AWS SAA-C03 Scenario Practice 01

M1-Q01

一家零售公司營運全球電子商務網站，靜態圖片放在 S3，動態 API 跑在多個 AZ 的 ALB 後方。最近促銷期間亞洲和歐洲使用者抱怨頁面載入很慢，安全團隊同時要求防範常見 Web 攻擊，且不得讓使用者直接繞過 CDN 存取 S3 origin。

A把靜態內容移到 RDS，並在 EC2 上自行撰寫反向代理快取邏輯。B使用 CloudFront 作為入口，S3 origin 搭配 Origin Access Control，ALB origin 前加 AWS WAF 規則。C只把 ALB 換成 NLB，讓所有流量直接打到後端 instance，S3 bucket 維持公開讀取。D在每個 Region 建一個完整網站並用手動 DNS 切換，S3 bucket 全部開 public read。

M1-Q02

一個資料處理叢集位於 private subnets，每天會大量讀寫同一 Region 的 S3 bucket。流量目前經過 NAT Gateway，帳單顯示 NAT data processing cost 快速上升。安全團隊也要求資料流量不要經過 public internet。

A增加更多 NAT Gateway 分散流量，因為 NAT Gateway 數量增加會消除 data processing charge。B把 S3 bucket 複製到 EBS volume，並在每台 EC2 上手動同步檔案。C建立 Gateway VPC Endpoint for S3，更新 private subnet route tables，並用 endpoint policy 限制可存取的 bucket。D為每台 EC2 加 public IP，直接透過 Internet Gateway 存取 S3，然後用 NACL 限制 inbound。

M1-Q03

一家公司維護可搜尋商品庫，資料存放在 Amazon RDS for MySQL，table 超過 1,000 萬列，資料庫使用 2 TB General Purpose SSD。每天有數百萬次更新，部分 insert 操作開始超過 10 秒。公司判定瓶頸在 storage performance。

A將 DB instance 改成 memory optimized class，因為監控結果已確認瓶頸是 storage I/O。B啟用 Multi-AZ read replica，讓 MySQL native asynchronous replication 加速所有 insert。C把資料匯出到 S3 Glacier Deep Archive，讓 RDS table 變小並改善即時寫入。D將 RDS storage 改成 Provisioned IOPS SSD，並依寫入需求配置足夠 IOPS。

M1-Q04

一家電商在促銷期間訂單 API 流量突然暴增。前端必須快速回應使用者，庫存扣減和寄信可以非同步處理，但任何訂單都不能遺失，且 worker 需要水平擴展。

AAPI 將訂單訊息寫入 SQS queue，後端 worker fleet 從 queue 取出處理，並使用 DLQ 捕捉失敗訊息。BAPI 直接同步呼叫所有下游服務，若其中一個服務 timeout 就讓使用者重新送出訂單。C使用 SNS topic 取代 queue，並假設每個 subscriber 都只會處理一次且不需重試。D將所有訂單寫入 CloudWatch Logs，worker 定期掃描 log text 當作交易來源。

M1-Q05

一家公司營運關鍵訂單系統，目前部署在單一 Region 的多個 AZ。業務要求 Region failure 時能在數分鐘內恢復，且願意支付較高成本維持第二個 Region 的縮小版環境持續運作。

A使用 S3 One Zone-IA 保存所有資料，因為單 AZ storage 最適合跨 Region DR。B採用 Warm Standby，在第二 Region 維持可運行的縮小版 stack，資料持續複寫，故障時擴容並切換 Route 53。C採用 Backup and Restore，只有每日 snapshot，Region failure 時再從零建立所有網路和應用。D只啟用單一 Region Multi-AZ，因為 Multi-AZ 可以自動承受整個 Region failure。

M1-Q06多選題

一家公司有多個 AWS accounts。安全團隊要求集中記錄所有帳號的 API 活動，防止一般管理員修改稽核日誌，並能在事件後查詢誰改動了資源。哪些做法最符合這些需求？（選兩個）

A把 CloudWatch dashboard 分享給所有人，作為唯一不可竄改稽核紀錄。B建立 organization trail 的 CloudTrail，將 logs 寫入集中 logging account 的 S3 bucket，啟用 bucket policy、SSE-KMS 和 Object Lock。C同時加入最小權限 IAM role、CloudWatch / CloudTrail 觀測或告警，以及必要的加密控制，讓方案符合安全與營運要求。D在每個 account 手動下載 console history，並存到管理員個人電腦。E只開啟 VPC Flow Logs，因為 Flow Logs 會記錄所有 IAM API call request body。

請先選擇至少一個選項。

M1-Q07

一家公司有 containerized web service，目前跑在 EC2 上，團隊不想管理 EC2 capacity，但仍希望依 HTTP traffic 自動擴縮容，並將 tasks 放在 private subnets。

A使用單一 EC2 instance 跑 Docker，並在流量高時手動 SSH 啟動更多 containers。B使用 Lambda layer 執行長時間常駐 web server，並把所有 request 存在 /tmp。C使用 S3 static website hosting 直接執行 container image。D使用 ECS on Fargate，服務放在 private subnets，由 ALB 導流並設定 target tracking auto scaling。

