AWS SAA-C03 情景练习 01

M1-Q01

一家零售公司运营全球电商网站，静态图片放在 S3，动态 API 跑在多个 AZ 的 ALB 后方。最近促销期间亚洲和欧洲用户抱怨页面加载很慢，安全团队同时要求防范常见 Web 攻击，且不得让用户直接绕过 CDN 访问 S3 origin。

A把静态内容移到 RDS，并在 EC2 上自行编写反向代理缓存逻辑。B使用 CloudFront 作为入口，S3 origin 配合 Origin Access Control，ALB origin 前加 AWS WAF 规则。C只把 ALB 换成 NLB，让所有流量直接打到后端 instance，S3 bucket 维持公开读取。D在每个 Region 建一个完整网站并用手动 DNS 切换，S3 bucket 全部开 public read。

M1-Q02

一个数据处理集群位于 private subnets，每天会大量读写同一 Region 的 S3 bucket。流量目前经过 NAT Gateway，账单显示 NAT data processing cost 快速上升。安全团队也要求数据流量不要经过 public internet。

A增加更多 NAT Gateway 分散流量，因为 NAT Gateway 数量增加会消除 data processing charge。B把 S3 bucket 复制到 EBS volume，并在每台 EC2 上手动同步文件。C建立 Gateway VPC Endpoint for S3，更新 private subnet route tables，并用 endpoint policy 限制可访问的 bucket。D为每台 EC2 加 public IP，直接通过 Internet Gateway 访问 S3，然后用 NACL 限制 inbound。

M1-Q03

一家公司维护可搜索商品库，数据存放在 Amazon RDS for MySQL，table 超过 1,000 万列，数据库使用 2 TB General Purpose SSD。每天有数百万次更新，部分 insert 操作开始超过 10 秒。公司判定瓶颈在 storage performance。

A将 DB instance 改成 memory optimized class，因为监控结果已确认瓶颈是 storage I/O。B启用 Multi-AZ read replica，让 MySQL native asynchronous replication 加速所有 insert。C把数据导出到 S3 Glacier Deep Archive，让 RDS table 变小并改善即时写入。D将 RDS storage 改成 Provisioned IOPS SSD，并依写入需求配置足够 IOPS。

M1-Q04

一家电商在促销期间订单 API 流量突然暴增。前端必須快速回应用户，库存扣减和发邮件可以异步处理，但任何订单都不能丢失，且 worker 需要水平扩展。

AAPI 将订单消息写入 SQS queue，后端 worker fleet 从 queue 取出处理，并使用 DLQ 捕获失败消息。BAPI 直接同步调用所有下游服务，若其中一个服务 timeout 就让用户重新送出订单。C使用 SNS topic 取代 queue，并假設每个 subscriber 都只会处理一次且不需重試。D将所有订单写入 CloudWatch Logs，worker 定期扫描 log text 当作交易来源。

M1-Q05

一家公司运营关键订单系統，目前部署在单一 Region 的多个 AZ。业务要求 Region failure 时能在数分钟内恢复，且愿意支付较高成本维持第二个 Region 的缩小版环境持续运行。

A使用 S3 One Zone-IA 保存所有数据，因为单 AZ storage 最適合跨 Region DR。B采用 Warm Standby，在第二 Region 维持可运行的缩小版 stack，数据持续复制，故障时扩容并切换 Route 53。C采用 Backup and Restore，只有每日 snapshot，Region failure 时再从零建立所有网络和应用。D只启用单一 Region Multi-AZ，因为 Multi-AZ 可以自动承受整个 Region failure。

M1-Q06多选题

一家公司有多个 AWS accounts。安全团队要求集中记录所有账号的 API 活动，防止普通管理员修改审计日志，并能在事件后查询谁改动了资源。哪些做法最符合这些需求？（选两个）

A把 CloudWatch dashboard 分享给所有人，作为唯一不可篡改审计记录。B建立 organization trail 的 CloudTrail，将 logs 写入集中 logging account 的 S3 bucket，启用 bucket policy、SSE-KMS 和 Object Lock。C同时加入最小权限 IAM role、CloudWatch / CloudTrail 观测或告警，以及必要的加密控制，让方案符合安全与运营要求。D在每个 account 手动下载 console history，并存到管理员个人电脑。E只开启 VPC Flow Logs，因为 Flow Logs 会记录所有 IAM API call request body。

