Ngân hàng đề — AWS Certified Cloud Practitioner

Đáp án

C — AWS Global Accelerator

Vì sao đúng

Đề nêu đúng khẩu hiệu của Global Accelerator: cải thiện tính sẵn sàng và hiệu năng của ứng dụng toàn cầu bằng cách dùng mạng xương sống của AWS.

Cơ chế: nó cấp cho bạn hai địa chỉ IP anycast tĩnh làm điểm vào cố định. Người dùng kết nối tới edge location gần nhất, rồi lưu lượng đi phần lớn quãng đường trong mạng riêng của AWS thay vì qua Internet công cộng — nên độ trễ ổn định hơn và ít mất gói hơn.

Vì địa chỉ IP là tĩnh, việc chuyển hướng sang Region khác khi có sự cố diễn ra mà không đổi IP, tức là client đã cache DNS cũng không bị ảnh hưởng.

Vì sao các phương án khác sai

• D. Amazon CloudFront — cũng dùng mạng biên của AWS, nhưng nó là CDN cache nội dung HTTP. Global Accelerator hoạt động ở tầng 4, hỗ trợ cả TCP và UDP, và không cache gì — hợp với ứng dụng không phải web như game, VoIP, IoT. Đây là phương án nhiễu chính.
• B. Amazon Route 53 — định tuyến ở tầng DNS, nên trả về IP khác nhau cho từng người dùng và phụ thuộc vào TTL của bộ nhớ đệm.
• A. Elastic Load Balancing — chia tải trong một Region, không phải giải pháp toàn cầu.

Đáp án

B và E — AWS Service Catalog và AWS Partner Network (APN)

Vì sao đúng

Hai lựa chọn này giúp tổ chức tìm ra giải pháp đúng khi chưa quen với AWS, từ hai hướng khác nhau:

• E. AWS Partner Network — mạng lưới đối tác được AWS chứng nhận. Consulting Partner tư vấn kiến trúc và thực hiện di trú; Technology Partner cung cấp phần mềm chạy trên AWS. Đây là nguồn chuyên môn có con người.
• B. AWS Service Catalog — cho phép tổ chức tạo và quản lý danh mục sản phẩm CNTT đã được duyệt để chạy trên AWS. Nhờ đó các đội chọn trong tập giải pháp đã chuẩn hoá thay vì tự dựng từ đầu, và vẫn tuân thủ chính sách chung.

Vì sao các phương án khác sai

Ba phương án còn lại đều là công cụ vận hành tài nguyên đã có, không giúp chọn giải pháp:

• A. AWS CloudTrail — ghi lại lời gọi API để kiểm toán.
• D. Amazon CloudWatch — giám sát chỉ số và log.
• C. AWS Organizations — quản lý nhiều tài khoản và thanh toán hợp nhất.

Đáp án

B — Amazon DynamoDB

Vì sao đúng

Đề nêu hai đặc điểm, và cả hai đều là bản chất của DynamoDB:

• Lược đồ linh hoạt — bạn chỉ phải khai trước khoá chính; mọi thuộc tính khác thêm bớt tự do theo từng bản ghi, không cần ALTER TABLE.
• Mô hình dữ liệu tài liệu — DynamoDB lưu được cấu trúc lồng nhau dạng JSON (danh sách, map), ngoài mô hình khoá–giá trị đơn giản.

Ưu điểm đi kèm: hiệu năng mili giây một chữ số ở mọi quy mô, và không có máy chủ nào để quản lý.

Vì sao các phương án khác sai

Ba phương án còn lại đều là cơ sở dữ liệu quan hệ, đòi lược đồ cố định khai trước:

• A. Amazon RDS — dịch vụ được quản lý cho MySQL, PostgreSQL, MariaDB, Oracle, SQL Server.
• D. Amazon Aurora — bản tương thích MySQL và PostgreSQL do AWS xây, hiệu năng cao hơn — nhưng vẫn là quan hệ.
• C. Amazon Redshift — kho dữ liệu cho phân tích, cũng theo mô hình quan hệ.

Ghi nhớ

Hễ câu hỏi nhắc tới "lược đồ linh hoạt", "NoSQL", "tài liệu" hay "khoá–giá trị", câu trả lời trong đề Cloud Practitioner gần như luôn là DynamoDB.

Đáp án

C — AWS CloudHSM

Vì sao đúng

Chữ khoá của đề là "thiết bị phần cứng" cho các thao tác mã hoá, và đó chính là định nghĩa của HSM (Hardware Security Module).

