Ngân hàng đề — AWS Certified Cloud Practitioner

Đáp án

D — AWS CodeArtifact

Vì sao đúng

CodeArtifact là kho lưu trữ gói (artifact repository) được quản lý, tích hợp với các trình quản lý gói phổ biến — Maven, Gradle, npm, yarn, pip, twine, NuGet — đúng như đề mô tả.

Hai công dụng chính:

• Kho gói riêng — nơi lưu các thư viện nội bộ của công ty, không đưa lên kho công cộng.
• Kho trung gian (upstream) — nó lấy và lưu lại gói từ kho công cộng (npmjs, Maven Central, PyPI). Nhờ vậy bản dựng của bạn không phụ thuộc vào việc kho công cộng có sống hay không, và một gói bị gỡ khỏi kho gốc cũng không làm hỏng bản dựng.

Vế thứ hai là giá trị lớn nhất trong thực tế, và nó cũng cải thiện bảo mật chuỗi cung ứng.

Vì sao các phương án khác sai

• B. AWS CodeCommit — lưu mã nguồn (Git), không lưu gói đã đóng gói. Đây là phương án nhiễu chính; cặp này đáng nhớ: CodeCommit lưu mã, CodeArtifact lưu gói.
• C. AWS CodeBuild — biên dịch và kiểm thử; nó là bên tiêu thụ gói từ CodeArtifact.
• A. AWS CodeStar — công cụ quản lý dự án phát triển, gom các dịch vụ Code* lại.

Đáp án

A — AWS Direct Connect

Vì sao đúng

Đề dùng đúng hai chữ "riêng tư (private)" và "chuyên dụng (dedicated)", và đó là định nghĩa của Direct Connect: kết nối vật lý riêng từ trung tâm dữ liệu của bạn tới AWS qua một cơ sở Direct Connect.

Lưu lượng đi trên sợi cáp riêng, hoàn toàn không chạm tới Internet công cộng. Băng thông là cam kết chứ không phải "tối đa có thể", từ 50 Mbps tới 100 Gbps.

Lợi ích thứ ba đáng nhắc: phí truyền dữ liệu ra thấp hơn đáng kể so với đi qua Internet — với khối lượng lớn, khoản này thường tự bù cho chi phí đường truyền.

Vì sao các phương án khác sai

• C. AWS Site-to-Site VPN — được mã hoá, nhưng chạy qua Internet công cộng nên không phải kết nối "riêng tư, chuyên dụng"; băng thông và độ trễ cũng không đoán trước được. Đây là phương án nhiễu chính.
• B. Amazon CloudFront — mạng phân phối nội dung cho người dùng cuối.
• D. Amazon API Gateway — dịch vụ để bạn xây API cho ứng dụng của mình.

Lưu ý

Direct Connect không mã hoá dữ liệu. Cần cả riêng tư lẫn mã hoá thì chồng VPN IPsec lên trên Direct Connect — kiến trúc chuẩn cho dữ liệu nhạy cảm.

Đáp án

B — AWS Architecture Center

Vì sao đúng

AWS Architecture Center là kho thiết kế tham chiếu và sơ đồ kiến trúc do AWS biên soạn, tổ chức theo trường hợp sử dụng và theo ngành nghề.

Mỗi mục thường gồm: sơ đồ kiến trúc, giải thích từng thành phần, thực hành tốt cần lưu ý, và nhiều khi kèm mẫu triển khai hoặc mã nguồn.

Nó cũng chứa AWS Solutions Library — các giải pháp trọn gói triển khai được ngay, và các bài viết kỹ thuật (whitepaper) đi kèm.

Đây là nơi nên tra trước khi tự thiết kế từ đầu: rất nhiều bài toán phổ biến đã có kiến trúc mẫu được kiểm chứng.

Vì sao các phương án khác sai

• D. AWS Marketplace — cửa hàng mua phần mềm của bên thứ ba; nó bán sản phẩm, không cung cấp mẫu thiết kế.
• C. AWS Trusted Advisor — đánh giá môi trường hiện có của bạn và đưa khuyến nghị; nó không cho ví dụ thiết kế.
• A. APN Consulting Partner — đối tác tư vấn; họ thiết kế cho bạn nhưng đó là dịch vụ có phí, không phải nguồn tài liệu tự tra cứu.

Đáp án

A — AWS Resource Groups

Vì sao đúng

Resource Groups cho phép gom nhiều tài nguyên thành một nhóm rồi thao tác trên cả nhóm cùng lúc — đúng mô tả trong đề.

Bạn định nghĩa nhóm theo hai cách: dựa trên thẻ (mọi tài nguyên có Project=Alpha), hoặc dựa trên stack CloudFormation.