请先选择至少一个选项。

M1-Q07

一家公司有 containerized web service，目前跑在 EC2 上，团队不想管理 EC2 capacity，但仍希望依 HTTP traffic 自动扩缩容，并将 tasks 放在 private subnets。

A使用单一 EC2 instance 跑 Docker，并在流量高时手动 SSH 启动更多 containers。B使用 Lambda layer 執行长时間常駐 web server，并把所有 request 存在 /tmp。C使用 S3 static website hosting 直接執行 container image。D使用 ECS on Fargate，服务放在 private subnets，由 ALB 导流并設定 target tracking auto scaling。

M1-Q08

一家媒体公司保存大量原始视频。视频上传后 30 天内常被剪辑，90 天后很少读取，但偶尔需要在几分钟内取回。公司希望自动降低 storage cost，并保留数据耐久性。

A使用 S3 Lifecycle 将物件从 S3 Standard 转到 Standard-IA 或 Glacier Instant Retrieval，依取回时間需求設定转层规则。B立即将所有物件转到 Glacier Deep Archive，即使剪辑团队隔天可能需要使用。C使用 EBS gp3 volume 保存所有视频，并手动在 EC2 間复制。D使用 instance store 保存原始视频，因为本机磁碟成本最低且具高耐久性。

M1-Q09

一个购物车服务需要低延迟 key-value 访问，流量高峰高，数据模型可以用 partition key 和 sort key 表示。团队不想管理 server，并希望自动扩展。

A使用 S3 Glacier Deep Archive，每次读购物车时先 restore object。B使用 DynamoDB，设计合适 partition key，配合 on-demand capacity 或 auto scaling。C使用 RDS single instance，并把每个购物车 item 存成大型 JSON blob 且不加索引。D使用 Redshift 作为线上购物车交易数据库。

M1-Q10

一家企业要把本地机房数据中心連到 AWS VPC。网络需求长期稳定、流量大，且需要比 VPN 更一致的 latency。初期仍希望保留加密通道作为备援。

A使用 CloudFront 連接数据中心与 VPC，因为 CDN 提供 private routing。B使用 S3 Transfer Acceleration 作为所有 TCP 应用的混合网络连接。C使用 AWS Direct Connect 作为主要连接，并保留 Site-to-Site VPN 作为备援或加密通道。D只使用 Internet Gateway，让本地机房伺服器直接加入 VPC private subnet。

M1-Q11

一个生产系統的 EC2 使用量长期稳定，高峰会由 Auto Scaling 暫时補容量。公司希望降低基准 compute cost，但不想对短期高峰过度承诺。

A对最大高峰容量購买三年承诺，因为所有 Auto Scaling 容量都应固定購买。B只使用 Spot Instances 承载不可中断 production baseline。C关闭 Auto Scaling 并固定最大 instance 数，避免成本变动。D分析基准用量后購买 Savings Plans 或 Reserved Instances，高峰容量保留 On-Demand 或 Spot 视可中断性使用。

M1-Q12多选题

一个微服务平台使用 ECS、ALB、RDS 和 SQS。运营团队需要在 error rate 上升或 queue backlog 过高时自动通知 on-call，并保留 logs 供 incident investigation。哪些做法最符合这些需求？（选两个）

A使用 IAM password policy 觸發 on-call 通知。B将所有 logs 写入 instance store，instance replacement 后再手动复原。C使用 CloudWatch Metrics / Logs / Alarms 监控 ALB 5xx、ECS 指标和 SQS ApproximateAgeOfOldestMessage，通过 SNS 通知。D同时加入最小权限 IAM role、CloudWatch / CloudTrail 观测或告警，以及必要的加密控制，让方案符合安全与运营要求。E只依靠用户投诉判断 incident，因为 AWS managed services 不需要监控。

