Ngân hàng đề — AWS Certified Cloud Practitioner

Đáp án

D — AWS Enterprise Support

Vì sao đúng

Technical Account Manager (TAM) chỉ định riêng là đặc quyền của gói Enterprise Support — gói cao nhất.

TAM là một người thật, gắn với tài khoản của bạn lâu dài: họ hiểu kiến trúc và mục tiêu kinh doanh của bạn, rà soát định kỳ, tư vấn chủ động, và làm đầu mối khi có sự cố nghiêm trọng.

Enterprise cũng là gói duy nhất có thời gian phản hồi 15 phút cho sự cố nghiêm trọng ảnh hưởng hệ thống sản xuất.

Vì sao các phương án khác sai

• B. Enterprise On-Ramp — có tiếp cận nhóm TAM dùng chung, không phải TAM riêng. Đây là phương án nhiễu chính và cũng là khác biệt chính giữa hai gói Enterprise.
• C. Business Support — không có TAM.
• A. Developer Support — chỉ hỗ trợ qua email trong giờ làm việc.

Đáp án

*C — S3 là lưu trữ đối tượng, EBS là lưu trữ khối, EFS là lưu trữ tệp

Vì sao đúng

Ba dịch vụ tương ứng với ba loại lưu trữ cơ bản, và cách nhớ nằm ngay trong tên:

Hai cái sau đã có sẵn từ khoá trong tên — Block và File — nên chỉ cần nhớ S3 là đối tượng.

Vì sao các phương án khác sai

Ba phương án còn lại đều hoán vị ba loại này:

• A — gọi S3 là tệp, EFS là đối tượng.
• B — gọi EBS là tệp, EFS là khối.
• D — gọi S3 là khối, EBS là đối tượng.

Trong mọi trường hợp, kiểm nhanh bằng chính tên dịch vụ là loại được ngay: EBS phải là block, EFS phải là file.

Đáp án

A — Compute, Storage và Outbound Data Transfer (tính toán, lưu trữ và dữ liệu truyền ra)

Vì sao đúng

AWS nêu ba yếu tố này là ba động lực chi phí cơ bản trên đám mây:

• Compute — thường là khoản lớn nhất; tính theo thời gian chạy hoặc theo lượt gọi.
• Storage — tính theo GB mỗi tháng.
• Outbound data transfer — dữ liệu đi ra khỏi AWS ra Internet.

Chữ outbound là chỗ quan trọng nhất và cũng hay bị nhớ nhầm:

AWS cố ý miễn phí chiều vào để việc đưa dữ liệu lên không có rào cản. Còn chiều ra là khoản chi phí ẩn hay gây bất ngờ nhất trong hoá đơn.

Vì sao các phương án khác sai

• D và B. Inbound Data Transfer — luôn miễn phí, nên không thể là động lực chi phí.
• B và C. Databases — cơ sở dữ liệu có tính phí, nhưng nó không phải một trong ba nhóm cơ bản: chi phí của nó quy về compute và storage.

Đáp án

A — Tape Gateway, File Gateway và Volume Gateway

Vì sao đúng

AWS Storage Gateway cho ứng dụng tại chỗ truy cập lưu trữ trên đám mây bằng giao thức quen thuộc, và ba loại gateway tương ứng với ba giao thức khác nhau:

Tape Gateway là cái thú vị nhất: nó giả lập một thư viện băng từ ảo, nên phần mềm sao lưu cũ (Veeam, NetBackup, Commvault) tưởng đang ghi ra băng thật và không phải sửa gì, trong khi dữ liệu thực sự nằm trên Glacier.

Vì sao các phương án khác sai

Ba phương án còn lại đều bịa ra loại gateway không tồn tại:

• B — "Object Gateway"; không có loại này (S3 được phục vụ qua File Gateway).
• C và D — "Block Gateway"; loại đúng tên là Volume Gateway.

Đáp án

B — AWS Organizations

Vì sao đúng

AWS Organizations là dịch vụ quản lý nhiều tài khoản AWS như một tổ chức, và thanh toán hợp nhất (consolidated billing) là tính năng nền của nó: mọi tài khoản thành viên gộp về một hoá đơn duy nhất với một phương thức thanh toán.

Ngoài việc gọn hoá đơn, nó còn mang lại hai lợi ích tài chính thật sự:

• Giá bậc thang gộp chung — mức sử dụng của tất cả tài khoản được cộng lại để tính bậc giá.
• Chia sẻ Reserved Instance và Savings Plans — cam kết mua ở một tài khoản áp được cho mức sử dụng ở tài khoản khác.

Organizations cũng là nơi áp Service Control Policy để đặt giới hạn quyền cho toàn tổ chức.

Vì sao các phương án khác sai

• C. AWS Cost Explorer — phân tích và trực quan hoá chi phí, kể cả chi phí nhiều tài khoản — nhưng nó không tạo ra cơ cấu thanh toán chung. Đây là phương án nhiễu chính.
• A. AWS Budgets — đặt ngưỡng ngân sách và cảnh báo khi vượt.
• D. AWS Secrets Manager — lưu và xoay vòng bí mật.

Đáp án

A — AWS Elastic Beanstalk

Vì sao đúng

Đề nêu hai yêu cầu tưởng như mâu thuẫn, và Elastic Beanstalk là dịch vụ duy nhất thoả cả hai:

• Chỉ tải mã lên, AWS lo triển khai tự động — Beanstalk tự cấp phát EC2, cấu hình cân bằng tải, đặt Auto Scaling và giám sát.
• Vẫn truy cập được hệ điều hành bên dưới — đây là điểm quyết định. Beanstalk không giấu hạ tầng: các EC2 instance nằm trong tài khoản của bạn, SSH vào được, tuỳ chỉnh được.