CloudHSM cung cấp module phần cứng dành riêng cho bạn, đạt chứng nhận FIPS 140-2 Level 3 — mức mà nhiều quy định ngành tài chính và y tế đòi hỏi.

Khác biệt quan trọng so với KMS:

Dòng thứ ba là lý do chính khiến các quy định nghiêm ngặt yêu cầu CloudHSM: nó chứng minh được rằng nhà cung cấp đám mây không thể chạm tới khoá của bạn.

Vì sao các phương án khác sai

• B. AWS KMS — dịch vụ quản lý khoá phổ biến hơn và rẻ hơn nhiều, nhưng chạy trên hạ tầng dùng chung. Đây là phương án nhiễu chính.
• A. AWS Secrets Manager — lưu và xoay vòng bí mật như mật khẩu, khoá API.
• D. AWS Trusted Advisor — khuyến nghị theo thực hành tốt.

Đáp án

B — AWS Budgets

Vì sao đúng

AWS Budgets là dịch vụ duy nhất trong danh sách cho phép đặt ngưỡng và nhận cảnh báo khi vượt.

Bạn khai một mức ngân sách (ví dụ 5.000 đô la mỗi tháng) và ngưỡng cảnh báo, rồi Budgets gửi thông báo qua email hoặc SNS khi chi phí chạm mức đó.

Điểm hữu ích nhất trong thực tế: nó cảnh báo được cả trên chi phí dự báo, không chỉ chi phí đã phát sinh. Nhờ vậy bạn biết trước giữa tháng rằng đà chi tiêu hiện tại sẽ vượt ngân sách, thay vì phát hiện khi đã quá muộn.

Vì sao các phương án khác sai

• A. AWS Cost Explorer — phân tích và trực quan hoá chi phí đã phát sinh; nó cho bạn thấy tiền đi đâu nhưng không gửi cảnh báo theo ngưỡng. Đây là phương án nhiễu chính.
• D. AWS Pricing Calculator — ước tính chi phí trước khi dùng.
• C. AWS Organizations — quản lý nhiều tài khoản và thanh toán hợp nhất.

Ghi nhớ theo trục thời gian

Đáp án

B — Amazon Elastic File System (EFS)

Vì sao đúng

Ba yêu cầu trong đề chỉ EFS đáp ứng được cùng lúc:

• Nhiều EC2 instance trên nhiều Availability Zone — EFS là hệ thống tệp chia sẻ theo NFS, mount được từ mọi AZ trong Region.
• Truy cập, chỉnh sửa và chia sẻ — hỗ trợ ngữ nghĩa tệp POSIX đầy đủ, gồm cả khoá tệp để nhiều máy ghi an toàn.
• Dữ liệu dạng tệp lưu tập trung — một hệ thống tệp duy nhất, mọi máy thấy cùng nội dung.

Vì sao các phương án khác sai

• C. Amazon EBS — gắn được vào một instance và chỉ trong cùng một AZ; nó không chia sẻ được giữa các AZ. Đây là phương án nhiễu chính.
• A. Amazon S3 — lưu trữ đối tượng, truy cập qua API HTTP chứ không mount như ổ đĩa; và đối tượng bất biến nên "chỉnh sửa" nghĩa là ghi đè toàn bộ.
• D. Instance Store — lưu trữ cục bộ của riêng từng máy, mất dữ liệu khi instance dừng.

Ghi nhớ

Hễ câu hỏi có "nhiều instance" cộng "nhiều AZ" cộng "chia sẻ tệp", câu trả lời là EFS.

Đáp án

D — Amazon Athena

Vì sao đúng

Chữ khoá của đề là "ít công sức nhất", và Athena thắng ở đúng điểm đó: nó truy vấn trực tiếp dữ liệu đang nằm trên S3 bằng SQL chuẩn, không cần nạp dữ liệu đi đâu cả.

Athena là dịch vụ không máy chủ: không có cụm nào để cấp phát, không có gì để cấu hình. Bạn khai lược đồ, viết câu SQL, và trả tiền theo lượng dữ liệu quét — không dùng thì không tốn gì.

Vì sao các phương án khác sai

• B. Amazon Redshift — kho dữ liệu mạnh cho phân tích quy mô lớn, nhưng đòi cấp phát cụm và thường phải nạp dữ liệu vào trước. Nhiều công hơn hẳn. Đây là phương án nhiễu chính, và ranh giới chọn lựa là:

  	Athena	Redshift
  Dữ liệu ở đâu	Nguyên tại S3	Nạp vào cụm
  Hạ tầng	Không có	Cụm cần quản lý
  Hợp với	Truy vấn thỉnh thoảng, khám phá dữ liệu	Phân tích thường xuyên, hiệu năng cao

• C. Amazon Aurora và A. Amazon DynamoDB — là cơ sở dữ liệu giao dịch, đòi nạp dữ liệu vào trước; DynamoDB còn không dùng SQL.