请先选择至少一个选项。

M1-Q13

一家公司有上百名工程师需要依职责访问多个 AWS accounts。公司使用企业 IdP，希望集中管理登录、群组和短期凭证，避免建立大量 IAM users。

A使用 Security Group 管理 console login permissions。B使用 IAM Identity Center 整合企业 IdP，将 permission sets 分配到 accounts，使用短期 role credentials。C为每位工程师在每个 account 建 IAM user，并把 long-term access key 寄给本人保存。D共用 root user credentials，并用 spreadsheet 记录谁使用过。

M1-Q14

一个行动 App 后端需要 HTTPS API、用户身份验证、短时间 compute、NoSQL 存储和事件通知。团队希望完全 managed，并能依流量自动扩展。

A使用 S3 static website hosting 接收所有 POST transaction 并直接更新 object metadata。B使用 Redshift 作为登录服务和即时 API runtime。C使用 API Gateway、Cognito、Lambda、DynamoDB 和 EventBridge / SNS 组合，依权限和事件需求整合。D使用单一 EC2 instance 同时跑 API、database、identity provider 和 message broker。

M1-Q15

一家公司提供视频教学平台，用户分布在北美、欧洲和亚太地区。视频片段存放在 S3，登录后会调用区域 API。公司希望降低下载延迟、保护 origin，并保留 API 的私有子网设计。

A将所有视频复制到每台 EC2 instance 的 EBS volume，让用户直接連到最近的 instance。B使用 Route 53 latency routing 直接返回 S3 bucket website endpoint，并让 bucket 公开。C改用 Site-to-Site VPN 让全球用户先连入 VPC，再从 private subnet 下载视频。D将视频通过 CloudFront 分发，S3 使用 Origin Access Control，API 保持 ALB 到 private subnet targets。

M1-Q16

一家金融公司把批处理报表 EC2 放在 private subnet。报表要读 DynamoDB table 与 S3 历史档，但不能使用 public IP。公司希望最小化 NAT 成本并保留 IAM 控制。

A对 S3 与 DynamoDB 使用 Gateway VPC Endpoints，配合 IAM role 和 endpoint policy 控制访问範圍。B建立 bastion host，让批处理 EC2 通过 SSH tunnel 访问所有 AWS 服务。C把 private subnet 改成 public subnet，让 EC2 直接連到 public DynamoDB endpoint。D使用 Direct Connect，因为 VPC 内 EC2 访问同 Region AWS 服务一定需要专线。

M1-Q17

一个訂票系統使用 RDS PostgreSQL，读取流量在活动开售时暴增，但写入量相对稳定。公司希望降低 primary DB CPU 压力，查询可以接受短暫 replication lag。

A将所有用户查询排入 SQS，让 primary DB 同步处理每一个读取请求。B建立 RDS read replicas，将读取查询导向 replicas，写入仍走 primary DB。C启用 Multi-AZ，并把应用读取流量导向 standby instance。D改用 S3 Standard-IA 存储查询結果，让应用直接对物件執行 SQL transaction。

M1-Q18多选题

一个图片处理平台接收用户上传到 S3 的文件。系統要自动产生缩略图、写入 DynamoDB metadata，并在失败时可以重試。高峰时上传量很高。哪些做法最符合这些需求？（选两个）

A让用户上传后等待同步处理完成，再由前端轮询 EC2 instance local disk。B把图片存入 RDS BLOB 欄位，并让 database trigger 调用外部缩略图服务。C使用 CloudFront invalidation 作为图片处理佇列，让 edge location 執行缩略图。D用 S3 event 觸發 SQS，Lambda 或 ECS workers 从 SQS 处理图片，metadata 写入 DynamoDB 并設定 DLQ。E同时加入最小权限 IAM role、CloudWatch / CloudTrail 观测或告警，以及必要的加密控制，让方案符合安全与运营要求。

请先选择至少一个选项。

M1-Q19

一家新創公司的内部系統可以接受数小时 RTO，平时流量低，DR 成本必須最低。团队只需要在災難时能还原数据并重建基礎設施。

A维持 Multi-site active-active，让两个 Region 永遠承载完整 production traffic。B在每个 AZ 都维持一组闲置 EC2 fleet，并每分钟做完整 database restore。C只依靠 Auto Scaling，因为 Auto Scaling 可以跨 Region 自动重建所有数据。D使用 Backup and Restore，定期备份数据与基礎設施模板，災難时在目标 Region 还原。