M1-Q08

一家媒體公司保存大量原始影片。影片上傳後 30 天內常被剪輯，90 天後很少讀取，但偶爾需要在幾分鐘內取回。公司希望自動降低 storage cost，並保留資料耐久性。

A使用 S3 Lifecycle 將物件從 S3 Standard 轉到 Standard-IA 或 Glacier Instant Retrieval，依取回時間需求設定轉層規則。B立即將所有物件轉到 Glacier Deep Archive，即使剪輯團隊隔天可能需要使用。C使用 EBS gp3 volume 保存所有影片，並手動在 EC2 間複製。D使用 instance store 保存原始影片，因為本機磁碟成本最低且具高耐久性。

M1-Q09

一個購物車服務需要低延遲 key-value 存取，流量尖峰高，資料模型可以用 partition key 和 sort key 表示。團隊不想管理 server，並希望自動擴展。

A使用 S3 Glacier Deep Archive，每次讀購物車時先 restore object。B使用 DynamoDB，設計合適 partition key，搭配 on-demand capacity 或 auto scaling。C使用 RDS single instance，並把每個購物車 item 存成大型 JSON blob 且不加索引。D使用 Redshift 作為線上購物車交易資料庫。

M1-Q10

一家企業要把本地機房資料中心連到 AWS VPC。網路需求長期穩定、流量大，且需要比 VPN 更一致的 latency。初期仍希望保留加密通道作為備援。

A使用 CloudFront 連接資料中心與 VPC，因為 CDN 提供 private routing。B使用 S3 Transfer Acceleration 作為所有 TCP 應用的混合網路連線。C使用 AWS Direct Connect 作為主要連線，並保留 Site-to-Site VPN 作為備援或加密通道。D只使用 Internet Gateway，讓本地機房伺服器直接加入 VPC private subnet。

M1-Q11

一個生產系統的 EC2 使用量長期穩定，尖峰會由 Auto Scaling 暫時補容量。公司希望降低基準 compute cost，但不想對短期尖峰過度承諾。

A對最大尖峰容量購買三年承諾，因為所有 Auto Scaling 容量都應固定購買。B只使用 Spot Instances 承載不可中斷 production baseline。C關閉 Auto Scaling 並固定最大 instance 數，避免成本變動。D分析基準用量後購買 Savings Plans 或 Reserved Instances，尖峰容量保留 On-Demand 或 Spot 視可中斷性使用。

M1-Q12多選題

一個微服務平台使用 ECS、ALB、RDS 和 SQS。營運團隊需要在 error rate 上升或 queue backlog 過高時自動通知 on-call，並保留 logs 供 incident investigation。哪些做法最符合這些需求？（選兩個）

A使用 IAM password policy 觸發 on-call 通知。B將所有 logs 寫入 instance store，instance replacement 後再手動復原。C使用 CloudWatch Metrics / Logs / Alarms 監控 ALB 5xx、ECS 指標和 SQS ApproximateAgeOfOldestMessage，透過 SNS 通知。D同時加入最小權限 IAM role、CloudWatch / CloudTrail 觀測或告警，以及必要的加密控制，讓方案符合安全與營運要求。E只依靠使用者投訴判斷 incident，因為 AWS managed services 不需要監控。

請先選擇至少一個選項。

M1-Q13

一家公司有上百名工程師需要依職責存取多個 AWS accounts。公司使用企業 IdP，希望集中管理登入、群組和短期憑證，避免建立大量 IAM users。

A使用 Security Group 管理 console login permissions。B使用 IAM Identity Center 整合企業 IdP，將 permission sets 指派到 accounts，使用短期 role credentials。C為每位工程師在每個 account 建 IAM user，並把 long-term access key 寄給本人保存。D共用 root user credentials，並用 spreadsheet 記錄誰使用過。

M1-Q14

一個行動 App 後端需要 HTTPS API、使用者身份驗證、短時間 compute、NoSQL 儲存和事件通知。團隊希望完全 managed，並能依流量自動擴展。

A使用 S3 static website hosting 接收所有 POST transaction 並直接更新 object metadata。B使用 Redshift 作為登入服務和即時 API runtime。C使用 API Gateway、Cognito、Lambda、DynamoDB 和 EventBridge / SNS 組合，依權限和事件需求整合。D使用單一 EC2 instance 同時跑 API、database、identity provider 和 message broker。

M1-Q15

一家公司提供影片教學平台，使用者分布在北美、歐洲和亞太地區。影片片段存放在 S3，登入後會呼叫區域 API。公司希望降低下載延遲、保護 origin，並保留 API 的私有子網設計。

A將所有影片複製到每台 EC2 instance 的 EBS volume，讓使用者直接連到最近的 instance。B使用 Route 53 latency routing 直接回傳 S3 bucket website endpoint，並讓 bucket 公開。C改用 Site-to-Site VPN 讓全球使用者先連入 VPC，再從 private subnet 下載影片。D將影片透過 CloudFront 分發，S3 使用 Origin Access Control，API 保持 ALB 到 private subnet targets。

M1-Q16

一家金融公司把批次報表 EC2 放在 private subnet。報表要讀 DynamoDB table 與 S3 歷史檔，但不能使用 public IP。公司希望最小化 NAT 成本並保留 IAM 控制。

