13 - AWS SAA-C03 速查表（Cheatsheet）
考试信息
- 65 道题
- 单选题 / 多选题
- 130 分钟
- 通过分数：720 / 1000
- 考试方式：Pearson VUE 考场或线上监考
- 费用：150 USD，实际价格可能受税费和汇率影响
官方资料：
一页心智模型
text
需求
↓
架构限制
↓
服务类别
↓
最适合的 AWS 服务
↓
取舍：安全 / 韧性 / 性能 / 成本SAA-C03 的核心不是背服务名称，而是：
text
看到场景限制
判断是哪一种架构问题
选择最符合限制、副作用最少、托管程度最高的方案考试领域
| 考试领域 | 比重 | 判断方式 |
|---|---|---|
| Design Secure Architectures | 30% | 身份、权限、加密、私网、审计 |
| Design Resilient Architectures | 26% | Multi-AZ、故障转移、备份、解耦 |
| Design High-Performing Architectures | 24% | 延迟、吞吐量、缓存、读取扩展 |
| Design Cost-Optimized Architectures | 20% | 规格优化、计费模式、存储类别、数据传输 |
服务选型地图
| 问题 | 优先检查的服务 |
|---|---|
| 用户入口 / DNS | Route 53 |
| 全球静态内容 / CDN | CloudFront |
| 全球 TCP / UDP 加速 | Global Accelerator |
| 公网 HTTP 路由 | ALB |
| 低延迟 TCP / 固定 IP 负载均衡 | NLB |
| 私有网络边界 | VPC、子网、路由表 |
| 私有子网出站访问公网 | NAT Gateway |
| 私网访问 S3 / DynamoDB | Gateway VPC Endpoint |
| 私网访问 AWS 服务 | Interface VPC Endpoint |
| 跨 VPC 私有暴露服务 | PrivateLink |
| 多 VPC / 中心辐射 | Transit Gateway |
| 本地机房加密连接 | Site-to-Site VPN |
| 专线连接 | Direct Connect |
计算
| 需求 | 最适合的服务 |
|---|---|
| 完整操作系统控制、直接迁移 | EC2 |
| EC2 集群自动扩缩容 | Auto Scaling Group |
| HTTP 流量路由到目标 | ALB |
| 容器，但不想管理 EC2 | ECS on Fargate |
| 既有 Kubernetes 生态 | EKS |
| 事件驱动短任务 | Lambda |
| 托管应用部署平台 | Elastic Beanstalk |
| 批处理任务 | AWS Batch |
快速判断：
text
需要操作系统控制 → EC2
需要容器且不管理服务器 → Fargate
事件驱动、短时间执行 → Lambda
需要 Kubernetes → EKS存储
| 需求 | 最适合的服务 |
|---|---|
| 对象存储 | S3 |
| EC2 块存储 | EBS |
| 共享 Linux 文件系统 | EFS |
| Windows SMB 文件共享 | FSx for Windows File Server |
| 高性能计算文件系统 | FSx for Lustre |
| 混合本地机房存储 | Storage Gateway |
| 大量数据迁移 | DataSync |
| 集中备份 | AWS Backup |
S3 存储类别速查：
| 场景 | 存储类别 |
|---|---|
| 高频访问 | S3 Standard |
| 访问模式未知 | S3 Intelligent-Tiering |
| 低频访问但要快速取回 | S3 Standard-IA |
| 单 AZ、可重建数据 | S3 One Zone-IA |
| 归档 | S3 Glacier |
| 深度归档、最低成本 | S3 Glacier Deep Archive |
数据库
| 需求 | 最适合的服务 |
|---|---|
| 托管关系型数据库 | RDS |
| 更高性能的 MySQL / PostgreSQL 兼容数据库 | Aurora |
| 无服务器关系型工作负载 | Aurora Serverless v2 |
| 键值 / 文档 NoSQL | DynamoDB |
| 多区域双活 NoSQL | DynamoDB Global Tables |
| DynamoDB 微秒级读取 | DAX |
| Redis / Memcached 缓存 | ElastiCache |
| 数据仓库 | Redshift |
| 图关系 | Neptune |
| 时间序列数据 | Timestream |
快速判断：
text
SQL + 托管 → RDS / Aurora
NoSQL + 大规模扩展 → DynamoDB
缓存重复读取 → ElastiCache / DAX
分析型数据仓库 → Redshift
图遍历 → Neptune整合
| 需求 | 最适合的服务 |
|---|---|
| 队列 / 缓冲 / 解耦 | SQS |
| 扇出到多个订阅者 | SNS |
| 事件路由 / SaaS 整合 | EventBridge |
| 多步骤工作流 | Step Functions |
| API 入口 | API Gateway |
| 实时流式数据摄取 | Kinesis Data Streams |
| 把流式数据送到 S3 / Redshift / OpenSearch | Kinesis Data Firehose |
| 托管消息代理 | Amazon MQ |
判断捷径：
text
一个生产者 → 一组工作节点：SQS
一个事件 → 多个订阅者：SNS
事件过滤 / 路由：EventBridge
编排 / 状态机：Step Functions
流式数据：Kinesis安全
| 需求 | 最适合的服务 |
|---|---|
| 人 / 工作负载权限 | IAM |
| 临时角色切换 | STS |
| 多账号治理 | Organizations |