M1-Q20

一个应用需要读取 database password。公司禁止在代码和 AMI 中存放明文 secret，并要求定期轮换，同时 EC2 / Lambda 必須使用短期凭证访问。

A将 password 放在 Secrets Manager，启用 rotation，workload 通过 IAM role 取得必要权限读取 secret。B把 password 写入 user data，并用 security group 限制谁可以 SSH 到 instance。C把 secret 放在 public S3 bucket，因为 bucket name 不公开就足够安全。D建立 IAM user long-term access key 给应用，并把 key 写在 source code。

M1-Q21

一个 API 每天只有零星请求，但高峰时会短时间衝高。公司希望不管理 server，并只为实际请求和执行时间付费。API 需要授权、限流和观测。

A使用 EFS access point 作为 HTTP API runtime。B使用 API Gateway 配合 Lambda，設定 authorizer、throttling、CloudWatch Logs 和必要的 IAM permissions。C使用固定大小的 EC2 fleet 长期執行，即使沒有请求也保持最大容量。D使用 RDS stored procedure 直接暴露 public endpoint 给用户调用。

M1-Q22

一家公司需要 Windows 文件共享，应用使用 SMB protocol，并且要整合 Active Directory 权限。工作负载需要 managed file system，而不是自行维护 file server。

A使用 S3 Glacier 作为 SMB file share，让 Windows client 直接 mount archive。B使用 DynamoDB table 存储每个文件 block 并模拟 SMB。C使用 FSx for Windows File Server，整合 Active Directory 并提供 managed SMB file share。D使用 EFS，因为 EFS 原生提供 Windows SMB 和 NTFS ACL。

M1-Q23

一家公司需要存储用户社交关系，查询常常是找朋友的朋友、共同关系和最短路径。数据之間的 connected relationship 是主要查询模式。

A使用 S3 lifecycle rule 查询共同好友。B使用 ElastiCache 作为唯一持久 graph database。C使用 CloudWatch Metrics 存储每一條社交关系。D使用 Amazon Neptune 存储 graph data，支援 graph traversal 查询。

M1-Q24多选题

一家公司要将数百 TB 的本地文件移到 S3，网络频宽有限，通过网络传输会花太久。数据需要安全运送并汇入 AWS。哪些做法最符合这些需求？（选两个）

A同时加入最小权限 IAM role、CloudWatch / CloudTrail 观测或告警，以及必要的加密控制，让方案符合安全与运营要求。B使用单一 VPN tunnel 传输所有数据，且不做任何压缩或分批。C把硬碟寄给用户个人住址，再手动上传到 public S3 bucket。D使用 Route 53 health check 复制本地文件。E使用 AWS Snowball Edge 进行离线大量数据遷移，汇入 S3 后再用 DataSync 处理增量同步。

请先选择至少一个选项。

M1-Q25

一组 private subnet EC2 大量下载 S3 物件，NAT Gateway 成本明显高于預期。公司希望维持 private subnet，不增加公网暴露。

A把 S3 改成 RDS，因为 database traffic 不会产生成本。B建立 S3 Gateway VPC Endpoint 并更新 route table，让 S3 流量不再经过 NAT Gateway。C将所有 EC2 移到 public subnet，并开放 SSH 供维运。D增加 NAT Gateway 数量，让同樣流量分散后不收费。

M1-Q26

一家公司需要追踪 application request 在 API Gateway、Lambda、DynamoDB 之間的 latency，并找出哪个下游服务造成 timeout。

A使用 S3 Object Lock 追踪 Lambda invocation path。B使用 Route 53 DNS logs 取代 application tracing。C使用 AWS X-Ray 或分散式 tracing，配合 CloudWatch Logs 和 metrics 分析 request path。D只查看 monthly bill，因为成本上升能精准指出每个 request 的 latency。

M1-Q27

一个 EC2 application 需要读 S3 bucket 和写 CloudWatch Logs。安全团队要求不使用 long-term access keys，权限必須最小化且可轮换。