A對 S3 與 DynamoDB 使用 Gateway VPC Endpoints，配合 IAM role 和 endpoint policy 控制存取範圍。B建立 bastion host，讓批次 EC2 透過 SSH tunnel 存取所有 AWS 服務。C把 private subnet 改成 public subnet，讓 EC2 直接連到 public DynamoDB endpoint。D使用 Direct Connect，因為 VPC 內 EC2 存取同 Region AWS 服務一定需要專線。

M1-Q17

一個訂票系統使用 RDS PostgreSQL，讀取流量在活動開賣時暴增，但寫入量相對穩定。公司希望降低 primary DB CPU 壓力，查詢可以接受短暫 replication lag。

A將所有使用者查詢排入 SQS，讓 primary DB 同步處理每一個讀取請求。B建立 RDS read replicas，將讀取查詢導向 replicas，寫入仍走 primary DB。C啟用 Multi-AZ，並把應用讀取流量導向 standby instance。D改用 S3 Standard-IA 儲存查詢結果，讓應用直接對物件執行 SQL transaction。

M1-Q18多選題

一個圖片處理平台接收使用者上傳到 S3 的檔案。系統要自動產生縮圖、寫入 DynamoDB metadata，並在失敗時可以重試。尖峰時上傳量很高。哪些做法最符合這些需求？（選兩個）

A讓使用者上傳後等待同步處理完成，再由前端輪詢 EC2 instance local disk。B把圖片存入 RDS BLOB 欄位，並讓 database trigger 呼叫外部縮圖服務。C使用 CloudFront invalidation 作為圖片處理佇列，讓 edge location 執行縮圖。D用 S3 event 觸發 SQS，Lambda 或 ECS workers 從 SQS 處理圖片，metadata 寫入 DynamoDB 並設定 DLQ。E同時加入最小權限 IAM role、CloudWatch / CloudTrail 觀測或告警，以及必要的加密控制，讓方案符合安全與營運要求。

請先選擇至少一個選項。

M1-Q19

一家新創公司的內部系統可以接受數小時 RTO，平時流量低，DR 成本必須最低。團隊只需要在災難時能還原資料並重建基礎設施。

A維持 Multi-site active-active，讓兩個 Region 永遠承載完整 production traffic。B在每個 AZ 都維持一組閒置 EC2 fleet，並每分鐘做完整 database restore。C只依靠 Auto Scaling，因為 Auto Scaling 可以跨 Region 自動重建所有資料。D使用 Backup and Restore，定期備份資料與基礎設施模板，災難時在目標 Region 還原。

M1-Q20

一個應用需要讀取 database password。公司禁止在程式碼和 AMI 中存放明文 secret，並要求定期輪替，同時 EC2 / Lambda 必須使用短期憑證存取。

A將 password 放在 Secrets Manager，啟用 rotation，workload 透過 IAM role 取得必要權限讀取 secret。B把 password 寫入 user data，並用 security group 限制誰可以 SSH 到 instance。C把 secret 放在 public S3 bucket，因為 bucket name 不公開就足夠安全。D建立 IAM user long-term access key 給應用，並把 key 寫在 source code。

M1-Q21

一個 API 每天只有零星請求，但尖峰時會短時間衝高。公司希望不管理 server，並只為實際請求和執行時間付費。API 需要授權、節流和觀測。

A使用 EFS access point 作為 HTTP API runtime。B使用 API Gateway 搭配 Lambda，設定 authorizer、throttling、CloudWatch Logs 和必要的 IAM permissions。C使用固定大小的 EC2 fleet 長期執行，即使沒有請求也保持最大容量。D使用 RDS stored procedure 直接暴露 public endpoint 給使用者呼叫。

M1-Q22

一家公司需要 Windows 檔案共享，應用使用 SMB protocol，並且要整合 Active Directory 權限。工作負載需要 managed file system，而不是自行維護 file server。

A使用 S3 Glacier 作為 SMB file share，讓 Windows client 直接 mount archive。B使用 DynamoDB table 儲存每個檔案 block 並模擬 SMB。C使用 FSx for Windows File Server，整合 Active Directory 並提供 managed SMB file share。D使用 EFS，因為 EFS 原生提供 Windows SMB 和 NTFS ACL。

M1-Q23

一家公司需要儲存使用者社交關係，查詢常常是找朋友的朋友、共同關係和最短路徑。資料之間的 connected relationship 是主要查詢模式。

A使用 S3 lifecycle rule 查詢共同好友。B使用 ElastiCache 作為唯一持久 graph database。C使用 CloudWatch Metrics 儲存每一條社交關係。D使用 Amazon Neptune 儲存 graph data，支援 graph traversal 查詢。

M1-Q24多選題

一家公司要將數百 TB 的本地檔案移到 S3，網路頻寬有限，透過網路傳輸會花太久。資料需要安全運送並匯入 AWS。哪些做法最符合這些需求？（選兩個）

A同時加入最小權限 IAM role、CloudWatch / CloudTrail 觀測或告警，以及必要的加密控制，讓方案符合安全與營運要求。B使用單一 VPN tunnel 傳輸所有資料，且不做任何壓縮或分批。C把硬碟寄給使用者個人住址，再手動上傳到 public S3 bucket。D使用 Route 53 health check 複製本地檔案。E使用 AWS Snowball Edge 進行離線大量資料遷移，匯入 S3 後再用 DataSync 處理增量同步。

