Ngân hàng đề — AWS Certified Cloud Practitioner

Đáp án

A — AWS Config

Vì sao đúng

AWS Config ghi lại lịch sử cấu hình của từng tài nguyên theo thời gian, nên nó trả lời được đúng câu hỏi trong đề: tài nguyên đã thay đổi thế nào trong hai tuần qua.

Với mỗi thay đổi, Config lưu một configuration item — ảnh chụp trạng thái tài nguyên tại thời điểm đó, kèm quan hệ với các tài nguyên khác. Bạn xem được dòng thời gian (timeline) của từng tài nguyên và so sánh trạng thái giữa hai mốc.

Vì sao các phương án khác sai

• B. AWS CloudTrail — ghi lại ai đã gọi API nào. Nó trả lời "ai gây ra thay đổi", còn Config trả lời "tài nguyên trước và sau ra sao". Đây là phương án nhiễu chính, và hai dịch vụ bổ sung nhau:

  Câu hỏi	Dịch vụ
  Tài nguyên đã thay đổi thế nào?	AWS Config
  Ai đã thay đổi nó?	CloudTrail

• C. Amazon CloudWatch — giám sát chỉ số hiệu năng và log, không theo dõi cấu hình.

• D. Amazon Inspector — quét lỗ hổng bảo mật.

Đáp án

C — AWS CodeCommit

Vì sao đúng

CodeCommit là dịch vụ lưu trữ mã nguồn được quản lý, dựa trên Git — nên nó có đầy đủ tính năng quản lý phiên bản: nhánh, commit, merge, pull request, lịch sử thay đổi.

Chữ "riêng tư (privately)" trong đề khớp với đặc điểm của nó: kho mã nằm trong tài khoản AWS của bạn, phân quyền bằng IAM, mã hoá khi lưu và khi truyền.

Nó dùng được với mọi công cụ Git quen thuộc — dòng lệnh git, IDE, GUI — vì nó là Git chuẩn.

Vì sao các phương án khác sai

Ba phương án còn lại là các mắt xích khác của chuỗi CI/CD:

• D. AWS CodeBuild — biên dịch và chạy kiểm thử, tạo ra artefact.
• A. AWS CodePipeline — điều phối toàn bộ chuỗi từ lấy mã tới triển khai.
• B. AWS CodeStar — công cụ quản lý dự án, gom các dịch vụ Code* lại một giao diện.

Chuỗi CI/CD của AWS

CodeCommit  →  CodeBuild  →  CodeDeploy
(lưu mã)      (dựng, test)   (triển khai)
      └──────── CodePipeline điều phối ────────┘

Đáp án

C — Amazon Neptune

Vì sao đúng

Chữ khoá của đề là "đồ thị tri thức (knowledge graph)", và Neptune là cơ sở dữ liệu đồ thị được quản lý của AWS.

Cơ sở dữ liệu đồ thị lưu thực thể (node) và quan hệ giữa chúng (edge) như những đối tượng ngang hàng. Nhờ vậy truy vấn kiểu "tìm mọi khoá học liên quan tới chủ đề này qua tối đa ba bước quan hệ" chạy rất nhanh — trong khi với cơ sở dữ liệu quan hệ, cùng truy vấn đó cần nhiều phép JOIN lồng nhau và chậm dần theo độ sâu.

Neptune hỗ trợ hai chuẩn truy vấn đồ thị: Gremlin (property graph) và SPARQL (RDF) — chuẩn sau đặc biệt phổ biến cho đồ thị tri thức.

Vì sao các phương án khác sai

• D. Amazon DynamoDB — NoSQL khoá–giá trị; lưu được quan hệ nhưng duyệt quan hệ nhiều bước rất kém hiệu quả. Đây là phương án nhiễu chính.
• B. Amazon DocumentDB — cơ sở dữ liệu tài liệu; tốt cho dữ liệu lồng nhau nhưng cũng không tối ưu cho truy vấn đồ thị.
• A. Amazon RDS — cơ sở dữ liệu quan hệ.

Đáp án

A — Amazon Virtual Private Cloud (VPC)

Vì sao đúng

VPC là mạng ảo được cách ly về mặt luận lý trong AWS, nơi bạn khởi chạy tài nguyên của mình.

