SAA-C02-EX1

Exam 1

Private EC2 cần outbound Internet qua IPv4 nhưng không được nhận inbound từ Internet dùng gì?

NAT Gateway trong public subnet.

NAT Gateway dùng cho IPv4 hay IPv6 Internet outbound?

Chủ yếu IPv4; IPv6 outbound-only thường dùng Egress-only Internet Gateway.

NAT Gateway phải đặt ở subnet nào?

Public subnet có route đến Internet Gateway.

Route 0.0.0.0/0 của private subnet khi dùng NAT Gateway trỏ tới đâu?

NAT Gateway.

Route 0.0.0.0/0 của public subnet thường trỏ tới đâu?

Internet Gateway.

Public NAT Gateway cần gắn gì để truy cập Internet?

Elastic IP address.

Elastic IP có gắn vào Internet Gateway không?

Không. Elastic IP có thể gắn cho NAT Gateway hoặc resource phù hợp, không gắn cho Internet Gateway.

IPv6 workload chỉ cần outbound Internet, không cho inbound dùng gì?

Egress-only Internet Gateway.

Keyword "IPv6 + outbound-only + reduce NAT Gateway cost" → ?

Egress-only Internet Gateway.

Egress-only Internet Gateway có cho Internet chủ động kết nối inbound vào resource không?

Không.

Nếu external API hỗ trợ cả IPv4 và IPv6 và mục tiêu là loại NAT Gateway để giảm phí, nên ưu tiên gì?

Cho workload dùng IPv6 và route qua Egress-only Internet Gateway.

Chuyển private EC2 sang public subnet chỉ để bỏ NAT Gateway có phải lựa chọn tốt khi đề yêu cầu outbound-only không?

Không, vì thay đổi mô hình bảo mật và có thể tạo khả năng Internet routing trực tiếp.

Hai hoặc vài VPC cần giao tiếp private với nhau, kiến trúc đơn giản dùng gì?

VPC Peering.

VPC Peering có transitive routing không?

Không.

Hơn 1.000 VPC cần giao tiếp với nhau nên dùng gì?

AWS Transit Gateway.

Keyword "hundreds/thousands of VPCs + centralized routing" → ?

Transit Gateway.

Transit Gateway sử dụng mô hình kiến trúc nào?

Hub-and-spoke.

Tại sao không dùng full-mesh VPC Peering cho hàng nghìn VPC?

Số lượng kết nối và route tăng cực lớn, khó vận hành và không scale tốt.

Direct Connect Gateway chủ yếu giải quyết bài toán nào?

Kết nối mạng on-premises với AWS thông qua Direct Connect, không phải giải pháp thuần VPC-to-VPC.

Public VIF của Direct Connect dùng chủ yếu cho gì?

Truy cập AWS public services qua Direct Connect.

Hai EC2 ở hai VPC khác nhau cần kết nối private dùng gì?

VPC Peering và cấu hình route table phù hợp.

Private connectivity có đồng nghĩa với application traffic đã được mã hóa không?

Không.

MySQL tự cài trên EC2 cần mã hóa traffic giữa application và database nên dùng gì?

SSL/TLS ở MySQL/application layer.

Amazon RDS Proxy có dùng được cho MySQL tự cài trên EC2 không?

Không; RDS Proxy dành cho các database được hỗ trợ trên Amazon RDS/Aurora.

Network ACL có thể reference Security Group ID không?

Không; Network ACL làm việc với IP/CIDR, protocol và port.

Nếu đề yêu cầu traffic private mà đáp án dùng public IP, thường xử lý thế nào?

Loại đáp án đó nếu không có yêu cầu đặc biệt khác.

UDP + người dùng toàn cầu + multi-Region + giảm latency/packet loss → ?

AWS Global Accelerator.

AWS Global Accelerator hỗ trợ TCP và UDP không?

Có.

Global Accelerator tối ưu traffic bằng cách nào?

Đưa traffic vào AWS global network/backbone và route đến endpoint/Region phù hợp.

CloudFront có hỗ trợ native UDP listener không?

Không.

CloudFront chủ yếu dùng giao thức application nào?

HTTP/HTTPS.

Transit Gateway có phải dịch vụ tối ưu Internet path từ end user toàn cầu đến application không?

Không; nó chủ yếu kết nối các network/VPC với nhau.

Global Accelerator khác CloudFront ở điểm thi quan trọng nào?

Global Accelerator tối ưu TCP/UDP network traffic; CloudFront chủ yếu CDN/cache cho HTTP/HTTPS content.

Virtual appliance + firewall/IDS/IPS + deep packet inspection → ?

Gateway Load Balancer.

Gateway Load Balancer dùng để làm gì?

Deploy, scale và đưa traffic qua các virtual network appliances.

VPC Flow Logs có chứa full packet payload để deep packet inspection không?

Không.

CloudTrail có dùng để inspect network packets không?

Không; CloudTrail ghi lại AWS API activity.

AWS WAF có thay thế Gateway Load Balancer cho generic deep packet inspection của toàn bộ network traffic không?

Không.

Keyword "all inbound/outbound packets must pass security appliance" → ?

Gateway Load Balancer và điều chỉnh routing.

Application chạy trong ECS task cần gọi S3 thì IAM permission nên gắn vào đâu?

ECS Task Role.

ECS Task Role dùng cho ai?

