Ngân hàng đề — AWS Certified Cloud Practitioner

Đáp án

A — Amazon DynamoDB

Vì sao đúng

Schemaless nghĩa là không phải khai cấu trúc bảng trước. Với DynamoDB, bạn chỉ khai khoá chính; mọi thuộc tính khác thêm bớt tự do theo từng bản ghi.

Điều này rất hợp với dự án xử lý dữ liệu vì cấu trúc dữ liệu thường thay đổi trong quá trình làm — thêm trường mới không cần ALTER TABLE, không khoá bảng, không thời gian ngừng.

DynamoDB cũng lưu được cấu trúc lồng nhau dạng JSON (danh sách, map), nên dữ liệu phức tạp không phải bẻ ra nhiều bảng.

Vì sao các phương án khác sai

Ba phương án còn lại đều là cơ sở dữ liệu quan hệ, đòi lược đồ cố định khai trước:

• C. Amazon RDS — dịch vụ được quản lý cho MySQL, PostgreSQL, Oracle, SQL Server.
• B. Amazon Aurora — bản tương thích MySQL và PostgreSQL do AWS xây; hiệu năng cao hơn nhưng vẫn là quan hệ.
• D. Amazon Redshift — kho dữ liệu cho phân tích, cũng theo mô hình quan hệ và còn đòi thiết kế lược đồ kỹ hơn (khoá phân phối, khoá sắp xếp).

Ghi nhớ

Hễ câu hỏi nhắc tới "schemaless", "lược đồ linh hoạt", "NoSQL" hay "khoá–giá trị", câu trả lời trong đề Cloud Practitioner gần như luôn là DynamoDB.

Đáp án

*B — Xây các thành phần kết nối lỏng (loosely coupled)

Vì sao đúng

Kết nối lỏng nghĩa là các thành phần không gọi thẳng nhau mà giao tiếp qua một lớp trung gian — hàng đợi (SQS), thông báo (SNS), hoặc bus sự kiện (EventBridge).

Ba lợi ích trực tiếp:

• Cách ly lỗi — một thành phần chậm hoặc chết không kéo sập cả hệ thống; thông điệp nằm chờ trong hàng đợi.
• Co giãn độc lập — mở rộng đúng phần đang nghẽn, không phải mở rộng cả khối.
• Thay đổi độc lập — sửa hoặc thay một thành phần mà không đụng tới phần còn lại.

Đây là nguyên tắc thiết kế được nhắc tới trong nhiều trụ của Well-Architected Framework, đặc biệt là Reliability.

Vì sao các phương án khác sai

• D. Xây thành phần kết nối chặt — ngược lại, và mâu thuẫn trực tiếp với B.
• C. Xây ứng dụng khối (monolithic) — mọi thứ trong một đơn vị triển khai; một lỗi nhỏ có thể làm sập toàn bộ, và mở rộng thì phải nhân bản cả khối.
• A. Dùng giao tiếp đồng bộ giữa các thành phần — giao tiếp đồng bộ tạo ra phụ thuộc thời gian: bên gọi phải chờ, và bên gọi hỏng khi bên nhận hỏng. Giao tiếp bất đồng bộ mới là thứ làm nên kết nối lỏng. Đây là phương án nhiễu tinh vi nhất.

Đáp án

D và E — dữ liệu truyền vào từ Internet, và dữ liệu truyền ra tới EC2 trong cùng Region

Vì sao đúng

Hai quy tắc miễn phí của S3:

• D. Dữ liệu đi vào (data in) luôn miễn phí — đưa dữ liệu lên AWS không mất tiền, ở mọi dịch vụ. AWS cố ý làm vậy để việc di trú dữ liệu không có rào cản.
• E. Truyền ra tới EC2 trong cùng Region miễn phí — chữ "cùng Region" là điều kiện bắt buộc.

Vế thứ hai giải thích một nguyên tắc thiết kế quan trọng: đặt tài nguyên xử lý cùng Region với nơi lưu dữ liệu. Vi phạm điều này là nguồn gốc của khoản phí ẩn hay gặp nhất trong hoá đơn.

Vì sao các phương án khác sai

• C. Truyền ra tới EC2 ở bất kỳ Region nào — sai ở chữ "bất kỳ": sang Region khác thì tính phí truyền dữ liệu liên Region. Đây là phương án nhiễu chính, và nó chỉ khác đáp án đúng ở một điều kiện.
• A. Phí lưu trữ cho đối tượng ở S3 Standard và B. Phí lưu trữ ở S3 Glacier — cả hai đều tính tiền theo GB mỗi tháng; Glacier rẻ hơn nhiều nhưng không miễn phí.

