Ngân hàng đề — AWS Certified Cloud Practitioner

Đáp án

A — Amazon Macie

Vì sao đúng

Macie là dịch vụ được quản lý hoàn toàn, dùng học máy và so khớp mẫu để phát hiện và bảo vệ dữ liệu nhạy cảm ở quy mô lớn trong Amazon S3 — đúng mô tả trong đề.

Nó nhận ra sẵn hàng chục loại dữ liệu nhạy cảm: thông tin định danh cá nhân (tên, địa chỉ, email), số bảo hiểm xã hội, số thẻ tín dụng, khoá truy cập AWS, và thông tin sức khoẻ được bảo vệ.

Chữ "ở quy mô lớn" là chỗ Macie có giá trị nhất: một startup đang lớn nhanh không thể rà tay hàng triệu đối tượng. Macie lấy mẫu thông minh thay vì quét toàn bộ, nên chi phí giữ ở mức hợp lý.

Ngoài quét nội dung, nó còn liên tục đánh giá tư thế bảo mật của bucket: cái nào đang công khai, chưa mã hoá, hay chia sẻ ra ngoài tổ chức.

Vì sao các phương án khác sai

• D. AWS KMS — quản lý khoá mã hoá; nó bảo vệ dữ liệu nhưng không tìm ra dữ liệu nào là nhạy cảm.
• C. AWS Secrets Manager — lưu và xoay vòng bí mật.
• B. AWS Artifact — kho tải tài liệu tuân thủ của AWS.

Đáp án

A — Platform as a Service (PaaS)

Vì sao đúng

Đề mô tả đúng PaaS: loại bỏ nhu cầu quản lý hạ tầng bên dưới và cho phép tập trung vào triển khai và quản lý ứng dụng.

Chữ khoá phân biệt nằm ở "triển khai và quản lý ứng dụng": bạn vẫn có ứng dụng của mình để lo — điều đó loại SaaS, nơi bạn chỉ dùng phần mềm của người khác.

Vì sao các phương án khác sai

• D. IaaS — bạn vẫn phải quản lý hệ điều hành, tức là vẫn còn hạ tầng để lo. Đây là phương án nhiễu chính.
• C. SaaS — không có ứng dụng nào của bạn để triển khai; bạn chỉ là người dùng cuối.
• B. On-premises — tự vận hành mọi thứ, ngược hẳn mong muốn của startup.

Đáp án

C — Vertical scaling (mở rộng theo chiều dọc)

Vì sao đúng

Thêm CPU hoặc RAM cho chính một máy đang có là định nghĩa của mở rộng theo chiều dọc — thường gọi là scale up.

Với EC2, đổi loại instance đòi dừng máy, đổi loại, khởi động lại — nên có thời gian ngừng dịch vụ. Đây là lý do AWS khuyến nghị scale out cho ứng dụng cần sẵn sàng cao.

Vì sao các phương án khác sai

• B. Horizontal scaling — là thêm instance vào nhóm, không phải làm một máy mạnh hơn. Đây là phương án nhiễu chính.
• A. Loose coupling — nguyên tắc thiết kế về việc các thành phần không phụ thuộc chặt vào nhau.
• D. Quản lý khối lượng dữ liệu ngày càng tăng — bài toán về lưu trữ, không phải về tính toán.

Đáp án

D — Cấu hình tường lửa và mạng cho Amazon EC2

Vì sao đúng

Cấu hình security group, network ACL, bảng định tuyến và subnet cho EC2 là việc của khách hàng — thuộc phần "bảo mật TRONG đám mây".

AWS cung cấp các công cụ đó, nhưng quyết định mở cổng nào cho ai là của bạn. Mở cổng 22 ra 0.0.0.0/0 là lỗi của bạn, không phải của AWS.