請先選擇至少一個選項。

M1-Q25

一組 private subnet EC2 大量下載 S3 物件，NAT Gateway 成本明顯高於預期。公司希望維持 private subnet，不增加公網暴露。

A把 S3 改成 RDS，因為 database traffic 不會產生成本。B建立 S3 Gateway VPC Endpoint 並更新 route table，讓 S3 流量不再經過 NAT Gateway。C將所有 EC2 移到 public subnet，並開放 SSH 供維運。D增加 NAT Gateway 數量，讓同樣流量分散後不收費。

M1-Q26

一家公司需要追蹤 application request 在 API Gateway、Lambda、DynamoDB 之間的 latency，並找出哪個下游服務造成 timeout。

A使用 S3 Object Lock 追蹤 Lambda invocation path。B使用 Route 53 DNS logs 取代 application tracing。C使用 AWS X-Ray 或分散式 tracing，搭配 CloudWatch Logs 和 metrics 分析 request path。D只查看 monthly bill，因為成本上升能精確指出每個 request 的 latency。

M1-Q27

一個 EC2 application 需要讀 S3 bucket 和寫 CloudWatch Logs。安全團隊要求不使用 long-term access keys，權限必須最小化且可輪替。

A在 AMI 中硬編碼 IAM user access key，並每年手動更換。B把 S3 bucket 設成 public read/write，讓應用不需要 AWS credentials。C使用 KMS key alias 當作 application access key。D建立 IAM role for EC2 instance profile，只授予必要 S3 和 CloudWatch Logs permissions。

M1-Q28

一家公司要建立圖像上傳服務。使用者上傳後需掃描惡意內容、產生縮圖、保存 metadata，並透過 CDN 提供下載。所有處理都要可重試。

A使用 S3 upload、EventBridge / SQS、Lambda 或 ECS workers、DynamoDB metadata、CloudFront delivery 和 DLQ。B讓前端 browser 直接連到 RDS 儲存圖片 binary，再由 RDS 對外提供 CDN。C把所有圖片放在 EC2 instance store，然後使用 Auto Scaling 保留原檔。D使用 Route 53 weighted records 執行縮圖與惡意內容掃描。

M1-Q29

一家新聞網站有大量匿名讀取流量，後端 CMS 只在單一 Region 更新內容，內容同步到 S3。公司要求全球讀取低延遲、降低 S3 request 壓力，並能封鎖特定國家與惡意 HTTP pattern。

A只增加 RDS read replica，因為 CDN 延遲主要由資料庫讀取造成。B使用 CloudFront 快取 S3 內容，在 distribution 加 AWS WAF web ACL 與 geo match 規則。C使用 NAT Gateway 快取所有 S3 物件，並在 route table 對不同國家設定路由。D把 S3 改成 EFS，讓 CloudFront 直接掛載 NFS path 讀取內容。

M1-Q30多選題

一個 Lambda function 連到 VPC 內的 RDS，同時需要呼叫 Secrets Manager 和 CloudWatch Logs。安全團隊不希望 function 流量經過 NAT Gateway，並要求存取 AWS 服務時留在私有路徑。哪些做法最符合這些需求？（選兩個）

A為 Secrets Manager 和 CloudWatch Logs 建 Interface VPC Endpoints，Lambda 使用私有子網和最小權限 execution role。B同時加入最小權限 IAM role、CloudWatch / CloudTrail 觀測或告警，以及必要的加密控制，讓方案符合安全與營運要求。C給 Lambda function 指派 Elastic IP，讓它直接從 Internet Gateway 呼叫 AWS public endpoints。D建立 Gateway VPC Endpoint for Secrets Manager，因為所有 AWS 服務都使用 Gateway endpoint。E把 RDS 暴露到 public subnet，讓 Lambda 不需要 VPC networking。

請先選擇至少一個選項。

M1-Q31

一家醫療平台的 RDS database 必須在 AZ failure 時自動故障轉移，應用不可手動改 connection string。讀取擴展不是主要需求，RPO 要盡量低。

A建立 read replica，並在 AZ failure 時手動 promote replica 作為唯一高可用方案。B每天建立 DB snapshot，故障時從 snapshot 還原到新 AZ。C把資料庫放在 EC2 instance store，讓 Auto Scaling replacement 自動保留資料。D啟用 RDS Multi-AZ deployment，讓 AWS 同步複寫到 standby 並在故障時自動 failover。

M1-Q32

一家 SaaS 公司需要將帳單事件同時送到寄信服務、資料倉儲和風控服務。各消費方處理速度不同，新增消費方時不希望修改 producer。

A使用 EventBridge event bus 或 SNS fan-out，讓不同 consumer 透過 rule / subscription 接收事件並各自處理。B讓 producer 依序同步呼叫每個 consumer API，任何一個 consumer 失敗就 rollback 所有事件。C將事件只寫入單一 EC2 instance 的記憶體 queue，所有 consumer 都 SSH 上去讀取。D使用 Security Group rule fan-out，因為網路規則會自動分發 business events。