Bạn kiểm soát trọn vẹn môi trường mạng: chọn dải địa chỉ IP, tạo subnet ở các Availability Zone, cấu hình bảng định tuyến, và đặt các lớp lọc (security group, network ACL).

Chữ "cách ly luận lý" quan trọng: hạ tầng vật lý dùng chung với khách hàng khác, nhưng mạng của bạn hoàn toàn tách biệt — không ai nhìn thấy lưu lượng của bạn.

Vì sao các phương án khác sai

• D. AWS PrivateLink — công nghệ tạo kết nối riêng tư tới một dịch vụ (qua interface endpoint); nó hoạt động bên trong VPC chứ không tạo ra mạng. Đây là phương án nhiễu chính.
• B. Amazon Route 53 — dịch vụ DNS.
• C. AWS Firewall Manager — quản lý tập trung các luật tường lửa (WAF, Shield, security group) trên nhiều tài khoản; nó quản lý chính sách chứ không cấp phát mạng.

Đáp án

B — Amazon Elastic File System (EFS)

Vì sao đúng

Chi tiết quyết định trong đề: hệ thống hiện tại là NFS và được nhiều ứng dụng truy cập song song.

EFS chính là NFS: nó cung cấp hệ thống tệp dùng giao thức NFSv4, mount được từ nhiều EC2 instance cùng lúc, trên nhiều Availability Zone.

Nghĩa là việc di trú gần như không phải sửa gì trong ứng dụng — chỉ đổi điểm mount. Đường dẫn tệp, quyền POSIX, khoá tệp đều giữ nguyên.

EFS cũng tự co giãn dung lượng, nên không phải khai trước bao nhiêu GB.

Vì sao các phương án khác sai

• C. Amazon S3 — lưu trữ đối tượng truy cập qua API HTTP; nó không mount được như hệ thống tệp, nên ứng dụng phải viết lại phần đọc ghi. Đây là phương án nhiễu chính.
• D. Amazon EBS — gắn được vào một instance và chỉ trong cùng một AZ; không phục vụ được nhiều ứng dụng song song.
• A. AWS Storage Gateway — cầu nối cho ứng dụng vẫn ở tại chỗ truy cập lưu trữ đám mây; đề nói rõ ứng dụng cũng chuyển lên EC2, nên không cần lớp cầu nối này.

Đáp án

A — Software as a Service (SaaS)

Vì sao đúng

Đề mô tả đúng SaaS: sản phẩm hoàn chỉnh do nhà cung cấp vận hành và quản lý, còn bạn chỉ dùng mà không lo bảo trì hay quản lý gì.

Cách nhận ra SaaS: hỏi "có gì để tôi cài đặt, cấu hình hay lập trình không?" Nếu chỉ đăng nhập và dùng, đó là SaaS.

Vì sao các phương án khác sai

• C. PaaS — nền tảng để bạn triển khai ứng dụng của mình; đề nói sản phẩm đã hoàn chỉnh, bạn không có ứng dụng nào để triển khai. Đây là phương án nhiễu chính.
• D. IaaS — cung cấp tài nguyên hạ tầng thô; bạn vẫn phải quản lý hệ điều hành.
• B. "Product as a Service (PaaS)" — không tồn tại; đây là tên bịa, và nó còn dùng nhầm ký hiệu viết tắt của Platform as a Service.

Đáp án

C — AWS CloudTrail Insights

Vì sao đúng

CloudTrail Insights tự học mẫu hình lời gọi API bình thường của tài khoản bạn, rồi cảnh báo khi có hoạt động bất thường — đúng vấn đề trong đề.

Cụ thể ở đây: nhân viên gọi API cấp phát tài nguyên nhiều hơn hẳn mức thường thấy. Insights nhận ra độ lệch đó và ghi một sự kiện Insights, kèm biểu đồ so sánh mức bình thường với mức đột biến.

Điểm mạnh: bạn không phải khai ngưỡng nào. Insights tự dựng đường cơ sở từ lịch sử — điều rất hợp với đề, vì "số lượng tài nguyên chuẩn" khác nhau theo từng giai đoạn kiểm thử.

Sự kiện Insights phát qua EventBridge, nên ghép với SNS là có cảnh báo tức thì.