A在 AMI 中硬編码 IAM user access key，并每年手动更换。B把 S3 bucket 設成 public read/write，让应用不需要 AWS credentials。C使用 KMS key alias 当作 application access key。D建立 IAM role for EC2 instance profile，只授予必要 S3 和 CloudWatch Logs permissions。

M1-Q28

一家公司要建立图像上传服务。用户上传后需扫描惡意内容、产生缩略图、保存 metadata，并通过 CDN 提供下载。所有处理都要可重試。

A使用 S3 upload、EventBridge / SQS、Lambda 或 ECS workers、DynamoDB metadata、CloudFront delivery 和 DLQ。B让前端 browser 直接連到 RDS 存储图片 binary，再由 RDS 对外提供 CDN。C把所有图片放在 EC2 instance store，然后使用 Auto Scaling 保留原档。D使用 Route 53 weighted records 執行缩略图与惡意内容扫描。

M1-Q29

一家新聞网站有大量匿名读取流量，后端 CMS 只在单一 Region 更新内容，内容同步到 S3。公司要求全球读取低延迟、降低 S3 request 压力，并能封鎖特定國家与惡意 HTTP pattern。

A只增加 RDS read replica，因为 CDN 延迟主要由数据库读取造成。B使用 CloudFront 缓存 S3 内容，在 distribution 加 AWS WAF web ACL 与 geo match 规则。C使用 NAT Gateway 缓存所有 S3 物件，并在 route table 对不同國家設定路由。D把 S3 改成 EFS，让 CloudFront 直接挂载 NFS path 读取内容。

M1-Q30多选题

一个 Lambda function 連到 VPC 内的 RDS，同时需要调用 Secrets Manager 和 CloudWatch Logs。安全团队不希望 function 流量经过 NAT Gateway，并要求访问 AWS 服务时留在私有路径。哪些做法最符合这些需求？（选两个）

A为 Secrets Manager 和 CloudWatch Logs 建 Interface VPC Endpoints，Lambda 使用私有子网和最小权限 execution role。B同时加入最小权限 IAM role、CloudWatch / CloudTrail 观测或告警，以及必要的加密控制，让方案符合安全与运营要求。C给 Lambda function 分配 Elastic IP，让它直接从 Internet Gateway 调用 AWS public endpoints。D建立 Gateway VPC Endpoint for Secrets Manager，因为所有 AWS 服务都使用 Gateway endpoint。E把 RDS 暴露到 public subnet，让 Lambda 不需要 VPC networking。

请先选择至少一个选项。

M1-Q31

一家医疗平台的 RDS database 必須在 AZ failure 时自动故障转移，应用不可手动改 connection string。读取扩展不是主要需求，RPO 要尽量低。

A建立 read replica，并在 AZ failure 时手动 promote replica 作为唯一高可用方案。B每天建立 DB snapshot，故障时从 snapshot 还原到新 AZ。C把数据库放在 EC2 instance store，让 Auto Scaling replacement 自动保留数据。D启用 RDS Multi-AZ deployment，让 AWS 同步复制到 standby 并在故障时自动 failover。

M1-Q32

一家 SaaS 公司需要将账单事件同时送到发邮件服务、数据仓储和风控服务。各消费方处理速度不同，新增消费方时不希望修改 producer。

A使用 EventBridge event bus 或 SNS fan-out，让不同 consumer 通过 rule / subscription 接收事件并各自处理。B让 producer 按顺序同步调用每个 consumer API，任何一个 consumer 失败就 rollback 所有事件。C将事件只写入单一 EC2 instance 的内存 queue，所有 consumer 都 SSH 上去读取。D使用 Security Group rule fan-out，因为网络规则会自动分发 business events。

M1-Q33

一个金融 API 需要跨 AZ 高可用，数据库不能因单一 AZ 故障中断，且 DNS 层要能检测 endpoint health 进行切换。公司目前还不需要跨 Region 双活。

A只建立 CloudFront distribution，因为 CDN 可以替代 database failover。B使用多 AZ ALB / Auto Scaling，RDS Multi-AZ，并配合 Route 53 health checks 或 ALB health checks。C使用单一 AZ EC2 和单一 AZ RDS，并把所有流量固定到该 AZ 以降低 latency。D建立跨 Region active-active，但数据库仍保留单一 AZ。