Đáp án

D — AWS Health Dashboard — Service health

Vì sao đúng

Chữ khoá của đề là "tất cả dịch vụ AWS ở tất cả các Region" — tức là bức tranh công khai và toàn cục, không giới hạn ở tài khoản nào.

Service Health Dashboard hiển thị tình trạng của mọi dịch vụ AWS ở mọi Region, cập nhật theo từng phút. Nó truy cập được không cần đăng nhập, nên hữu ích cả khi bạn không vào được tài khoản.

Vì sao các phương án khác sai

• B. AWS Health Dashboard — Your account health — chỉ hiển thị những sự cố ảnh hưởng tới chính tài nguyên của bạn, kèm định danh tài nguyên cụ thể. Đây là phương án nhiễu chính, và khác biệt nằm ở phạm vi:

  	Service health	Your account health
  Phạm vi	Mọi dịch vụ, mọi Region	Chỉ tài khoản bạn
  Cần đăng nhập	Không	Có
  Trả lời	"AWS có đang gặp sự cố không?"	"Sự cố này có chạm tới tôi không?"

• C. Amazon CloudWatch — giám sát tài nguyên của bạn, không báo tình trạng dịch vụ của AWS.

• A. AWS CloudFormation — hạ tầng dưới dạng mã.

Đáp án

A — IAM User

Vì sao đúng

Access Key ID và Secret Access Key gắn với một IAM user cụ thể. Đó là thông tin xác thực dài hạn dùng để ký các lời gọi API từ SDK, CLI hoặc mã ứng dụng.

Mỗi IAM user có tối đa hai cặp khoá truy cập cùng lúc — thiết kế này có chủ đích: nó cho phép xoay vòng khoá mà không gián đoạn (tạo khoá mới, cập nhật ứng dụng, rồi vô hiệu khoá cũ).

Vì sao các phương án khác sai

• D. IAM Role — role cũng cấp thông tin xác thực, nhưng là thông tin tạm thời tự hết hạn do AWS STS sinh ra, không phải khoá truy cập cố định. Đây là phương án nhiễu chính, và khác biệt rất đáng nhớ:

  	IAM User	IAM Role
  Thông tin xác thực	Cố định, dài hạn	Tạm thời, tự xoay vòng
  Gắn với	Một người hoặc một ứng dụng cụ thể	Được giả nhận (assume) khi cần
  Rủi ro khi lộ	Cao — dùng được tới khi bị vô hiệu	Thấp — hết hạn sau vài giờ

• C. IAM User Group — chỉ là cách gom chính sách để gán cho nhiều người dùng; nhóm không có thông tin xác thực.

• B. IAM Policy — tài liệu JSON mô tả quyền, không phải danh tính.

Thực hành tốt

Với ứng dụng chạy trên AWS, hãy dùng IAM role thay vì khoá truy cập. Khoá cố định chỉ nên dùng cho những gì chạy ngoài AWS.

Đáp án

B và D — AWS Lambda và Amazon EventBridge

Vì sao đúng

Hai dịch vụ ghép thành giải pháp hoàn toàn không máy chủ cho một tác vụ theo lịch:

Amazon EventBridge   ──kích hoạt theo lịch cron──▶   AWS Lambda
(mỗi thứ Hai 2 giờ sáng)                              (chạy 5 phút, sao lưu log)

• D. EventBridge — có quy tắc theo lịch dùng cú pháp cron: cron(0 2 ? * MON *).
• B. Lambda — chạy mã sao lưu. Thời lượng 5 phút nằm gọn trong giới hạn 15 phút của Lambda.

Chi phí gần như bằng không: bạn chỉ trả cho 5 phút chạy mỗi tuần, không có máy chủ nào bật 24/7.

Vì sao các phương án khác sai

• C. Amazon EC2 — làm được nhưng không phải serverless, và phải trả tiền cho instance chạy liên tục chỉ để dùng 5 phút mỗi tuần.
• A. AWS Step Functions — điều phối nhiều bước thành quy trình; ở đây chỉ có một tác vụ đơn giản nên nó là lớp thừa. Đây là phương án nhiễu vì nó cũng là dịch vụ serverless.
• E. AWS Systems Manager — có tính năng Maintenance Windows chạy theo lịch, nhưng nó dựng để vận hành máy chủ, không phải nền tảng chạy mã serverless.