Đáp án

D — AWS Device Farm

Vì sao đúng

AWS Device Farm cho phép kiểm thử ứng dụng di động và web trên thiết bị vật lý thật đặt trong đám mây — điện thoại và máy tính bảng thật, không phải trình giả lập.

Nó đáp ứng đúng nhu cầu của đội QA: kho thiết bị có nhiều hãng, nhiều đời máy, nhiều phiên bản hệ điều hành và firmware, gồm cả Android lẫn iOS.

Hai chế độ dùng: kiểm thử tự động (chạy bộ test trên hàng chục thiết bị song song, nhận về video, ảnh chụp màn hình và log) và truy cập từ xa (thao tác trực tiếp lên thiết bị thật qua trình duyệt).

Giá trị thực tế: mua và duy trì một kho thiết bị đủ đa dạng là chuyện tốn kém và nhanh lạc hậu.

Vì sao các phương án khác sai

• B. "AWS Mobile Farm" — không tồn tại; đây là tên bịa nghe rất giống tên thật, và là bẫy chính của câu này.
• C. AWS CodePipeline — điều phối quy trình CI/CD; nó gọi được Device Farm ở bước kiểm thử nhưng bản thân không cung cấp thiết bị.
• A. AWS Elastic Beanstalk — nền tảng triển khai ứng dụng web.

Đáp án

D — Amazon S3 Replication

Vì sao đúng

S3 Replication là tính năng có sẵn của chính S3: bật một quy tắc và S3 tự động sao chép đối tượng sang bucket đích — kể cả bucket ở tài khoản AWS khác.

Điểm khớp chính xác với yêu cầu của đề: replication giữ nguyên siêu dữ liệu — thẻ, ACL, thời điểm tạo, ID của người tải lên, và cả lớp lưu trữ.

Nó cũng hỗ trợ nhiều đích cùng lúc (S3 Multi-Destination Replication), nên một bucket sản xuất nhân bản sang nhiều tài khoản kiểm thử chỉ bằng nhiều quy tắc.

Với sao chép sang tài khoản khác, cần thêm hai thứ: bucket policy ở đích cho phép tài khoản nguồn ghi vào, và IAM role cho S3 dùng khi sao chép.

Vì sao các phương án khác sai

• C. Bucket policy — kiểm soát ai được truy cập bucket; nó là một phần của cấu hình replication nhưng bản thân không sao chép gì.
• A. S3 Transfer Acceleration — tăng tốc việc tải lên qua mạng biên; không tạo bản sao.
• B. S3 Storage Classes — cân bằng chi phí và tốc độ truy cập.

Đáp án

*C — Triển khai trên hai AWS Region cải thiện tính sẵn sàng

Vì sao đúng

Mỗi AWS Region là một khu vực địa lý hoàn toàn độc lập — có hạ tầng điện, mạng và trung tâm dữ liệu riêng, cách nhau hàng nghìn kilômét.

Vì vậy triển khai trên hai Region cho mức bảo vệ cao nhất: hệ thống chịu được cả sự cố toàn Region — thiên tai, mất điện diện rộng, hoặc lỗi hệ thống lan rộng.

Nó cũng giảm độ trễ cho người dùng ở gần Region thứ hai, nhưng lợi ích chính vẫn là tính sẵn sàng.

Vì sao các phương án khác sai

• B. Cải thiện khả năng mở rộng — mở rộng quy mô làm được trong một Region bằng cách thêm instance; không cần Region thứ hai. Đây là phương án nhiễu chính.
• A. Cải thiện bảo mật — nhiều Region không tự nó làm hệ thống an toàn hơn; thậm chí còn tăng bề mặt tấn công và làm việc quản trị phức tạp hơn.
• D. Cải thiện tính linh hoạt — linh hoạt nói về tốc độ phát triển và ra mắt, không liên quan tới vị trí triển khai.

Lưu ý về đánh đổi

Kiến trúc đa Region phức tạp và tốn kém hơn nhiều: phải đồng bộ dữ liệu xuyên Region, chịu độ trễ cao giữa hai bên, và trả phí truyền dữ liệu liên Region. Với phần lớn nhu cầu, đa AZ trong một Region đã đủ.

Đáp án

A — AWS CloudFormation

Vì sao đúng

CloudFormation là dịch vụ hạ tầng dưới dạng mã của AWS: bạn mô tả hạ tầng trong một mẫu (YAML hoặc JSON), và CloudFormation dựng đúng như vậy.