M1-Q34

一家企业要求 S3 bucket 中的敏感数据被自动发现，security team 需要知道哪些 bucket 可能含有个人信息。公司已經使用 Organizations 管理多账号。

A使用 Shield Advanced 扫描文件内容，并产生 PII report。B只使用 Security Group inbound rules，因为它能檢查 S3 物件文字内容。C使用 Amazon Macie 扫描 S3 sensitive data，并在 delegated administrator account 集中檢视 findings。D使用 AWS WAF 扫描 S3 object content，因为 WAF 会分类 bucket 内的个人信息。

M1-Q35

一个机器学习批处理工作需要大量 CPU，任务可中断、可重跑，数据输入输出在 S3。公司希望用最低成本处理大量 job，并可在高峰时快速扩展。

A使用 On-Demand 最大规格 instance 永久开著，并禁止 job retry。B使用 RDS Multi-AZ 執行所有 CPU batch jobs。C使用 CloudFront edge location 執行长时間机器学习訓練。D使用 AWS Batch 或 Auto Scaling fleet 配合 Spot capacity，job 读写 S3 并设计 retry / checkpoint。

M1-Q36多选题

一个 HPC 工作负载需要高吞吐 file system，会读取 S3 中的大型数据集进行短期分析。分析結束后输出結果回到 S3，团队不想长期保留高成本 file system。哪些做法最符合这些需求？（选两个）

A使用 NAT Gateway 作为 distributed file system cache。B使用 FSx for Lustre 連接 S3 data repository，分析期间提供高效能 file system，結果再汇回 S3。C同时加入最小权限 IAM role、CloudWatch / CloudTrail 观测或告警，以及必要的加密控制，让方案符合安全与运营要求。D使用 S3 Standard-IA 直接作为 POSIX HPC file system 并支援低延迟 metadata operations。E使用 RDS MySQL 存储大型 binary blocks，让 HPC nodes 通过 SQL 读档。

请先选择至少一个选项。

M1-Q37

一个工业 IoT 平台每秒写入設备测量值，查询通常依时间范围聚合。团队希望使用 managed time-series database，而不是自行维护分区 table。

A使用 EFS file append 作为唯一查询引擎。B使用 Amazon Timestream 存储 time-series data，并依时间范围執行聚合查询。C使用 Neptune，因为所有 IoT timestamp 都是 graph edge。D使用 Secrets Manager 存储每笔测量值。

M1-Q38

一家公司已有本地 VMware workload，短期要做 lift-and-shift 到 AWS，但仍需要与本地网络互通并分阶段遷移。

A使用 CloudWatch Alarm 作为 hypervisor，将本地 VM 转成 metric。B用 S3 lifecycle rule 自动把 VMware workload 转成 Lambda function。C使用 Application Migration Service 或合适的遷移工具复制 servers，网络通过 VPN / Direct Connect 与 VPC 整合。D直接把 VM image 放进 DynamoDB item，让 DynamoDB 启动虛拟机。

M1-Q39

一个开發测試环境只在上班时間使用。团队常忘記关闭 EC2 和 RDS，造成闲置成本。公司希望自动化关闭并保留必要数据。

A删除所有 EBS volume 和 DB storage，因为停止服务一定会保留全部数据。B把开發环境改成 Multi-site active-active，确保闲置时也有最高可用性。C使用 Shield Advanced 降低闲置 compute cost。D使用 Instance Scheduler / EventBridge Scheduler 停止非必要 EC2 和 RDS，数据保留在 EBS / RDS storage。

M1-Q40

数据平台使用 Kinesis、Lambda 和 S3。最近数据延迟增加，团队需要知道 iterator age、Lambda error、throttle 和 S3 delivery failure。

A建立 CloudWatch dashboards 和 alarms 监控 Kinesis iterator age、Lambda errors / throttles 与 Firehose delivery metrics。B只檢查 VPC route table，因为所有串流延迟一定來自路由错误。C使用 ACM certificate expiration 作为数据延迟指标。D将 Kinesis shard metrics 关闭以降低观测成本。