Sau đó nhóm dùng được cho hàng loạt việc: chạy lệnh Systems Manager trên toàn nhóm, vá lỗi theo nhóm, xem chỉ số CloudWatch tổng hợp, và áp chính sách vận hành chung.

Vì sao các phương án khác sai

• D. Tags — thẻ là nhãn gắn lên tài nguyên; chúng là nguyên liệu để tạo Resource Group, nhưng bản thân không cho bạn thao tác hàng loạt. Đây là phương án nhiễu chính, và quan hệ là:

  Tags  →  (dùng để định nghĩa)  →  Resource Groups  →  (cho phép) → thao tác hàng loạt
  

• C. AWS Organizations — quản lý nhiều tài khoản AWS, không phải nhóm tài nguyên bên trong một tài khoản.

• B. Amazon WorkSpaces — dịch vụ máy tính để bàn ảo, hoàn toàn không liên quan.

Đáp án

A — Liên hệ AWS Abuse Team

Vì sao đúng

AWS có kênh riêng cho việc báo cáo hành vi lạm dụng phát xuất từ tài nguyên AWS: đội Trust & Safety, liên hệ qua abuse@amazonaws.com hoặc biểu mẫu báo cáo lạm dụng.

Quét cổng trái phép nằm trong danh sách hành vi bị cấm của AWS Acceptable Use Policy, cùng với tấn công từ chối dịch vụ, phát tán thư rác, và lưu trữ mã độc.

Khi báo cáo cần kèm ba thứ: địa chỉ IP nguồn, dấu thời gian có ghi rõ múi giờ, và nhật ký làm bằng chứng. Thiếu múi giờ là lỗi rất hay gặp và khiến việc điều tra khó hơn nhiều.

Vì sao các phương án khác sai

• B. Liên hệ AWS Support — kênh hỗ trợ kỹ thuật cho tài nguyên của chính bạn; nó không xử lý báo cáo lạm dụng, và với gói Basic thì bạn còn không mở được ticket kỹ thuật. Đây là phương án nhiễu chính.
• D. Dùng AWS Trusted Advisor để gửi khiếu nại — Trusted Advisor là công cụ khuyến nghị, không phải kênh liên hệ.
• C. Liên hệ CTO của Amazon — không phải quy trình của bất kỳ tổ chức nào.

Đáp án

B và D

Vì sao đúng

• B. API Gateway gọi được hàm Lambda để tạo "cửa trước" cho ứng dụng serverless — đúng, và đây là mẫu kiến trúc serverless phổ biến nhất trên AWS:

  Client  →  API Gateway  →  AWS Lambda  →  DynamoDB
  

• D. API Gateway cấu hình được để gửi dữ liệu thẳng tới Kinesis Data Stream — đúng: qua tích hợp dịch vụ AWS trực tiếp, API Gateway gọi thẳng nhiều dịch vụ (Kinesis, DynamoDB, SQS, Step Functions) mà không cần Lambda ở giữa. Điều này giảm độ trễ và chi phí.

Vì sao các phương án khác sai

• C. API Gateway chưa hỗ trợ cache kết quả API — sai; nó có cache, cấu hình được dung lượng (từ 0,5 GB tới 237 GB) và thời gian sống.
• E. Phản hồi được phục vụ từ cache thì không tính là một lời gọi API cho mục đích tính tiền — sai; mọi yêu cầu đều được tính, kể cả khi trả từ cache. (Ngoài ra bản thân cache còn tính phí theo giờ.) Đây là phương án nhiễu tinh vi nhất vì nó nghe rất hợp lý về mặt kinh tế.
• A. API Gateway tạo REST API, Storage Gateway tạo WebSocket API — sai hoàn toàn: API Gateway tạo cả ba loại (REST, HTTP, WebSocket), còn Storage Gateway là dịch vụ lưu trữ lai, không liên quan gì tới API.

Đáp án

C — Amazon CloudFront, Application Load Balancer, Amazon API Gateway, AWS AppSync

Vì sao đúng

Đây là danh sách đầy đủ và chính xác các dịch vụ mà web ACL của WAF gắn được vào:

(Danh sách còn có Amazon Cognito user pool, App Runner và Verified Access, nhưng câu hỏi này chỉ so sánh bốn cái trên.)

Điểm chung: tất cả đều là dịch vụ tầng 7 xử lý yêu cầu HTTP, và đó là điều kiện để WAF hoạt động.

Vì sao các phương án khác sai

Ba phương án còn lại đều chứa Amazon EC2, và đó là chỗ sai: WAF không gắn trực tiếp vào EC2 instance. Muốn bảo vệ ứng dụng chạy trên EC2 thì phải đặt ALB hoặc CloudFront ở phía trước rồi gắn WAF vào đó.

