Ngân hàng đề — AWS Certified Cloud Practitioner

Đáp án

A — Rehost

Vì sao đúng

Đề nêu hai điều kiện, và cả hai đều chỉ về rehost: đường di trú nhanh nhất, và không sửa mã, không thay đổi kiến trúc.

Rehost — thường gọi là "lift and shift" — là bê nguyên ứng dụng từ máy chủ vật lý hoặc máy ảo tại chỗ lên EC2 instance, giữ nguyên mọi thứ bên trong.

Đây là chiến lược nhanh nhất và ít rủi ro nhất, và nó có một logic đáng chú ý: nhiều tổ chức cố ý rehost trước để lên đám mây nhanh, rồi hiện đại hoá dần sau đó khi đã quen môi trường và có dữ liệu vận hành thật.

Bảy chiến lược di trú

Vì sao các phương án khác sai

• C. Replatform — vẫn có một chút thay đổi (chuyển sang dịch vụ được quản lý); đề nói rõ không thay đổi gì. Đây là phương án nhiễu chính.
• B. Repurchase — thay hẳn bằng sản phẩm khác.
• D. Refactor — viết lại, tốn công và rủi ro nhất.

Đáp án

D — AWS Web Application Firewall (AWS WAF)

Vì sao đúng

WAF kiểm tra yêu cầu HTTP và HTTPS trước khi chúng tới ứng dụng, và CloudFront là một trong những điểm gắn chính của nó.

Vì gắn ở CloudFront, WAF bảo vệ được mọi origin đứng sau — kể cả máy chủ web HTTP bất kỳ, nằm trên EC2, tại trung tâm dữ liệu của bạn, hay ở nhà cung cấp khác. Đó chính là điều đề mô tả.

Lợi thế của việc lọc tại CloudFront: yêu cầu độc hại bị chặn ngay tại edge location gần người gửi, không bao giờ chạm tới origin.

Các điểm gắn khác của WAF: Application Load Balancer, API Gateway, AppSync và Cognito.

Vì sao các phương án khác sai

• A. Amazon Inspector — quét lỗ hổng phần mềm trên EC2, container và Lambda; nó không kiểm tra lưu lượng đi qua CloudFront.
• B. Amazon GuardDuty — phát hiện mối đe doạ bằng cách phân tích nhật ký; nó cảnh báo chứ không chặn.
• C. Elastic Load Balancing — phân phối lưu lượng; nó là nơi có thể gắn WAF, nhưng bản thân không kiểm tra nội dung yêu cầu.

Đáp án

B — AWS Cloud Development Kit (AWS CDK)

Vì sao đúng

CDK cho phép định nghĩa hạ tầng bằng ngôn ngữ lập trình quen thuộc — TypeScript, JavaScript, Python, Java, C# và Go — thay vì viết YAML hoặc JSON.

Điểm mạnh đến từ chính việc dùng ngôn ngữ thật: bạn có vòng lặp, hàm, lớp, kiểu dữ liệu, và IDE gợi ý mã cùng bắt lỗi ngay khi gõ. Tạo mười subnet giống nhau chỉ là một vòng for, thay vì chép mười khối YAML.

Bên dưới, CDK tổng hợp ra mẫu CloudFormation rồi triển khai bằng chính CloudFormation — nên bạn được cả sự tiện lợi của ngôn ngữ lẫn độ tin cậy của công cụ nền.

Vì sao các phương án khác sai

• D. AWS CloudFormation — cũng là hạ tầng dưới dạng mã, nhưng viết bằng YAML hoặc JSON, tức là ngôn ngữ khai báo chứ không phải ngôn ngữ lập trình. Đây là phương án nhiễu chính, và quan hệ giữa hai cái là: CDK sinh ra CloudFormation.
• A. AWS CodeBuild — dịch vụ biên dịch và kiểm thử mã trong quy trình CI/CD.
• C. AWS Elastic Beanstalk — nền tảng triển khai ứng dụng; bạn tải mã ứng dụng lên, không mô tả hạ tầng.

Đáp án

D — Amazon Simple Storage Service (S3)

Vì sao đúng

Snapshot của EBS được lưu trên Amazon S3, dù bạn không nhìn thấy chúng trong danh sách bucket của mình — AWS quản lý phần lưu trữ này ở phía sau.

Điều đó có ba hệ quả quan trọng:

• Snapshot mang tính Region (S3 lưu dư thừa qua nhiều AZ), trong khi volume EBS chỉ nằm trong một AZ. Vì vậy snapshot chính là cách sao chép dữ liệu sang AZ khác: chụp snapshot rồi khôi phục thành volume mới ở AZ đích.
• Sao chép sang Region khác được, nên snapshot cũng là công cụ khôi phục thảm hoạ.
• Lưu tăng dần (incremental) — snapshot đầu tiên chứa toàn bộ dữ liệu, các snapshot sau chỉ lưu các khối đã thay đổi. Nhờ vậy chụp snapshot hằng ngày rẻ hơn nhiều so với trực giác.