M1-Q41

一家公司要让第三方 SaaS 安全地访问指定 AWS account 中的部分资源。安全团队希望避免分享 long-term key，并能限制信任关係与 external ID。

A使用 public S3 bucket 作为第三方访问所有 AWS resource 的入口。B建立 cross-account IAM role，信任第三方 AWS account，要求 external ID，并授予最小权限。C建立 IAM user 给第三方，将 access key 写在合約附件中。D把管理账号 root password 分享给第三方，只靠 MFA 保护。

M1-Q42多选题

一个 B2B 报表平台每天从多个客户 SFTP 汇入文件，转换后存入 data lake，并提供 Athena 查询。公司要求数据加密、权限分离和失败告警。哪些做法最符合这些需求？（选两个）

A使用 EBS snapshot 作为 query engine，让客户直接查询 snapshot。B使用 CloudFront logs 当作唯一数据仓储。C使用 AWS Transfer Family 或 DataSync 汇入，S3 data lake 配合 KMS、Lake Formation / IAM、Glue Catalog、Athena 和 CloudWatch alarms。D同时加入最小权限 IAM role、CloudWatch / CloudTrail 观测或告警，以及必要的加密控制，让方案符合安全与运营要求。E把所有客户文件汇入单一 public S3 bucket，并让所有人共用一组 access key。

请先选择至少一个选项。

M1-Q43

一个 SaaS 前端是 React SPA，部署在 S3。后端 API 通过 ALB 进入 ECS 服务。公司希望前端部署后全球用户快速取得新版本，同时 API 需要防 SQL injection 和 rate-based attack。

A将 SPA 放在 private subnet 的 EC2 上，用户通过 bastion host 下载。B把 API Gateway 移除并改用 EBS snapshot 分发前端文件。C使用 RDS Multi-AZ 解决前端静态文件延迟与 Web 攻击防护。D使用 CloudFront 分发 S3 SPA，API path 导向 ALB origin，并在 CloudFront 或 ALB 前套用 AWS WAF。

M1-Q44

一家公司有多个 VPC 需要私下调用中央账号提供的内部付款 API。客户 VPC CIDR 可能重疊，公司不希望建立完整 VPC routing，也不想暴露服务到公网。

A使用 AWS PrivateLink 让消费方 VPC 通过 Interface Endpoint 访问服务方 NLB 后的付款 API。B使用 VPC Peering 連接所有 VPC，并依靠 transitive routing 解决所有 CIDR 重疊。C将付款 API 放到 public ALB，并用来源 IP allowlist 当作唯一安全控制。D使用 Gateway VPC Endpoint 暴露自建 API，因为 Gateway endpoint 可以發布任意私有服务。

M1-Q45

一家公司需要 MySQL 兼容数据库，高峰读取流量很高，还希望跨 Region 提供低延迟读取与灾难恢复。团队可接受使用 AWS managed database engine。

A使用 FSx for Lustre 存储 MySQL data files，让多个 Region 直接挂载同一份数据。B使用 Amazon Aurora MySQL，配合 Aurora Replicas 与 Aurora Global Database 支援读取扩展和跨 Region DR。C使用单一 RDS MySQL instance，并通过 EBS snapshot 每小时复制到其他 Region。D使用 DynamoDB DAX，因为 DAX 可以直接加速 MySQL SQL joins。

M1-Q46

一个貸款审核流程包含文件檢查、风险評分、人工审核和結果通知。每一步需要状态追踪、错误重試和条件分支，流程可能執行数小时。

A使用 S3 lifecycle rule 依照文件年齡决定貸款审核下一步。B使用 Route 53 weighted routing 将用户导向不同审核步驟。C使用 Step Functions 編排多个 Lambda / service integrations，将流程状态、重試和分支逻辑交给 state machine 管理。D使用单一 Lambda function sleep 数小时并在代码中自行维护所有状态。

M1-Q47

一家全球服务要求跨 Region active-active NoSQL 写入，用户应写入最近 Region，数据要自动同步，且应用不想自行管理 replication conflict 的底层机制。