M1-Q33

一個金融 API 需要跨 AZ 高可用，資料庫不能因單一 AZ 故障中斷，且 DNS 層要能偵測 endpoint health 進行切換。公司目前還不需要跨 Region 雙活。

A只建立 CloudFront distribution，因為 CDN 可以替代 database failover。B使用多 AZ ALB / Auto Scaling，RDS Multi-AZ，並搭配 Route 53 health checks 或 ALB health checks。C使用單一 AZ EC2 和單一 AZ RDS，並把所有流量固定到該 AZ 以降低 latency。D建立跨 Region active-active，但資料庫仍保留單一 AZ。

M1-Q34

一家企業要求 S3 bucket 中的敏感資料被自動發現，security team 需要知道哪些 bucket 可能含有個資。公司已經使用 Organizations 管理多帳號。

A使用 Shield Advanced 掃描檔案內容，並產生 PII report。B只使用 Security Group inbound rules，因為它能檢查 S3 物件文字內容。C使用 Amazon Macie 掃描 S3 sensitive data，並在 delegated administrator account 集中檢視 findings。D使用 AWS WAF 掃描 S3 object content，因為 WAF 會分類 bucket 內的個資。

M1-Q35

一個機器學習批次工作需要大量 CPU，任務可中斷、可重跑，資料輸入輸出在 S3。公司希望用最低成本處理大量 job，並可在尖峰時快速擴展。

A使用 On-Demand 最大規格 instance 永久開著，並禁止 job retry。B使用 RDS Multi-AZ 執行所有 CPU batch jobs。C使用 CloudFront edge location 執行長時間機器學習訓練。D使用 AWS Batch 或 Auto Scaling fleet 搭配 Spot capacity，job 讀寫 S3 並設計 retry / checkpoint。

M1-Q36多選題

一個 HPC 工作負載需要高吞吐 file system，會讀取 S3 中的大型資料集進行短期分析。分析結束後輸出結果回到 S3，團隊不想長期保留高成本 file system。哪些做法最符合這些需求？（選兩個）

A使用 NAT Gateway 作為 distributed file system cache。B使用 FSx for Lustre 連接 S3 data repository，分析期間提供高效能 file system，結果再匯回 S3。C同時加入最小權限 IAM role、CloudWatch / CloudTrail 觀測或告警，以及必要的加密控制，讓方案符合安全與營運要求。D使用 S3 Standard-IA 直接作為 POSIX HPC file system 並支援低延遲 metadata operations。E使用 RDS MySQL 儲存大型 binary blocks，讓 HPC nodes 透過 SQL 讀檔。

請先選擇至少一個選項。

M1-Q37

一個工業 IoT 平台每秒寫入設備測量值，查詢通常依時間範圍聚合。團隊希望使用 managed time-series database，而不是自行維護分區 table。

A使用 EFS file append 作為唯一查詢引擎。B使用 Amazon Timestream 儲存 time-series data，並依時間範圍執行聚合查詢。C使用 Neptune，因為所有 IoT timestamp 都是 graph edge。D使用 Secrets Manager 儲存每筆測量值。

M1-Q38

一家公司已有本地 VMware workload，短期要做 lift-and-shift 到 AWS，但仍需要與本地網路互通並分階段遷移。

A使用 CloudWatch Alarm 作為 hypervisor，將本地 VM 轉成 metric。B用 S3 lifecycle rule 自動把 VMware workload 轉成 Lambda function。C使用 Application Migration Service 或合適的遷移工具複製 servers，網路透過 VPN / Direct Connect 與 VPC 整合。D直接把 VM image 放進 DynamoDB item，讓 DynamoDB 啟動虛擬機。

M1-Q39

一個開發測試環境只在上班時間使用。團隊常忘記關閉 EC2 和 RDS，造成閒置成本。公司希望自動化關閉並保留必要資料。

A刪除所有 EBS volume 和 DB storage，因為停止服務一定會保留全部資料。B把開發環境改成 Multi-site active-active，確保閒置時也有最高可用性。C使用 Shield Advanced 降低閒置 compute cost。D使用 Instance Scheduler / EventBridge Scheduler 停止非必要 EC2 和 RDS，資料保留在 EBS / RDS storage。

M1-Q40

資料平台使用 Kinesis、Lambda 和 S3。最近資料延遲增加，團隊需要知道 iterator age、Lambda error、throttle 和 S3 delivery failure。

A建立 CloudWatch dashboards 和 alarms 監控 Kinesis iterator age、Lambda errors / throttles 與 Firehose delivery metrics。B只檢查 VPC route table，因為所有串流延遲一定來自路由錯誤。C使用 ACM certificate expiration 作為資料延遲指標。D將 Kinesis shard metrics 關閉以降低觀測成本。

M1-Q41

一家公司要讓第三方 SaaS 安全地存取指定 AWS account 中的部分資源。安全團隊希望避免分享 long-term key，並能限制信任關係與 external ID。

A使用 public S3 bucket 作為第三方存取所有 AWS resource 的入口。B建立 cross-account IAM role，信任第三方 AWS account，要求 external ID，並授予最小權限。C建立 IAM user 給第三方，將 access key 寫在合約附件中。D把管理帳號 root password 分享給第三方，只靠 MFA 保護。