Vì sao các phương án khác sai

Ba phương án còn lại đều thuộc AWS:

• B. Bảo vệ hạ tầng phần cứng — máy chủ vật lý, thiết bị mạng, hệ thống điện.
• A. Bảo mật edge location — an ninh vật lý của các điểm biên.
• C. Quản lý Amazon DynamoDB — DynamoDB là dịch vụ được quản lý hoàn toàn; AWS lo hạ tầng, vá lỗi, nhân bản và co giãn. Đây là phương án nhiễu tinh vi nhất, và cần nói cho chính xác: vận hành dịch vụ là của AWS, nhưng dữ liệu trong bảng, chính sách IAM và quyết định mã hoá vẫn là của bạn.

Ba thứ luôn thuộc về khách hàng

Dữ liệu, quản lý truy cập (IAM), và quyết định mã hoá — ở mọi dịch vụ, không có ngoại lệ.

Đáp án

D — Amazon Personalize

Vì sao đúng

Personalize là dịch vụ gợi ý được quản lý, xây trên chính công nghệ mà Amazon.com dùng cho phần "sản phẩm bạn có thể thích".

Bạn đưa vào ba loại dữ liệu — tương tác (xem, đánh giá, xem hết bao nhiêu phần trăm), thông tin món (thể loại, năm, diễn viên), thông tin người dùng — và nó tạo ra gợi ý cá nhân hoá theo thời gian thực.

Hai điểm đáng nhớ: nó không đòi bạn biết học máy, và nó xử lý được vấn đề khởi đầu lạnh cho người dùng hoặc nội dung mới chưa có lịch sử.

Vì sao các phương án khác sai

• B. "Amazon Customize" — không tồn tại; đây là tên bịa nghe rất giống tên thật, và là bẫy chính của câu này.
• C. Amazon SageMaker — nền tảng để tự xây mô hình gợi ý; làm được nhưng tốn công lớn hơn nhiều so với dùng dịch vụ đã có sẵn năng lực này.
• A. Amazon Comprehend — phân tích văn bản (thực thể, cảm xúc, chủ đề).

Đáp án

B — "EBS volume có thể gắn với nhiều Availability Zone" — đây là khẳng định SAI

Vì sao đây là câu sai

EBS volume luôn nằm trong đúng một Availability Zone, và không có cách nào thay đổi điều đó.

Hệ quả thực tế: volume ở us-east-1a không gắn được vào instance ở us-east-1b. Muốn chuyển sang AZ khác thì phải tạo snapshot (snapshot lưu trên S3, mang tính Region) rồi khôi phục thành volume mới ở AZ đích.

Vì sao các phương án khác đều đúng

• A. EBS volume gắn với một Availability Zone cụ thể — đúng, và là đối lập trực tiếp của B.
• C. EBS volume gắn được vào một instance tại một thời điểm — đúng theo mặc định. (Tính năng Multi-Attach cho phép gắn volume io1/io2 vào tối đa 16 instance, nhưng chúng vẫn phải cùng một AZ, nên không mâu thuẫn với B.)
• D. EBS volume giữ được dữ liệu sau khi instance kết thúc — đúng: volume tồn tại độc lập với vòng đời instance. Riêng volume gốc thì mặc định có cờ DeleteOnTermination bật, nhưng tắt được.

So sánh nhanh

Đáp án

C — Amazon ElastiCache

Vì sao đúng

Đề mô tả workload nặng về đọc và muốn giảm tải cho cơ sở dữ liệu. ElastiCache giải đúng bài toán đó bằng cách đặt một lớp cache trong bộ nhớ phía trước:

Ứng dụng  →  ElastiCache  →  (nếu không có trong cache)  →  Cơ sở dữ liệu
              ↑ trả về ngay ở micro giây

Với ứng dụng đọc nhiều, phần lớn truy vấn được phục vụ thẳng từ cache — cơ sở dữ liệu chỉ nhận những gì thật sự mới. Độ trễ giảm từ mili giây xuống micro giây, và tải trên cơ sở dữ liệu giảm mạnh.