Với yêu cầu nhiều tài khoản và nhiều Region, tính năng đích danh là CloudFormation StackSets: nó triển khai cùng một mẫu ra hàng loạt tài khoản và Region trong một thao tác, và tích hợp với AWS Organizations để tự áp cho các tài khoản mới thêm vào.

Ba lợi ích đi kèm: hạ tầng quản lý phiên bản được bằng Git, lặp lại chính xác giữa dev, staging và production, và xoá gọn — huỷ stack là mọi tài nguyên nó tạo ra biến mất.

Vì sao các phương án khác sai

• B. AWS Systems Manager — quản lý và vận hành máy chủ đã tồn tại (cài bản vá, chạy lệnh từ xa); nó không tạo ra hạ tầng.
• C. AWS CodeDeploy — triển khai mã ứng dụng lên máy chủ, không phải hạ tầng.
• D. AWS OpsWorks — quản lý cấu hình bằng Chef và Puppet; nó cấu hình bên trong máy chủ.

Đáp án

C và E

Vì sao đúng

• C. WAF kiểm tra được sự hiện diện của mã SQL có khả năng độc hại (SQL injection) — đúng, và đây là năng lực cốt lõi của WAF. Nó đọc được nội dung yêu cầu HTTP — đường dẫn, header, cookie, chuỗi truy vấn, thân yêu cầu — nên nhận ra được mã SQL nhúng trong tham số.
• E. WAF chặn được mọi yêu cầu trừ những yêu cầu bạn cho phép — đúng: WAF hỗ trợ cả hai chiến lược, danh sách chặn (mặc định cho qua, chặn cái xấu) và danh sách cho phép (mặc định chặn, chỉ cho qua cái đã khai).

Vì sao các phương án khác sai

• A. WAF có hỗ trợ chuyên biệt từ đội ứng phó DDoS (DRT) và báo cáo nâng cao — đó là tính năng của AWS Shield Advanced, không phải WAF.
• D. WAF chống được mọi tấn công hạ tầng ở tầng 3 và 4 — sai về tầng: WAF hoạt động ở tầng 7; tầng 3 và 4 là việc của Shield.
• *B. WAF giám sát các yêu cầu HTTP và HTTPS chuyển tới Amazon Route 53 — sai về đích: WAF gắn được vào CloudFront, Application Load Balancer, API Gateway, AppSync và Cognito, nhưng không gắn vào Route 53 — Route 53 là dịch vụ DNS, nó không xử lý yêu cầu HTTP.

Đáp án

D — AWS CodeDeploy

Vì sao đúng

CodeDeploy tự động hoá việc triển khai mã ứng dụng tới EC2 instance, máy chủ tại chỗ, hàm Lambda và tác vụ ECS.

Nó hỗ trợ các chiến lược triển khai an toàn: in-place (cập nhật tại chỗ theo từng đợt), blue/green (dựng môi trường mới rồi chuyển lưu lượng), và canary — cùng khả năng tự động quay lui khi triển khai thất bại hoặc khi cảnh báo CloudWatch kích hoạt.

Vì sao các phương án khác sai

• A. AWS Elastic Beanstalk — cũng triển khai được ứng dụng, nhưng nó là nền tảng trọn gói: nó tự tạo và quản lý EC2, ELB, Auto Scaling. Đề hỏi triển khai mã lên EC2 instance đã có, và đó là việc của CodeDeploy. Đây là phương án nhiễu chính, và ranh giới là:

  	CodeDeploy	Elastic Beanstalk
  Hạ tầng	Bạn đã có sẵn	Nó tự tạo cho bạn
  Kiểm soát	Cao	Thấp hơn

• B. AWS CodeBuild — biên dịch và kiểm thử mã, tạo ra artefact; nó là bước trước triển khai.

• C. AWS CloudFormation — triển khai hạ tầng, không phải mã ứng dụng.

Đáp án

A — AWS Fargate

Vì sao đúng

Fargate là công cụ tính toán không máy chủ dành cho container. Nó làm việc cùng Amazon ECS và Amazon EKS: bạn khai mỗi tác vụ cần bao nhiêu vCPU và bộ nhớ, còn AWS lo phần máy chủ bên dưới — bạn không thấy và không quản lý EC2 instance nào.

Ba dịch vụ container chính của AWS:

Vì sao các phương án khác sai

• D. AWS Elastic Beanstalk — nền tảng triển khai ứng dụng; nó hỗ trợ môi trường Docker nhưng bản chất là dịch vụ PaaS chạy trên EC2, không phải dịch vụ container. Đây là phương án nhiễu chính.
• B. Amazon SNS — dịch vụ thông báo theo mô hình xuất bản và đăng ký.
• C. Amazon SageMaker — nền tảng học máy.