M1-Q42多選題

一個 B2B 報表平台每天從多個客戶 SFTP 匯入檔案，轉換後存入 data lake，並提供 Athena 查詢。公司要求資料加密、權限分離和失敗告警。哪些做法最符合這些需求？（選兩個）

A使用 EBS snapshot 作為 query engine，讓客戶直接查詢 snapshot。B使用 CloudFront logs 當作唯一資料倉儲。C使用 AWS Transfer Family 或 DataSync 匯入，S3 data lake 搭配 KMS、Lake Formation / IAM、Glue Catalog、Athena 和 CloudWatch alarms。D同時加入最小權限 IAM role、CloudWatch / CloudTrail 觀測或告警，以及必要的加密控制，讓方案符合安全與營運要求。E把所有客戶檔案匯入單一 public S3 bucket，並讓所有人共用一組 access key。

請先選擇至少一個選項。

M1-Q43

一個 SaaS 前端是 React SPA，部署在 S3。後端 API 透過 ALB 進入 ECS 服務。公司希望前端部署後全球使用者快速取得新版本，同時 API 需要防 SQL injection 和 rate-based attack。

A將 SPA 放在 private subnet 的 EC2 上，使用者透過 bastion host 下載。B把 API Gateway 移除並改用 EBS snapshot 分發前端檔案。C使用 RDS Multi-AZ 解決前端靜態檔案延遲與 Web 攻擊防護。D使用 CloudFront 分發 S3 SPA，API path 導向 ALB origin，並在 CloudFront 或 ALB 前套用 AWS WAF。

M1-Q44

一家公司有多個 VPC 需要私下呼叫中央帳號提供的內部付款 API。客戶 VPC CIDR 可能重疊，公司不希望建立完整 VPC routing，也不想暴露服務到公網。

A使用 AWS PrivateLink 讓消費方 VPC 透過 Interface Endpoint 存取服務方 NLB 後的付款 API。B使用 VPC Peering 連接所有 VPC，並依靠 transitive routing 解決所有 CIDR 重疊。C將付款 API 放到 public ALB，並用來源 IP allowlist 當作唯一安全控制。D使用 Gateway VPC Endpoint 暴露自建 API，因為 Gateway endpoint 可以發布任意私有服務。

M1-Q45

一家公司需要 MySQL 相容資料庫，尖峰讀取流量很高，還希望跨 Region 提供低延遲讀取與災難恢復。團隊可接受使用 AWS managed database engine。

A使用 FSx for Lustre 儲存 MySQL data files，讓多個 Region 直接掛載同一份資料。B使用 Amazon Aurora MySQL，搭配 Aurora Replicas 與 Aurora Global Database 支援讀取擴展和跨 Region DR。C使用單一 RDS MySQL instance，並透過 EBS snapshot 每小時複製到其他 Region。D使用 DynamoDB DAX，因為 DAX 可以直接加速 MySQL SQL joins。

M1-Q46

一個貸款審核流程包含文件檢查、風險評分、人工審核和結果通知。每一步需要狀態追蹤、錯誤重試和條件分支，流程可能執行數小時。

A使用 S3 lifecycle rule 依照文件年齡決定貸款審核下一步。B使用 Route 53 weighted routing 將使用者導向不同審核步驟。C使用 Step Functions 編排多個 Lambda / service integrations，將流程狀態、重試和分支邏輯交給 state machine 管理。D使用單一 Lambda function sleep 數小時並在程式碼中自行維護所有狀態。

M1-Q47

一家全球服務要求跨 Region active-active NoSQL 寫入，使用者應寫入最近 Region，資料要自動同步，且應用不想自行管理 replication conflict 的底層機制。

A使用 RDS read replica，讓所有 Region 都可以同時寫入同一個 MySQL primary。B使用 S3 Cross-Region Replication 作為低延遲 NoSQL write path。C使用 ElastiCache Global Datastore 作為唯一持久資料庫。D使用 DynamoDB Global Tables，讓多 Region table 支援 active-active replication。

M1-Q48多選題

一家公司要保護公開 ALB 後方的 Web application。近期攻擊包含 SQL injection、cross-site scripting 和大量相同 IP 的 HTTP requests。團隊希望在 Layer 7 擋掉流量。哪些做法最符合這些需求？（選兩個）

A只使用 NACL deny rule，因為 NACL 可以解析 HTTP body 並偵測 SQL injection。B把 ALB 換成 NAT Gateway，讓 NAT Gateway 執行 Layer 7 inspection。C使用 KMS key policy 封鎖惡意 HTTP request。D在 ALB 或 CloudFront 前套用 AWS WAF managed rules 與 rate-based rules。E同時加入最小權限 IAM role、CloudWatch / CloudTrail 觀測或告警，以及必要的加密控制，讓方案符合安全與營運要求。

請先選擇至少一個選項。

M1-Q49

一家企業既有 Java application 需要快速搬到 AWS，團隊希望先少改程式、保留 OS 控制和自訂 agent，之後再逐步現代化。

A使用 Route 53 health check 直接執行 application process。B先採用 EC2 Auto Scaling group 搭配 ALB，使用 launch template 管理 OS、agent 和部署流程。C立即改寫成純 Lambda，因為所有 Java monolith 都可以無狀態且 15 分鐘內完成。D把 Java application binary 放到 S3 Glacier，讓使用者下載後本機執行。

