp án

B — Agility (tính linh hoạt)

Vì sao đúng

Agility là thuật ngữ AWS dùng cho đúng năng lực đề mô tả: đổi mới nhanh hơn, và xây – thử – ra mắt ứng dụng nhanh hơn.

Nền tảng của nó là chi phí thử nghiệm gần bằng không. Trên hạ tầng tại chỗ, thử một ý tưởng mới đồng nghĩa với đặt mua máy chủ và chờ nhiều tuần — nên chỉ những ý tưởng chắc ăn mới được thử. Trên đám mây, dựng môi trường mất vài phút và xoá đi cũng vậy, nên thử nhiều hơn, thất bại rẻ hơn, học nhanh hơn.

Vì sao các phương án khác sai

Ba phương án còn lại đều là lợi ích thật của đám mây nhưng trả lời câu hỏi khác:

• C. Triển khai toàn cầu trong vài phút — nói về phạm vi địa lý, không phải tốc độ phát triển.
• D. Elasticity — tự tăng giảm tài nguyên theo tải; đó là chuyện vận hành khi hệ thống đã chạy. Đây là phương án nhiễu chính.
• A. Tiết kiệm chi phí — là kết quả tài chính, không phải năng lực rút ngắn chu kỳ phát triển.

Đáp án

B, C và E — Usage budget, Reservation budget và Cost budget

Vì sao đúng

AWS Budgets cho tạo bốn loại ngân sách, và ba loại trong đáp án nằm trong đó:

Reservation budget đáng chú ý nhất trong thực tế: Reserved Instance là cam kết trả tiền dù có dùng hay không, nên mua rồi để đó là mất tiền hoàn toàn — mà không có tín hiệu nào tự báo cho bạn ngoài cơ chế này.

Vì sao các phương án khác sai

• A. "Software budget", D. "Hardware budget", F. "Resource budget" — cả ba đều không tồn tại. Chúng là những cái tên nghe hợp lý được bịa ra, và cách loại chúng là nhớ rằng AWS Budgets chỉ theo dõi chi phí, mức sử dụng, và các cam kết mua trước.

Đáp án

*B — EC2 instance truy cập được tệp trên EFS qua nhiều Availability Zone, nhiều Region và nhiều VPC

Vì sao đúng

EFS là hệ thống tệp chia sẻ theo giao thức NFS, và phạm vi truy cập của nó rộng hơn nhiều người nghĩ:

Điểm mấu chốt: mount target của EFS có địa chỉ IP riêng trong VPC, nên bất kỳ đâu định tuyến tới được địa chỉ đó đều mount được.

Cần lưu ý về hiệu năng và chi phí: truy cập xuyên Region có độ trễ cao hơn và phát sinh phí truyền dữ liệu liên Region — nên dù làm được, nó không phải kiến trúc nên dùng thường xuyên.

Vì sao các phương án khác sai

Ba phương án còn lại đều thu hẹp phạm vi một cách sai:

• A. Chỉ trong một AZ — đó là mô tả của EBS, không phải EFS.
• C. Nhiều AZ nhưng không xuyên VPC và Region — sai ở cả hai vế cuối.
• D. Nhiều AZ và VPC nhưng không xuyên Region — sai ở vế cuối.

Đáp án

C và D — EC2 co giãn theo nhu cầu tính toán thay đổi, và lập trình viên khởi chạy hoặc huỷ instance bất cứ lúc nào

Vì sao đúng

Hai đặc điểm này là khác biệt căn bản so với hosting truyền thống:

• C. Co giãn theo nhu cầu — thêm hoặc bớt instance trong vài phút, và đổi loại instance khi cần. Hosting truyền thống thì bạn bị khoá vào cấu hình đã thuê.
• D. Khởi chạy và huỷ bất cứ lúc nào — không hợp đồng tối thiểu, không thời hạn. Đây chính là điều làm cho mô hình trả theo mức dùng có ý nghĩa.