| 登陆区 | Control Tower |
| 集中身份访问 | IAM Identity Center |
| 加密密钥管理 | KMS |
| 密钥轮替 | Secrets Manager |
| TLS 证书 | ACM |
| 第七层 Web 防护 | AWS WAF |
| DDoS 防护 | Shield |
| 威胁侦测 | GuardDuty |
| 漏洞扫描 | Inspector |
| S3 敏感数据发现 | Macie |
| 审计日志 | CloudTrail |
| 配置合规 | Config |
| 安全态势汇总 | Security Hub |
安全题默认答案模式：
text
最小权限
用 IAM 角色，不用长期访问密钥
静态加密与传输加密
能走私有子网 / VPC endpoint 就不要走公网
用 CloudTrail / Config 做审计和合规韧性 / 灾难恢复
| 需求 | 最适合的模式 |
|---|---|
| 实例故障自动恢复 | Auto Scaling Group |
| 可用区故障容忍 | Multi-AZ |
| 关系型数据库备用节点 | RDS Multi-AZ |
| 跨区域读取 / 灾难恢复 | Read replica / Aurora Global Database |
| NoSQL 多区域双活 | DynamoDB Global Tables |
| DNS 故障转移 | Route 53 health checks |
| 缓冲突发流量 | SQS |
| 最低成本灾难恢复 | Backup and Restore |
| 核心基础设施先准备好，应用之后扩容 | Pilot Light |
| 缩小版但可运行的灾难恢复环境 | Warm Standby |
| 多区域双活 | Multi-site active-active |
灾难恢复成本与 RTO 顺序：
text
Backup and Restore
↓
Pilot Light
↓
Warm Standby
↓
Multi-site Active-Active性能
| 症状 | 优先检查的服务 / 模式 |
|---|---|
| 全球静态内容延迟 | CloudFront |
| 全球 TCP / UDP 延迟 | Global Accelerator |
| 重复数据库读取 | ElastiCache |
| DynamoDB 微秒级读取 | DAX |
| RDS 读取压力 | Read replica |
| NoSQL 高读写扩展 | DynamoDB |
| S3 大文件上传 | S3 Transfer Acceleration / multipart upload |
| EC2 瓶颈 | 实例族 / EBS 类型 / Auto Scaling |
| Lambda 节流 | Concurrency setting |
成本
| 场景 | 成本答案 |
|---|---|
| 可变 EC2 用量 | On-Demand |
| 稳定计算承诺 | Savings Plans |
| 稳定 RDS 用量 | Reserved Instances |
| 可容忍中断的任务 | Spot Instances |
| S3 访问模式未知 | S3 Intelligent-Tiering |
| 低频访问 | S3 Standard-IA |
| 归档 | Glacier |
| VPC 内私网访问 S3 / DynamoDB | Gateway VPC Endpoint |
| 找浪费 / 规格优化 | Cost Explorer / Compute Optimizer |
| 预算告警 | AWS Budgets |
成本陷阱：
- NAT Gateway 处理 S3 / DynamoDB 流量可能很贵。
- 跨 AZ 和跨区域数据传输可能影响成本。
- 最低计算单价不一定等于最低总架构成本。
- 工作负载不能中断时，不该选 Spot。
容易混淆的概念
CloudFront 与 Global Accelerator
text
CloudFront:
HTTP / HTTPS CDN、缓存、边缘分发。
Global Accelerator:
TCP / UDP 加速、静态 Anycast IP，不以缓存为前提。SQS、SNS 与 EventBridge
text
SQS:
排队和缓冲工作。
SNS:
把通知扇出到多个订阅者。
EventBridge:
事件总线、过滤、路由、SaaS / AWS 服务整合。Security Group 与 NACL
text
Security Group:
有状态、允许规则、实例 / ENI 层级。
NACL:
无状态、允许和拒绝、子网层级。VPC Peering、Transit Gateway 与 PrivateLink
text
VPC Peering:
两个 VPC 直接互通，不支持传递路由。
Transit Gateway:
多个 VPC / VPN / Direct Connect 的中心辐射。
PrivateLink:
私有方式暴露一个服务，不是完整网络互通。RDS Multi-AZ 与 Read Replica
text
RDS Multi-AZ:
高可用 / 故障转移。
Read Replica:
读取扩展或跨区域读取 / 灾难恢复。最后 10 分钟复习
- 公网 Web 入口：Route 53 + ALB / CloudFront。
- 私有子网出站访问公网：NAT Gateway。
- VPC 内私网访问 S3 / DynamoDB：Gateway VPC Endpoint。
- 最小权限：IAM role，不要长期访问密钥。
- 密钥轮替：Secrets Manager。
- 加密密钥：KMS。
- 队列 / 缓冲：SQS。
- 扇出：SNS。
- 事件路由：EventBridge。
- 多步骤工作流：Step Functions。
- 关系型数据库高可用：RDS Multi-AZ。
- NoSQL 扩展：DynamoDB。
- 读取压力大：只读副本或缓存。
- 全球静态内容延迟：CloudFront。
- 最低成本灾难恢复：Backup and Restore。
- 稳定计算折扣：Savings Plans。
- 可中断批处理：Spot Instances。
- S3 访问模式未知：Intelligent-Tiering。