M1-Q50

一家公司有 on-premises application 需要繼續用 NFS 存取檔案，但資料希望逐步移到 AWS 並降低本地儲存容量。應用短期內不能大改。

A使用 CloudFront 作為 NFS server，讓本地機房 mount edge location。B將資料寫入 CloudTrail，讓 CloudTrail 自動同步成 file share。C部署 AWS Storage Gateway File Gateway，讓 on-premises application 透過 NFS/SMB 使用 cloud-backed storage。D直接要求應用改用 DynamoDB API，並在一天內移除所有 NFS path。

M1-Q51

一個應用使用 DynamoDB，但讀取熱門商品資料時 latency 仍偏高且重複讀取很多。資料可以接受短時間 stale，團隊希望降低 table read pressure。

A啟用 RDS Multi-AZ，讓 DynamoDB table 自動取得 standby。B使用 S3 Cross-Region Replication 加速 DynamoDB item read。C把所有查詢改成 table scan，避免使用 partition key。D在 DynamoDB 前使用 DAX 或應用層快取，降低重複讀取 latency 和 read capacity 壓力。

M1-Q52

一家跨國公司使用多個帳號和多個 VPC，還有本地機房需要共享 DNS resolution。團隊希望內部服務名稱可在 VPC 和 on-premises 之間解析。

A使用 Route 53 Resolver inbound / outbound endpoints 與 forwarding rules，整合 VPC 和 on-premises DNS。B使用 S3 bucket policy 當作 DNS resolver，依 object key 回傳 IP。C在每台 EC2 / server 手動編輯 hosts file，作為長期企業 DNS 解法。D使用 NAT Gateway 自動同步所有 DNS zones。

M1-Q53

一個 S3 data lake 的 access pattern 不明確，部分資料常讀，部分資料長期不用。團隊不想手動分類每個 prefix，但希望自動降低 storage cost。

A把資料放到 EBS io2，因為 block storage 比 object storage 更便宜。B使用 S3 Intelligent-Tiering，必要時搭配 Lifecycle 將明確冷資料轉入 archive tiers。C固定使用 S3 Standard，因為所有未知 access pattern 都不能做任何成本優化。D立即全部轉入 Deep Archive，即使 ETL 可能隔天要讀取。

M1-Q54多選題

一家公司需要在多帳號環境中持續檢查資源設定是否符合政策，例如 S3 bucket 不可公開、EBS 必須加密、Security Group 不可開放危險 port。哪些做法最符合這些需求？（選兩個）

A同時加入最小權限 IAM role、CloudWatch / CloudTrail 觀測或告警，以及必要的加密控制，讓方案符合安全與營運要求。B只使用 CloudWatch CPUUtilization，因為 CPU 指標可以判斷所有安全設定。C使用 SQS FIFO 保證 Security Group rule 永遠合規。D把所有設定匯出到個人試算表，每季手動檢查一次作為即時治理。E使用 AWS Config rules 和 Security Hub 彙總合規狀態，必要時透過 EventBridge 觸發修復。

請先選擇至少一個選項。

M1-Q55

一個 Lambda function 需要解密 KMS 加密的 S3 物件，並把結果寫入 DynamoDB。安全團隊要求精準限制 function 可以使用的 key 和 table。

A給 Lambda AdministratorAccess，因為 serverless function 通常不需要最小權限。B把 KMS key policy 設成允許所有 principals decrypt，避免權限錯誤。C將 DynamoDB table 改成 public endpoint，讓 Lambda 不需要 IAM。D為 Lambda execution role 授予特定 S3 object、KMS decrypt 和 DynamoDB table write 權限，並在 key policy 允許該 role 使用。

M1-Q56

一個線上交易系統需要低延遲 API、交易資料持久化、非同步通知和完整稽核。系統必須跨 AZ 高可用，且任何一個通知服務故障不能阻塞交易提交。

A使用 ALB / API Gateway 入口，後端服務跨 AZ，交易寫入 RDS Multi-AZ 或 DynamoDB，通知透過 SQS / SNS 非同步處理，CloudTrail / logs 做稽核。B讓 API 同步等待所有 email、SMS 和報表服務完成，任一服務 timeout 就 rollback 交易。C將交易資料只寫入 CloudWatch Logs，並把 logs 當作唯一 database。D把所有服務放在單一 AZ 的單一 EC2，降低跨 AZ 網路費用作為最高優先級。

M1-Q57

一家遊戲公司有全球玩家下載 patch 檔案，檔案在發布後前 24 小時流量最高。安全團隊要求檔案不能直接由公開 S3 URL 下載，營運團隊希望 origin 不被尖峰流量打爆。

A把 patch 檔案寫入 DynamoDB item，玩家每次下載時掃描整張 table。B使用 CloudFront 快取 S3 patch 檔案，限制 bucket 僅允許 CloudFront origin access，並設定合適 TTL。C使用單一 EC2 instance 掛載 EBS 儲存 patch，所有玩家直接從該 instance 下載。D開啟 S3 public access，並用 Security Group 限制玩家來源 IP。

