AWS - SAA 03 Part 2.

CloudFront + S3 origin

CloudFront кешує і доставляє S3 static content глобально з меншою latency; S3 можна зробити приватним через OAI/OAC.

OAI

Origin Access Identity; старіший спосіб дозволити CloudFront читати приватний S3 bucket і заблокувати прямий доступ до S3.

OAC

Origin Access Control; новіший рекомендований спосіб доступу CloudFront до приватного S3 origin через SigV4-signed requests.

OAI/OAC працюють з

Amazon S3 origins, не з ELB/ALB/EC2 custom origins.

Як закрити ELB від прямого доступу в обхід CloudFront

Дозволити в security group ELB тільки CloudFront IP ranges; автоматично оновлювати IP ranges через Lambda.

Signed URLs / Signed Cookies

Обмежують доступ на рівні CloudFront, але не захищають ELB/S3 origin від прямого доступу, якщо origin публічний.

Security Group

Firewall на рівні ENI/EC2/ELB; stateful; тільки allow rules.

Network ACL / NACL

Firewall на рівні subnet; stateless; підтримує allow і deny rules.

AWS WAF Web ACL

HTTP/HTTPS правила для CloudFront, ALB, API Gateway тощо; використовується для IP restrictions, rate limits, attack protection.

S3 ACL

Старіший спосіб керування доступом до bucket/object; зазвичай краще використовувати bucket policy/IAM/OAC.

AWS Direct Connect

Приватне виділене підключення між on-premises і AWS; може займати тижні або місяць+ на повне provisioning.

Site-to-Site IPSec VPN

Зашифрований VPN-тунель через інтернет між on-premises і AWS; швидкий і дешевий backup для Direct Connect.

IPSec VPN як backup для Direct Connect

Найбільш cost-effective short-term resilience option; використовує інтернет, а Direct Connect залишається primary.

VPN over Direct Connect

Не є backup для Direct Connect, бо якщо Direct Connect падає, VPN поверх нього теж падає.

Snowball

Фізичний AWS пристрій для переносу великих обсягів даних, наприклад десятків TB, коли мережевий transfer надто довгий.

50 TB за 1 місяць + private connection

Snowball для data migration, VPN швидко зараз, Direct Connect замовити для довгострокового private connectivity.

API Gateway

Managed front door для APIs; приймає HTTP/WebSocket requests і передає в Lambda, HTTP backend, AWS service або private VPC backend через VPC Link.

API Gateway + Lambda

Типовий serverless API pattern для unpredictable traffic і low operational overhead.

HTTP API

Простіший і дешевший тип API Gateway для Lambda/HTTP APIs.

REST API

Більш функціональний API Gateway; підтримує API keys, usage plans, caching, request/response transformation.

WebSocket API

API Gateway для real-time bidirectional communication, наприклад chat або live dashboards.

VPC Link

Дозволяє API Gateway звертатися до private backend у VPC, наприклад private ALB/NLB/service.

Private API Gateway

API Gateway, доступний тільки з VPC через interface VPC endpoint.

DynamoDB

NoSQL key-value/document database; serverless, масштабована, millisecond latency.

Коли вибирати DynamoDB

Key-value access, unpredictable scale, millisecond latency, serverless, high request rate.

RDS

Managed relational SQL database: MySQL, PostgreSQL, MariaDB, Oracle, SQL Server, Db2.

Aurora

Managed relational DB, сумісна з MySQL або PostgreSQL; high performance, HA.

RDS for SQL Server

Правильний вибір для Microsoft SQL Server databases без schema conversion.

Aurora не підходить для

Міграції Microsoft SQL Server без schema conversion, бо Aurora підтримує MySQL/PostgreSQL compatibility, не SQL Server.

Amazon Keyspaces

Managed Apache Cassandra-compatible NoSQL database.

Коли вибирати Keyspaces

Якщо є Apache Cassandra і треба managed migration без schema/application rewrite.

DocumentDB

Managed MongoDB-compatible document database.

Neptune

Managed graph database для relationship-heavy use cases, fraud detection, social graph, recommendations.

Timestream

Time-series database для IoT metrics, telemetry, time-based measurements.

Redshift

Data warehouse для SQL analytics, BI, reporting; не для millisecond operational responsiveness.

DynamoDB vs Redshift

DynamoDB = fast operational NoSQL with ms latency; Redshift = analytical warehouse for BI/large SQL queries.

ElastiCache

In-memory cache Redis/Memcached для low-latency cache, sessions, leaderboards.

MemoryDB

Durable Redis-compatible in-memory database.

Kinesis Data Streams

Real-time streaming ingestion для IoT, logs, clickstream, high-volume events.

SQS

Message queue для decoupling, buffering, async processing; consumers poll messages.

SNS

Pub/sub notifications; може асинхронно trigger Lambda або відправляти email/SMS.

EC2 asynchronously invoke Lambda + decoupled

SNS topic with Lambda subscription.