Vì sao các phương án khác sai

• D. AWS Config — theo dõi thay đổi cấu hình và đánh giá theo luật bạn khai; nó cảnh báo khi tài nguyên không tuân thủ, nhưng bạn phải tự khai luật và ngưỡng. Đây là phương án nhiễu chính; nó dùng được nhưng tốn công hơn.
• A. Amazon Detective — điều tra sâu sau khi đã có phát hiện bảo mật.
• B. AWS X-Ray — theo dấu yêu cầu để gỡ lỗi hiệu năng ứng dụng.

Đáp án

D — Compute Savings Plans và EC2 Instance Savings Plans

Vì sao đúng

AWS có hai loại Savings Plans, khác nhau ở mức linh hoạt và mức giảm giá:

Cả hai đều là cam kết một mức chi tiêu mỗi giờ trong 1 hoặc 3 năm — khác với Reserved Instance vốn cam kết một cấu hình instance cụ thể.

Compute Savings Plans linh hoạt hơn hẳn RI: bạn đổi từ EC2 sang Fargate mà mức giảm vẫn áp.

(Có một loại thứ ba là SageMaker Savings Plans, nhưng nó chuyên biệt cho SageMaker và thường không tính vào hai loại chính.)

Vì sao các phương án khác sai

• A, B — đều bịa ra "Storage Savings Plans" và "Instance Savings Plans"; không tồn tại Savings Plan cho lưu trữ.
• C. "Reserved Instances Savings Plans" — trộn lẫn hai cơ chế khác nhau; RI và Savings Plans là hai mô hình riêng biệt.

Đáp án

A và D

Vì sao đúng

• A. Toàn bộ lưu lượng giữa các Availability Zone đều được mã hoá — đúng: AWS mã hoá mọi lưu lượng đi qua mạng xương sống giữa các AZ, Region và Edge Location ở tầng vật lý. Bạn không phải làm gì.
• D. Mỗi Region gồm nhiều Availability Zone tách biệt và cách ly về mặt vật lý, trong một khu vực địa lý — đúng, và đây là định nghĩa chuẩn của quan hệ Region–AZ.

Vì sao các phương án khác sai

Hai phương án đầu hoán đổi định nghĩa giữa Region và AZ — đây là bẫy chính của câu này:

• B. AWS gọi mỗi nhóm trung tâm dữ liệu luận lý là một AWS Region — sai: theo định nghĩa của AWS, mỗi nhóm trung tâm dữ liệu luận lý là một Availability Zone.
• *C. Availability Zone là vị trí vật lý nơi AWS gom cụm các trung tâm dữ liệu — sai: đó là định nghĩa của Region ("A Region is a physical location around the world where we cluster data centers").
• E. Lưu lượng giữa các AZ không được mã hoá mặc định, phải cấu hình trong Console — sai, và mâu thuẫn với A.

Định nghĩa đúng

Region  = vị trí vật lý trên thế giới nơi AWS gom cụm trung tâm dữ liệu
  └── Availability Zone = một nhóm trung tâm dữ liệu luận lý (≥ 3 mỗi Region)
        └── Data center = 1 hoặc nhiều mỗi AZ

Đáp án

D — Viết và duy trì mã của hàm cùng các thư viện phụ thuộc

Vì sao đúng

Lambda là dịch vụ trừu tượng, nên AWS gánh gần như toàn bộ hạ tầng. Trách nhiệm của khách hàng thu hẹp về chính mã và cấu hình của bạn:

Dòng "thư viện phụ thuộc" đáng nhớ: AWS vá runtime, nhưng thư viện bạn đóng gói cùng hàm thì bạn phải tự cập nhật — một thư viện có lỗ hổng nằm trong gói triển khai là vấn đề của bạn.

Vì sao các phương án khác sai

• A. Cập nhật hệ điều hành và môi trường chạy — thuộc AWS. (Bạn có trách nhiệm chọn phiên bản runtime được hỗ trợ, nhưng việc vá thì AWS làm.) Đây là phương án nhiễu chính.
• B. Quản lý máy chủ vật lý — thuộc AWS, và đó là toàn bộ ý nghĩa của serverless.
• C. Cấu hình hạ tầng mạng cho dịch vụ Lambda — thuộc AWS.