Lý do kỹ thuật: EC2 là máy chủ ảo ở tầng hạ tầng, không phải điểm cuối HTTP do AWS quản lý — nên không có chỗ để chèn lớp lọc vào.

Đáp án

B — AWS cost allocation tags (thẻ phân bổ chi phí)

Vì sao đúng

Thẻ phân bổ chi phí là cơ chế để quy chi phí về từng phòng ban, dự án hoặc môi trường. Bạn gắn thẻ như Department=Marketing hoặc Project=Alpha lên tài nguyên, và AWS tách chi phí theo đó.

Có hai loại thẻ:

• Thẻ do AWS sinh ra — ví dụ aws:createdBy.
• Thẻ do người dùng định nghĩa — do bạn tự đặt.

Một bước rất hay bị quên: cả hai loại đều phải được kích hoạt trong Billing preferences mới xuất hiện trong Cost Explorer và báo cáo phân bổ chi phí. Và việc kích hoạt không có hiệu lực hồi tố — chi phí phát sinh trước đó vẫn không phân bổ theo thẻ được.

Vì sao các phương án khác sai

• D. AWS Cost and Usage Report — cho dữ liệu thô chi tiết nhất, và nó có cột thẻ — nhưng thẻ vẫn phải được tạo và kích hoạt trước. CUR là nơi xem kết quả, thẻ là cơ chế phân loại. Đây là phương án nhiễu chính.
• A. AWS Budgets — đặt ngưỡng và cảnh báo; nó lọc được theo thẻ nhưng không tạo ra sự phân chia.
• C. AWS Marketplace — cửa hàng mua phần mềm.

Đáp án

D và E — trả lời trực tiếp các câu hỏi về tài khoản và thanh toán, và kiểm tra tình trạng dịch vụ

Vì sao đúng

Gói Basic miễn phí cho mọi khách hàng AWS, và nó bao gồm:

• D. Hỗ trợ một-một cho câu hỏi về tài khoản và thanh toán — đây là điểm quan trọng: không có hỗ trợ kỹ thuật, nhưng vấn đề về hoá đơn và tài khoản thì vẫn được trả lời.
• E. Kiểm tra tình trạng dịch vụ — qua AWS Health Dashboard, cả bản công khai lẫn bản theo tài khoản.

Ngoài ra gói Basic còn có: tài liệu, whitepaper, diễn đàn hỗ trợ, và các kiểm tra cốt lõi của Trusted Advisor.

Vì sao các phương án khác sai

Ba phương án còn lại đều đòi gói trả phí:

• A. Hướng dẫn theo trường hợp sử dụng — từ gói Developer trở lên.
• C. Công cụ chẩn đoán phía client — từ gói Developer trở lên.
• B. Infrastructure Event Management — chỉ có ở Enterprise On-Ramp và Enterprise; đây là dịch vụ hỗ trợ cho các sự kiện lớn theo kế hoạch (ra mắt sản phẩm, di trú), có kiến trúc sư của AWS đồng hành. Đây là phương án nhiễu "cao cấp nhất".

Đáp án

B và D — AWS Elastic Beanstalk và AWS Auto Scaling

Vì sao đúng

Cả hai đều là dịch vụ miễn phí; bạn chỉ trả tiền cho tài nguyên bên dưới mà chúng tạo ra:

• B. Elastic Beanstalk — bản thân nền tảng không tính phí; bạn trả cho EC2, ELB và EBS mà nó cấp phát.
• D. Auto Scaling — dịch vụ miễn phí; bạn trả cho các instance nó khởi chạy.

Điểm chung: chúng là lớp điều khiển, không phải tài nguyên tiêu thụ.

Vì sao các phương án khác sai

• A. EC2 Spot Instances — rẻ nhất (giảm tới 90%) nhưng vẫn tính tiền. Đây là phương án nhiễu chính vì "rẻ" dễ bị đọc thành "miễn phí".
• C. CloudWatch detailed monitoring cho EC2 — có phí; chỉ basic monitoring (5 phút một lần) là miễn phí, còn detailed monitoring (1 phút một lần) tính tiền theo instance.
• E. Elastic IP tính phí khi đang gắn vào instance — sai chiều: Elastic IP miễn phí khi đang được gắn và sử dụng, và tính phí khi không gắn vào đâu. Cơ chế này có chủ đích: AWS muốn bạn trả lại địa chỉ IPv4 không dùng.

Vài dịch vụ luôn miễn phí khác

IAM, VPC, CloudFormation, Elastic Beanstalk, Auto Scaling, OpsWorks, Consolidated Billing.