Vì sao các phương án khác sai

• C. Amazon EC2 — dịch vụ tính toán; nó dùng volume EBS nhưng không lưu snapshot.
• B. Amazon EFS — hệ thống tệp chia sẻ, không liên quan tới snapshot của EBS.
• A. Amazon RDS — dịch vụ cơ sở dữ liệu; nó cũng có snapshot riêng (cũng lưu trên S3), nhưng không phải nơi chứa snapshot của EBS.

Đáp án

*B — VPC trải trên tất cả các Availability Zone trong một AWS Region

Vì sao đúng

Đây là quan hệ phân cấp cơ bản nhất của mạng trên AWS:

Region  (ví dụ ap-southeast-1)
 └── VPC  10.0.0.0/16  ← trải trên TOÀN BỘ các AZ của Region này
      ├── Subnet → AZ-1a   ← mỗi subnet nằm trong ĐÚNG MỘT AZ
      ├── Subnet → AZ-1b
      └── Subnet → AZ-1c

Hai điều rút ra:

• VPC không vượt ra ngoài Region. Muốn có mạng ở Region khác thì phải tạo VPC khác, rồi nối chúng bằng VPC peering hoặc Transit Gateway.
• VPC phủ mọi AZ trong Region, nên bạn tạo subnet ở AZ nào cũng được — và đó chính là cách xây kiến trúc sẵn sàng cao.

Vì sao các phương án khác sai

• *A. VPC trải trên mọi Region trong một AZ — đảo ngược quan hệ: AZ nằm bên trong Region, không phải ngược lại. Đây là phương án nhiễu chính.
• *C. VPC trải trên mọi AZ ở mọi Region — sai; VPC không vượt Region.
• D. VPC trải trên mọi subnet ở mọi Region — sai theo cùng lý do, và còn đảo ngược quan hệ với subnet (VPC chứa subnet).

Đáp án

A — Amazon S3 One Zone-Infrequent Access (S3 One Zone-IA)

Vì sao đúng

Chi tiết quyết định trong đề: đây là bản sao lưu thứ cấp (secondary backup) của dữ liệu tại chỗ. Nghĩa là bản chính vẫn còn ở trung tâm dữ liệu — nếu mất bản trên đám mây thì tạo lại được.

Vì không cần độ bền cao nhất, bạn không phải trả tiền cho nó. One Zone-IA lưu ở một Availability Zone duy nhất thay vì ba, nên rẻ hơn Standard-IA khoảng 20%, mà vẫn lấy dữ liệu tức thì đúng yêu cầu "rapid access".

Vì sao các phương án khác sai

• C. S3 Standard-IA — cũng dành cho dữ liệu ít truy cập và lấy được ngay, nhưng lưu ở ba AZ; bạn trả thêm cho độ bền mà bản sao thứ cấp không cần. Đây là phương án nhiễu chính.
• B. S3 Glacier Deep Archive — rẻ nhất, nhưng lấy dữ liệu mất 12–48 giờ; vi phạm yêu cầu "rapid access".
• D. S3 Standard — đắt nhất, dành cho dữ liệu truy cập thường xuyên.

Ghi nhớ

Hễ đề nói dữ liệu là bản sao thứ cấp, tạo lại được, hoặc không quan trọng, hãy nghĩ tới One Zone-IA.

Đáp án

B — Amazon Lightsail

Vì sao đúng

Đề nêu hai điều kiện: đội mới với AWS và muốn giá hằng tháng thấp, đoán trước được cho môi trường dev/test.

Lightsail dựng chính xác cho nhu cầu đó: nó gộp máy chủ ảo, dung lượng lưu trữ, băng thông và địa chỉ IP tĩnh vào một gói giá cố định hằng tháng — bắt đầu từ vài đô la.

Ba điểm khiến nó dễ hơn EC2:

• Giá đoán trước được — không phải tính từng thành phần rồi cộng lại.
• Giao diện đơn giản hoá — vài lựa chọn thay vì hàng trăm loại instance.
• Bản dựng sẵn — WordPress, LAMP, Node.js cài xong chỉ bằng vài cú bấm.