Application code chạy bên trong container.

ECS container instance role dùng cho ai?

ECS agent/EC2 host, không phải application logic của từng container.

Least privilege + một nhóm S3 bucket cụ thể → policy nên khai báo resource thế nào?

Dùng ARN cụ thể của các bucket/object cần thiết thay vì wildcard quá rộng.

Wildcard ARN có thể vi phạm nguyên tắc gì?

Least privilege.

Keyword "container application accesses AWS service" → ?

Task Role.

Multi-account AWS + centralized identity → ?

AWS IAM Identity Center.

IAM Identity Center tích hợp với dịch vụ nào để quản lý nhiều AWS account?

AWS Organizations.

Permission Set trong IAM Identity Center là gì?

Tập hợp permissions được gán cho user/group theo AWS account.

Multi-account + least privilege + centralized login → hai khái niệm chính?

IAM Identity Center + Permission Sets.

Tại sao không nên tạo IAM user riêng trong từng AWS account khi yêu cầu centralized identity?

Khó quản lý vòng đời user và không còn quản trị tập trung.

External IdP + nhiều AWS accounts nên tích hợp theo hướng nào?

Tích hợp với IAM Identity Center thay vì cấu hình federation lặp lại ở từng account khi bài yêu cầu centralized management.

AWS Organizations dùng để làm gì trong SAA-C03?

Quản lý tập trung nhiều AWS accounts, Organizational Units, policies và consolidated billing.

Ai quản lý Savings Plans discount sharing trong AWS Organizations?

Management account.

AWS Resource Access Manager có dùng để share Savings Plans discount không?

Không.

Savings Plans discount có thể được chia sẻ giữa các account trong Organization thông qua cơ chế nào?

Consolidated billing/discount sharing được quản lý từ management account.

Keyword "separate tenants into dedicated AWS accounts" → ?

AWS Organizations.

Keyword "multi-account centralized permissions" → ?

IAM Identity Center và Permission Sets.

S3 + Glue Data Catalog + fine-grained row/column/cell access → ?

AWS Lake Formation.

Lake Formation giải quyết vấn đề gì?

Quản lý data lake và fine-grained permissions trên dữ liệu/Data Catalog.

IAM policy thuần có thuận tiện bằng Lake Formation cho column-level access không?

Không.

Keyword "PII + Glue Catalog + fine-grained access" → ?

Lake Formation.

Glue chủ yếu liên quan đến gì?

Data integration/ETL và Data Catalog; fine-grained data lake permissions là use case mạnh của Lake Formation.

HDFS on-premises cần migrate dữ liệu sang S3 → ?

AWS DataSync.

AWS Application Migration Service chủ yếu migrate gì?

Server/workload theo kiểu lift-and-shift, không phải lựa chọn chính cho HDFS file-data migration vào S3.

DataSync có encryption in transit không?

Có.

Nếu DataSync tự đáp ứng encrypted transfer thì có cần thêm VPN chỉ để mã hóa traffic trong câu hỏi cost-effective không?

Không nhất thiết; tránh thêm component không cần thiết.

Keyword "file/data migration + on-premises + S3" → thường nghĩ tới?

AWS DataSync.

SFTP server tự quản lý cần chuyển sang managed AWS service → ?

AWS Transfer Family.

AWS Transfer Family SFTP server có thể lưu file trực tiếp vào đâu?

Amazon S3.

Transfer Family có hỗ trợ SSH key authentication không?

Có.

Transfer Family SFTP Server và SFTP Connector khác nhau thế nào?

Server nhận kết nối SFTP inbound từ client; Connector dùng AWS kết nối outbound tới remote SFTP server.

Keyword "clients still use SFTP + SSH keys + managed service" → ?

AWS Transfer Family SFTP server.

Nếu muốn giảm delay từ SFTP upload đến S3 processing, lợi ích của Transfer Family + S3 là gì?

File có thể được ghi trực tiếp vào S3 thay vì chờ script định kỳ trên EC2.

Microservices + content-based event routing + archive/replay → ?

Amazon EventBridge.

EventBridge có native Archive không?

Có.

SQS giữ message tối đa bao lâu?

14 ngày.

Nếu đề yêu cầu archive message 30 ngày, SQS retention trực tiếp có đáp ứng không?

Không.

Keyword "archive events + replay" → ?

EventBridge.

SNS có native EventBridge-style archive/replay không?

Không.

Nếu đề yêu cầu least development effort, nên ưu tiên gì?

Managed/native AWS feature thay vì tự viết Lambda hoặc custom routing nếu cùng đáp ứng yêu cầu.

DynamoDB maximum item size là bao nhiêu?

400 KB.

Document thường xuyên lớn hơn 1 MB có phù hợp để lưu trực tiếp trong một DynamoDB item không?

Không.

MongoDB-compatible managed document database trên AWS → ?

Amazon DocumentDB.

Variable workload + document database + cần giảm over-provisioning → ?

DocumentDB Serverless nếu đáp án/use case hỗ trợ.

Keyword ">400 KB item/document" → cần nhớ gì?

DynamoDB item limit 400 KB nên phải đổi thiết kế hoặc chọn storage/database khác.

DynamoDB traffic unpredictable → capacity mode nào?

On-demand.

DynamoDB traffic ổn định và dự đoán được → có thể cân nhắc mode nào?

Provisioned capacity.