Vì sao các phương án khác sai

Ba phương án còn lại đều mô tả đặc điểm của hosting truyền thống:

• E. Cung cấp instance cấu hình sẵn với chi phí cố định hằng tháng — đó là mô hình thuê máy chủ truyền thống; EC2 tính theo giây với Linux.
• B. Hướng tới nhóm người dùng có yêu cầu giống nhau, chia sẻ tài nguyên máy chủ để giảm giá — mô tả shared hosting; với EC2 bạn có tài nguyên riêng cho instance của mình.
• A. Người dùng có nguy cơ mua thừa tài nguyên — đó chính là vấn đề mà đám mây loại bỏ: bạn không phải đoán năng lực trước, và giảm quy mô được khi không cần.

Đáp án

D — Amazon EC2 Instance Connect

Vì sao đúng

Chữ khoá của đề là client chạy trong trình duyệt, và EC2 Instance Connect làm đúng điều đó: bạn bấm nút Connect ngay trong AWS Management Console và một phiên SSH mở ra trong tab trình duyệt.

Vì chạy trong trình duyệt nên nó hoạt động giống nhau trên macOS, Windows và Linux — không phải cài phần mềm gì.

Cơ chế cũng đáng chú ý: Instance Connect đẩy một khoá SSH tạm thời lên instance, khoá đó chỉ sống 60 giây. Nhờ vậy bạn không phải quản lý khoá SSH cố định, và quyền truy cập được kiểm soát bằng chính sách IAM.

Vì sao các phương án khác sai

• B. SSH — là giao thức, và cần một chương trình client cài trên máy; nó không chạy trong trình duyệt.
• A. PuTTY — chương trình SSH client cài trên Windows; không phải giải pháp đa nền tảng qua trình duyệt.
• C. AWS Direct Connect — kết nối mạng riêng giữa trung tâm dữ liệu và AWS, không liên quan tới việc đăng nhập vào máy.

Lưu ý so với một dịch vụ gần giống

Systems Manager Session Manager cũng cho truy cập shell qua trình duyệt và còn không cần mở cổng 22 nào — an toàn hơn. Nó không nằm trong bốn phương án của câu này.

Đáp án

D và E — Amazon EC2 và Amazon RDS

Vì sao đúng

Reserved Instance là mô hình cam kết sử dụng 1 hoặc 3 năm để đổi lấy giảm giá, và nó áp cho các dịch vụ tính tiền theo instance:

• D. Amazon EC2 — Reserved Instances, giảm tới ~72%.
• E. Amazon RDS — Reserved DB Instances, cơ chế tương tự.

Điểm chung: cả hai đều có khái niệm "instance chạy liên tục", nên cam kết trước có ý nghĩa.

Vì sao các phương án khác sai

• A. Amazon S3 — tính tiền theo dung lượng thực dùng; không có instance nào để đặt trước. Tối ưu chi phí S3 làm bằng cách chọn lớp lưu trữ và đặt quy tắc vòng đời.
• B. Amazon CloudFront — tính theo lưu lượng và số yêu cầu. (Nó có Savings Bundle dạng cam kết chi tiêu, nhưng đó không phải Reserved Instance.)
• C. AWS IAM — luôn miễn phí, nên không có gì để tối ưu.

Ghi nhớ các dịch vụ có mô hình đặt trước

EC2, RDS, ElastiCache, Redshift, OpenSearch, và DynamoDB (gọi là Reserved Capacity, đặt trước đơn vị năng lực đọc ghi).

Đáp án

D — Performance Efficiency (Hiệu quả về hiệu năng)

Vì sao đúng

Trụ Performance Efficiency lo việc dùng tài nguyên tính toán hiệu quả để đáp ứng yêu cầu hệ thống, và duy trì hiệu quả đó khi nhu cầu thay đổi hoặc công nghệ tiến hoá.

"Chọn đúng loại và cỡ tài nguyên theo yêu cầu workload" là nguyên tắc thiết kế đầu tiên của trụ này — thường gọi là selection: chọn đúng loại tính toán (EC2, container hay serverless), đúng loại lưu trữ, đúng loại cơ sở dữ liệu.

Vì sao các phương án khác sai

• A. Cost Optimization — cũng nói tới việc chọn đúng cỡ tài nguyên, nhưng góc nhìn khác: nó hỏi "có đang trả tiền thừa không", còn Performance Efficiency hỏi "có đủ nhanh không". Đây là phương án nhiễu chính, và hai trụ này thường kéo ngược nhau — chọn cỡ tài nguyên chính là điểm cân bằng giữa chúng.
• B. Reliability — khả năng phục hồi sau sự cố.
• C. Operational Excellence — vận hành và cải tiến hệ thống.