Vì sao các phương án khác sai

• A. Amazon EC2 — linh hoạt hơn nhiều nhưng phức tạp hơn hẳn với người mới: phải chọn loại instance, cấu hình VPC, security group, EBS, và giá thì tính theo nhiều thành phần riêng. Đây là phương án nhiễu chính.
• C. Amazon ECS — chạy container; thêm một lớp phức tạp nữa.
• D. AWS CloudFormation — công cụ triển khai hạ tầng dưới dạng mã, không phải nơi chạy máy chủ.

Đáp án

D và E — kiểm tra sức khoẻ cùng giám sát, và đăng ký tên miền

Vì sao đúng

Route 53 có ba chức năng chính, và hai trong số đó nằm trong đáp án:

• E. Đăng ký tên miền — mua và quản lý tên miền trực tiếp trong AWS, gồm cả tự động gia hạn.
• D. Kiểm tra sức khoẻ và giám sát — Route 53 thăm dò endpoint từ nhiều nơi trên thế giới và ngừng trả về địa chỉ của endpoint hỏng; đây là nền tảng cho failover routing.
• (Chức năng thứ ba: định tuyến DNS với nhiều chính sách — simple, weighted, latency, failover, geolocation, geoproximity, multivalue.)

Con số 53 trong tên chính là cổng của giao thức DNS.

Vì sao các phương án khác sai

• B. Cân bằng tải — đó là Elastic Load Balancing. Route 53 phân phối được lưu lượng qua weighted routing, nhưng nó làm ở tầng DNS — trả về địa chỉ khác nhau — chứ không đứng giữa đường truyền như một bộ cân bằng tải. Đây là phương án nhiễu chính.
• A. Transfer acceleration — là tính năng của Amazon S3.
• C. "IP routing" — không phải tên một dịch vụ của Route 53; định tuyến gói tin IP là việc của bảng định tuyến trong VPC.

Đáp án

B — Amazon Simple Queue Service (SQS)

Vì sao đúng

Đề dùng đúng ba động từ của SQS: gửi, lưu trữ và nhận thông điệp — và mục đích là tách rời các tầng ứng dụng.

Chữ "lưu trữ (store)" là chỗ phân biệt quan trọng nhất. SQS giữ thông điệp lại cho tới khi có ai đó xử lý xong và xoá nó — mặc định 4 ngày, tối đa 14 ngày. Nhờ vậy:

• Bên nhận chết tạm thời thì thông điệp vẫn còn, xử lý được sau.
• Tải tăng đột biến thì hàng đợi làm đệm, bên nhận xử lý dần theo tốc độ của mình.

Vì sao các phương án khác sai

• D. Amazon SNS — cũng dùng để tách rời, nhưng theo mô hình xuất bản và đăng ký: nó đẩy thông điệp đi ngay tới mọi người đăng ký và không lưu lại. Nếu người nhận đang chết thì thông điệp mất. Đây là phương án nhiễu chính, và điểm phân biệt là chữ "lưu trữ":

  	SQS	SNS
  Mô hình	Hàng đợi — kéo	Xuất bản/đăng ký — đẩy
  Lưu thông điệp	Có, tới 14 ngày	Không
  Người nhận	Thường một	Nhiều

• C. AWS Elastic Beanstalk — nền tảng triển khai ứng dụng.

• A. AWS Organizations — quản lý nhiều tài khoản AWS.

Đáp án

D và E — quản trị máy chủ, và điện cùng làm mát

Vì sao đúng

Tổng chi phí sở hữu (TCO) phải gồm mọi khoản chi cho việc vận hành hạ tầng CNTT, không chỉ giá mua phần cứng. Hai khoản trong đáp án là hai khoản lớn nhất mà người ta hay quên khi so sánh:

• E. Điện và làm mát — máy chủ tiêu thụ điện, và hệ thống làm mát tiêu thụ thêm gần bằng như vậy. Trên AWS thì khoản này đã nằm trong giá dịch vụ.
• D. Quản trị máy chủ — lương của đội vận hành lo việc cài đặt, vá lỗi, giám sát và thay thế phần cứng. Trên AWS, phần lớn công việc này chuyển sang cho AWS.

Các khoản khác thuộc TCO: phần cứng máy chủ và thiết bị mạng, mặt bằng trung tâm dữ liệu, bản quyền phần mềm, và chi phí sao lưu cùng khôi phục thảm hoạ.

Vì sao các phương án khác sai

• C. Thiết bị điện tử ở văn phòng — máy tính cá nhân của nhân viên không thuộc hạ tầng CNTT được di trú.
• A. Quảng cáo ứng dụng — chi phí tiếp thị, không liên quan tới hạ tầng.
• B. Số lượng người dùng cuối — là một con số, không phải một khoản chi phí. (Nó có thể ảnh hưởng tới quy mô hệ thống, nhưng bản thân không phải hạng mục TCO.)