Amazon MQ

Managed ActiveMQ/RabbitMQ; вибирати для legacy broker compatibility, не для простого AWS-native Lambda trigger.

EventBridge / CloudWatch Events

Event bus для реакції на AWS service events; наприклад GuardDuty finding -> SNS.

GuardDuty email alert pattern

GuardDuty Finding -> EventBridge rule -> SNS topic -> email subscription.

CloudWatch Alarm

Реагує на metric threshold, наприклад CPU > 80%; не основний шлях для GuardDuty findings.

CloudTrail

Логує AWS API activity; хто що викликав у AWS.

Step Functions

Workflow orchestration: steps, retries, branching, waits; не просто message decoupling.

AWS Organizations

Керування багатьма AWS accounts, OUs, consolidated billing, SCPs.

SCP

Service Control Policy; задає maximum permissions для account/OU; не дає permissions, тільки обмежує.

AWS Control Tower

Автоматизує multi-account landing zone з best practices, governance, guardrails, account factory.

Landing Zone

Базовий multi-account AWS foundation: accounts, OUs, logging, identity, networking, guardrails.

Account Factory

Фіча Control Tower для стандартизованого створення нових AWS accounts з pre-approved configuration.

CloudFormation

Infrastructure as Code; створює AWS resources зі YAML/JSON templates як stacks.

IAM Role

Identity з permissions, яку можуть assume users/services/workloads.

S3 Access Points

Окремі “входи” до одного S3 bucket з окремими access policies для різних teams/apps/accounts.

Коли вибирати S3 Access Points

One S3 bucket, many teams/accounts/apps, different permissions, least privilege.

S3 Access Points + SCPs

Access Points задають data access policies; SCPs централізовано контролюють usage across AWS Organizations.

VGW

Virtual Private Gateway; gateway для підключення однієї VPC до VPN або Direct Connect.

TGW

Transit Gateway; central hub для багатьох VPC, VPN, Direct Connect Gateway, accounts.

VGW vs TGW

VGW = one VPC; TGW = many VPCs/networks with centralized routing.

VPC Peering

Private connection між двома VPC; не підтримує transitive routing.

Transitive routing

Можливість маршрутизувати traffic через hub між багатьма мережами; підтримує TGW, не VPC Peering.

Direct Connect Gateway

Зв’язує Direct Connect з VGW або Transit Gateway; корисний для sharing DX across VPCs.

Many VPCs + shared Direct Connect

Direct Connect Gateway associated with Transit Gateway.

Transit VIF

Virtual interface на Direct Connect side для підключення до Direct Connect Gateway/TGW, не окремо до кожної VPC.

Reserved Instances

Знижка для predictable long-running EC2 usage, наприклад production 24/7.

On-Demand Instances

Платиш за фактичне використання без commitment; гнучко, але дорожче для 24/7.

Spot Instances

Найдешевші EC2, але можуть бути interrupted; підходять для fault-tolerant workloads.

On-Demand Capacity Reservations

Гарантують EC2 capacity у конкретній AZ для instance type; не обов’язково дають знижку.

Production 24/7 EC2 cost optimization

Reserved Instances або Savings Plans.

Need guaranteed EC2 capacity

Capacity Reservations.

Development 9-5 with capacity guarantee

On-Demand Capacity Reservations.

KMS

Керує encryption keys; відповідає на “чим шифрувати?”, не є secret store.

Secrets Manager

Зберігає secrets: DB credentials, API keys; підтримує rotation, особливо для RDS.

SSM Parameter Store

Зберігає config values і SecureString secrets; дешевший/простіший варіант.

SecureString

Encrypted parameter у SSM Parameter Store, зазвичай шифрується через KMS.

Lambda DB credentials best practice

Secrets Manager або SSM Parameter Store SecureString; Lambda execution role має ssm/secretsmanager permissions і kms:Decrypt.

CloudHSM

Dedicated hardware security module для повного контролю над crypto keys і compliance.

ACM

AWS Certificate Manager; керує TLS/SSL certificates для HTTPS на ALB, CloudFront, API Gateway.

ACM Private CA

Private certificate authority для внутрішніх private certificates.

AWS Encryption SDK

Client-side encryption library для шифрування даних у застосунку.

S3 SSE

Server-side encryption для S3 objects: SSE-S3, SSE-KMS, SSE-C.

EBS Encryption

Шифрує EBS volumes/snapshots через KMS.

RDS/Aurora Encryption

Шифрує database storage/snapshots через KMS.

Exam “Select TWO” scoring

На реальному іспиті зазвичай all-or-nothing: треба вибрати всі правильні відповіді.

AWS SAA-C03 exam duration

130 minutes, 65 questions.

AWS SAA-C03 passing score

Scaled score 720/1000; practice exams часто показують приблизно 72%.

Least operational overhead

На іспиті часто означає managed/serverless/purpose-built AWS service.

Purpose-built service clue

Вибирай сервіс, створений саме для цього use case, а не той, який “технічно може”.