ElastiCache hỗ trợ hai công cụ: Redis (cấu trúc dữ liệu phong phú, lưu bền, nhân bản) và Memcached (đơn giản, chỉ khoá–giá trị).

Vì sao các phương án khác sai

• A. Amazon RDS — chính là cơ sở dữ liệu đang bị quá tải; nó có read replica để chia tải đọc, nhưng đề hỏi cách giảm tải cho cơ sở dữ liệu, và cache là biện pháp trực tiếp hơn.
• D. Amazon EMR — cụm xử lý dữ liệu lớn cho phân tích theo lô.
• B. AWS Glue — dịch vụ ETL không máy chủ.

Đáp án

C — Convertible Reserved Instance

Vì sao đúng

Chi tiết quyết định trong đề: công ty dự định tăng workload trong ba năm tới. Nghĩa là nhu cầu sẽ thay đổi, và cần một cam kết linh hoạt.

Convertible RI cho phép đổi sang loại instance khác trong suốt thời hạn — đổi họ instance, hệ điều hành, kiểu thuê, thậm chí kích cỡ — miễn là giá trị RI mới bằng hoặc lớn hơn RI cũ.

Đánh đổi rất rõ: Convertible giảm giá ít hơn khoảng 6 điểm phần trăm, đổi lấy sự linh hoạt.

Vì sao các phương án khác sai

• B. Standard RI — giảm giá cao nhất, nhưng khoá bạn vào một họ instance trong ba năm. Với kế hoạch tăng workload thì đó là rủi ro. Đây là phương án nhiễu chính.
• A. "Adaptable reserved instance" — không tồn tại.
• D. "Scheduled reserved instance" — từng tồn tại (đặt trước theo khung giờ cố định) nhưng AWS đã ngừng cung cấp.

Đáp án

D — AWS Business Support

Vì sao đúng

Chữ khoá của đề là "tiết kiệm nhất" trong số các gói có hỗ trợ kỹ thuật nâng cao từ Cloud Support Engineer.

Business là gói rẻ nhất có hỗ trợ 24/7 với số ticket và số người liên hệ không giới hạn. Nó cũng là mốc đầu tiên có toàn bộ kiểm tra Trusted Advisor và hỗ trợ phần mềm bên thứ ba.

Vì sao các phương án khác sai

• A. Developer Support — rẻ hơn nhưng chỉ hỗ trợ qua email trong giờ làm việc, và giới hạn một người liên hệ. Đây là phương án nhiễu chính.
• B. Enterprise Support — đáp ứng được nhưng đắt hơn nhiều; vi phạm tiêu chí tiết kiệm.
• C. Basic Support — miễn phí nhưng không có hỗ trợ kỹ thuật nào.

Đáp án

C — AWS Config

Vì sao đúng

AWS Config theo dõi thay đổi cấu hình của tài nguyên và phát sự kiện mỗi khi có thay đổi. Ghép với Amazon EventBridge và SNS là bạn có cảnh báo tức thì:

Tài nguyên bị sửa
   ▼  AWS Config ghi nhận và phát sự kiện
Amazon EventBridge
   ▼
Amazon SNS  →  email tới đội bảo mật

Config cũng có Config Rules để đánh giá tự động theo luật bạn khai (ví dụ "mọi bucket phải bật mã hoá"), và cảnh báo khi tài nguyên rơi vào trạng thái không tuân thủ — hữu ích hơn nữa cho nhu cầu bảo mật và tuân thủ mà đề nêu.

Vì sao các phương án khác sai

• A. AWS Trusted Advisor — đưa khuyến nghị theo thực hành tốt theo chu kỳ, không phải cơ chế cảnh báo theo sự kiện. Đây là phương án nhiễu chính.
• D. Amazon Inspector — quét lỗ hổng bảo mật của workload, không theo dõi thay đổi cấu hình.
• B. AWS Secrets Manager — lưu và xoay vòng bí mật.