Sáu trụ của Well-Architected Framework

Operational Excellence, Security, Reliability, Performance Efficiency, Cost Optimization, Sustainability.

Đáp án

A và C — bán giải pháp SaaS cho khách hàng AWS, và mua phần mềm được đóng gói sẵn thành AMI

Vì sao đúng

AWS Marketplace là cửa hàng hai chiều:

• A. Người bán đưa sản phẩm lên bán — trong đó có giải pháp SaaS, và Marketplace lo phần thanh toán, cấp phép và tích hợp hoá đơn.
• C. Người mua tìm và triển khai ngay phần mềm đã đóng gói thành AMI tuỳ chỉnh, container, hoặc mẫu CloudFormation.

Điểm tiện nhất: thanh toán gộp vào hoá đơn AWS, không phải làm hợp đồng riêng với từng nhà cung cấp.

Vì sao các phương án khác sai

• E. Mua EC2 Standard Reserved Instance — mua RI làm trong AWS Console phần EC2, không phải qua Marketplace. (Có Reserved Instance Marketplace để bán lại RI không dùng nữa, nhưng đó là nơi khác và chỉ dành cho RI đã mua.) Đây là phương án nhiễu tinh vi nhất.
• D. Mua tài liệu tuân thủ từ nhà cung cấp bên thứ ba — tài liệu tuân thủ lấy từ AWS Artifact và miễn phí.
• B. Gửi yêu cầu mua kết nối AWS Direct Connect — làm trong Console phần Direct Connect.

Đáp án

B và D — AWS Transit Gateway và AWS Direct Connect

Vì sao đúng

Bài toán có hai phần, và mỗi dịch vụ lo một phần:

• B. Transit Gateway — nối các VPC với nhau. Mỗi VPC chỉ cần một kết nối tới nó, thay vì peering chằng chịt. Với 10 VPC thì đó là 10 kết nối thay vì 45.
• D. Direct Connect — nối trung tâm dữ liệu tại chỗ với AWS bằng đường riêng, băng thông cao và độ trễ ổn định.

Điểm khiến chúng ghép với nhau rất tốt: Direct Connect kết nối vào Transit Gateway (qua transit virtual interface và Direct Connect gateway), nên một đường Direct Connect duy nhất phục vụ được mọi VPC. Không phải tạo một VIF cho mỗi VPC.

Vì sao các phương án khác sai

• C. VPC peering — nối VPC được, nhưng không có tính bắc cầu và số kết nối tăng theo bình phương số VPC. Đây là phương án nhiễu chính, và nó chính là vấn đề mà Transit Gateway sinh ra để thay thế.
• E. Internet Gateway — cho VPC ra Internet; không nối tới mạng tại chỗ theo cách riêng tư.
• A. AWS Storage Gateway — cho ứng dụng tại chỗ truy cập lưu trữ đám mây; tên có chữ "gateway" nhưng không phải dịch vụ mạng.

Đáp án

B — IAM role

Vì sao đúng

Đây là thực hành tốt quan trọng nhất về xác thực trên AWS: ứng dụng chạy trên AWS nên dùng IAM role, không dùng khoá truy cập cố định.

Cách hoạt động: bạn gắn một instance profile chứa IAM role vào EC2. Ứng dụng bên trong gọi tới dịch vụ metadata (169.254.169.254) và nhận về thông tin xác thực tạm thời. SDK của AWS làm việc này tự động — bạn không phải viết dòng nào.

Vì sao các phương án khác sai

• C. Khoá truy cập của IAM user — hoạt động được nhưng là thực hành xấu: khoá cố định nằm trên instance, và một lần lộ (qua log, qua ảnh chụp màn hình, qua mã nguồn) là dùng được lâu dài. Đây là phương án nhiễu chính.
• D. Amazon Cognito — quản lý danh tính cho người dùng ứng dụng di động và web, không phải cho máy chủ gọi dịch vụ AWS.
• A. AWS KMS — quản lý khoá mã hoá, không phải cơ chế xác thực.