M1-Q58

某企業採用 hub-and-spoke network，多個業務 VPC 需要連到共同的 inspection VPC 與 on-premises network。團隊希望避免大量 peering mesh，並集中管理路由。

A在每個 VPC 建 NAT Gateway，讓所有私有流量經 NAT Gateway 在 VPC 間互通。B使用 CloudFront 連接所有 VPC，因為 CDN 可以替代 private routing。C使用 Transit Gateway 連接多個 VPC 和 VPN / Direct Connect attachment，透過 route tables 控制流量路徑。D為每一對 VPC 建 VPC Peering，並依靠 peering 自動轉送第三方 VPC 流量。

M1-Q59

一個內部報表系統使用 RDS，月底查詢會拖慢線上交易。公司希望將分析型查詢移出 OLTP database，並保留生產資料庫處理交易。

A將所有 OLTP transaction 改寫成 Athena 查詢，直接更新 S3 物件。B把 RDS Multi-AZ standby 開放給報表查詢使用。C把報表查詢全部送到 NAT Gateway，讓 NAT Gateway 代替資料庫執行 aggregation。D將資料匯入 Amazon Redshift 或資料湖分析平台，讓 BI 查詢在分析系統上執行。

M1-Q60多選題

一家公司要處理 IoT 裝置每秒送來的大量 telemetry，需要即時分析、短期保留串流資料，並將結果落到 S3 供後續分析。哪些做法最符合這些需求？（選兩個）

A使用 Kinesis Data Streams 或 Amazon MSK 攝取串流，消費者即時處理，再用 Firehose 或 consumer 將資料寫入 S3。B同時加入最小權限 IAM role、CloudWatch / CloudTrail 觀測或告警，以及必要的加密控制，讓方案符合安全與營運要求。C讓每個 IoT 裝置直接對 RDS 執行 insert，並在尖峰時手動增加 database connections。D使用 SQS FIFO 作為高吞吐 telemetry 串流平台，並要求所有訊息永久保留。E把 telemetry 寫入 CloudTrail，因為 CloudTrail 會記錄所有應用事件 payload。

請先選擇至少一個選項。

M1-Q61

一家公司使用 Amazon Aurora PostgreSQL 支援全球讀取。主要寫入在美國，歐洲使用者需要低延遲讀取，且公司希望 Region failure 時有更快的 database recovery path。

A使用 FSx for Windows File Server 複製 database transaction log。B使用 Aurora Global Database，在次要 Region 提供低延遲讀取並支援災難恢復。C使用 EBS snapshot 每 24 小時複製一次，並讓歐洲使用者查詢美國 primary。D使用 DAX 加速 PostgreSQL 查詢，並讓 DAX 跨 Region 寫入 Aurora。

M1-Q62

安全團隊希望偵測帳號中可疑 API 行為、異常資料存取和可能被盜用的 IAM credentials，並把 findings 匯總到中央安全帳號。

A使用 AWS Backup plan 當作威脅偵測工具。B把所有 IAM users 改名，讓攻擊者無法猜到帳號身份。C啟用 GuardDuty 偵測威脅，搭配 Security Hub 匯總 findings，並用 EventBridge 觸發回應流程。D只啟用 Cost Explorer，因為帳單上升一定能完整指出被盜用的 IAM principal。

M1-Q63

一個 Kubernetes 團隊已經有 Helm、operator 和 admission controller 流程。公司希望在 AWS 上使用 managed control plane，但 worker capacity 仍要能與 VPC、IAM 和 ALB 整合。

A使用 ECS task definition 直接套用 Kubernetes manifest，因為 ECS 原生支援所有 Kubernetes API。B只使用 EC2 user data 手動安裝單節點 Kubernetes，並把 control plane 放在 instance store。C使用 CloudFormation stack set 作為 container orchestrator。D使用 Amazon EKS，搭配 managed node groups 或 Fargate profiles，並整合 IAM roles for service accounts 與 ALB controller。

M1-Q64

一個 S3 bucket 保存法規資料，要求 retention period 內不可刪除或覆寫。資料團隊也想保留 object version 以復原誤操作。

A啟用 S3 Versioning 和 S3 Object Lock，並設定合適 retention mode 滿足 WORM 要求。B只設定 S3 lifecycle expiration，讓資料在 retention period 內自動刪除。C關閉 versioning 以節省成本，並依靠人工流程避免刪除。D使用 Transfer Acceleration，因為它會防止物件被覆寫。

M1-Q65

一家公司需要 SQL transaction、外鍵約束和 PostgreSQL 相容性，但流量不規律，尖峰和低谷差距很大。團隊希望降低容量管理負擔。

A使用 ElastiCache Redis 作為唯一 system of record。B使用 Amazon Aurora PostgreSQL 或 Aurora Serverless v2，依需求選擇可擴展容量模式。C使用 DynamoDB，因為所有 ACID relational schema 都應改成單一 key-value table。D使用 Redshift 作為 OLTP primary database，讓每筆交易都走 columnar warehouse。

AWS SAA-C03 Scenario Practice 01 ​

AWS SAA-C03 Scenario Practice 01