Nó hỗ trợ sẵn PHP cùng nhiều nền tảng khác (Java, .NET, Node.js, Python, Ruby, Go, Docker).

Vì sao các phương án khác sai

• D. Amazon EC2 — cho quyền truy cập hệ điều hành, nhưng không tự động hoá việc triển khai: bạn phải tự cài đặt mọi thứ. Đây là phương án nhiễu chính.
• C. AWS CloudFormation — hạ tầng dưới dạng mã; bạn phải tự mô tả toàn bộ kiến trúc, ngược với mong muốn "chỉ tải mã lên".
• B. Amazon ECS — chạy container; đòi đóng gói ứng dụng thành image, thêm một bước không cần thiết cho một ứng dụng PHP đơn giản.

Đáp án

C — AWS Config

Vì sao đúng

AWS Config ghi lại lịch sử cấu hình của từng tài nguyên theo thời gian, và đó chính là thứ đề cần: theo dõi lịch sử thay đổi của mọi tài nguyên.

Với kiến trúc phức tạp nhiều phụ thuộc, Config còn có một tính năng đặc biệt hữu ích: quan hệ giữa các tài nguyên. Nó cho biết instance này thuộc security group nào, gắn EBS volume nào, nằm trong VPC nào — nên khi cần đánh giá tác động của một thay đổi, bạn thấy được toàn bộ chuỗi liên quan.

Nó cũng có Config Rules để đánh giá tự động (ví dụ "mọi bucket phải bật mã hoá") và đánh dấu tài nguyên vi phạm.

Vì sao các phương án khác sai

• D. AWS CloudTrail — ghi lại ai đã gọi API nào. Nó trả lời "ai thay đổi", còn Config trả lời "tài nguyên đã thay đổi thế nào". Hai dịch vụ bổ sung nhau và đây là phương án nhiễu chính:

  Câu hỏi	Dịch vụ
  Ai đã làm gì?	CloudTrail
  Tài nguyên trước và sau ra sao?	AWS Config

• B. AWS CloudFormation — tạo ra tài nguyên từ mô tả; nó không theo dõi thay đổi xảy ra ngoài stack.

• A. AWS Service Catalog — quản lý danh mục sản phẩm CNTT được duyệt cho người dùng tự triển khai.

Đáp án

A, C và E — AWS Shield, AWS WAF, và Amazon CloudFront kết hợp Amazon Route 53

Vì sao đúng

Chống DDoS trên AWS là chuyện nhiều lớp, và ba lựa chọn này phủ ba tầng khác nhau:

Lớp thứ ba đáng chú ý vì nó thường bị bỏ qua: CloudFront và Route 53 là dịch vụ phân tán toàn cầu có năng lực rất lớn, nên chúng hấp thụ được lưu lượng tấn công trước khi nó tới hạ tầng của bạn — và bản thân chúng được Shield Standard bảo vệ sẵn.

Vì sao các phương án khác sai

• D. Amazon Inspector — quét lỗ hổng phần mềm của workload; là phòng ngừa, không chống DDoS.
• B. AWS Trusted Advisor — khuyến nghị theo thực hành tốt.
• F. AWS CloudHSM — module bảo mật phần cứng để quản lý khoá mã hoá.

Đáp án

*B — Amazon ECS với launch type Fargate

Vì sao đúng

Đề nêu đúng bốn gánh nặng mà Fargate loại bỏ: co giãn, vá lỗi, bảo mật và quản lý máy chủ.

Khác biệt giữa hai launch type của ECS nằm ở chỗ ai sở hữu máy chủ:

Với Fargate bạn chỉ khai mỗi task cần bao nhiêu CPU và bộ nhớ; phần còn lại vô hình.

Vì sao các phương án khác sai

• A. ECS với EC2 launch type — bạn vẫn phải vá và quản lý cụm EC2, đúng thứ đề muốn tránh. Đây là phương án nhiễu chính.
• C. AWS Lambda — cũng không máy chủ, nhưng nó chạy hàm chứ không phải container dạng ứng dụng dài hạn; đề nói rõ là "ứng dụng container".
• D. Amazon EC2 — máy chủ ảo, tức là điều ngược lại.

Đáp án

C — AWS Health — Your Account Health Dashboard

Vì sao đúng

Chữ khoá của đề là "cá nhân hoá", và đó chính là điểm phân biệt giữa hai bảng điều khiển của AWS Health:

Vế cuối là giá trị lớn nhất: khi có sự cố, Account Health Dashboard cho biết đúng những instance hay volume nào của bạn bị ảnh hưởng, nên bạn đánh giá được tác động tới hoạt động kinh doanh trong vài giây thay vì phải tự rà.

Nó cũng phát sự kiện qua EventBridge, nên tự động hoá phản ứng được.

Vì sao các phương án khác sai

• A. Service Health Dashboard — công khai và không cá nhân hoá; bạn phải tự đối chiếu xem sự cố có chạm tới mình không. Đây là phương án nhiễu chính.
• B. Amazon CloudWatch — giám sát tài nguyên của bạn, không báo tình trạng dịch vụ của AWS.
• D. Amazon Inspector — quét lỗ hổng bảo mật.