A使用 RDS read replica，让所有 Region 都可以同时写入同一个 MySQL primary。B使用 S3 Cross-Region Replication 作为低延迟 NoSQL write path。C使用 ElastiCache Global Datastore 作为唯一持久数据库。D使用 DynamoDB Global Tables，让多 Region table 支援 active-active replication。

M1-Q48多选题

一家公司要保护公开 ALB 后方的 Web application。近期攻击包含 SQL injection、cross-site scripting 和大量相同 IP 的 HTTP requests。团队希望在 Layer 7 擋掉流量。哪些做法最符合这些需求？（选两个）

A只使用 NACL deny rule，因为 NACL 可以解析 HTTP body 并检测 SQL injection。B把 ALB 换成 NAT Gateway，让 NAT Gateway 執行 Layer 7 inspection。C使用 KMS key policy 封鎖惡意 HTTP request。D在 ALB 或 CloudFront 前套用 AWS WAF managed rules 与 rate-based rules。E同时加入最小权限 IAM role、CloudWatch / CloudTrail 观测或告警，以及必要的加密控制，让方案符合安全与运营要求。

请先选择至少一个选项。

M1-Q49

一家企业既有 Java application 需要快速搬到 AWS，团队希望先少改程式、保留 OS 控制和自定义 agent，之后再逐步现代化。

A使用 Route 53 health check 直接執行 application process。B先采用 EC2 Auto Scaling group 配合 ALB，使用 launch template 管理 OS、agent 和部署流程。C立即改写成純 Lambda，因为所有 Java monolith 都可以无状态且 15 分钟内完成。D把 Java application binary 放到 S3 Glacier，让用户下载后本机執行。

M1-Q50

一家公司有 on-premises application 需要繼续用 NFS 访问文件，但数据希望逐步移到 AWS 并降低本地存储容量。应用短期内不能大改。

A使用 CloudFront 作为 NFS server，让本地机房 mount edge location。B将数据写入 CloudTrail，让 CloudTrail 自动同步成 file share。C部署 AWS Storage Gateway File Gateway，让 on-premises application 通过 NFS/SMB 使用 cloud-backed storage。D直接要求应用改用 DynamoDB API，并在一天内移除所有 NFS path。

M1-Q51

一个应用使用 DynamoDB，但读取热门商品数据时 latency 仍偏高且重複读取很多。数据可以接受短时间 stale，团队希望降低 table read pressure。

A启用 RDS Multi-AZ，让 DynamoDB table 自动取得 standby。B使用 S3 Cross-Region Replication 加速 DynamoDB item read。C把所有查询改成 table scan，避免使用 partition key。D在 DynamoDB 前使用 DAX 或应用层缓存，降低重複读取 latency 和 read capacity 压力。

M1-Q52

一家跨國公司使用多个账号和多个 VPC，还有本地机房需要共享 DNS resolution。团队希望内部服务名称可在 VPC 和 on-premises 之間解析。

A使用 Route 53 Resolver inbound / outbound endpoints 与 forwarding rules，整合 VPC 和 on-premises DNS。B使用 S3 bucket policy 当作 DNS resolver，依 object key 返回 IP。C在每台 EC2 / server 手动編輯 hosts file，作为长期企业 DNS 解法。D使用 NAT Gateway 自动同步所有 DNS zones。

M1-Q53

一个 S3 data lake 的 access pattern 不明确，部分数据常读，部分数据长期不用。团队不想手动分类每个 prefix，但希望自动降低 storage cost。

A把数据放到 EBS io2，因为 block storage 比 object storage 更便宜。B使用 S3 Intelligent-Tiering，必要时配合 Lifecycle 将明确冷数据转入 archive tiers。C固定使用 S3 Standard，因为所有未知 access pattern 都不能做任何成本优化。D立即全部转入 Deep Archive，即使 ETL 可能隔天要读取。

M1-Q54多选题

一家公司需要在多账号环境中持续檢查资源設定是否符合政策，例如 S3 bucket 不可公开、EBS 必須加密、Security Group 不可开放危险 port。哪些做法最符合这些需求？（选两个）

A同时加入最小权限 IAM role、CloudWatch / CloudTrail 观测或告警，以及必要的加密控制，让方案符合安全与运营要求。B只使用 CloudWatch CPUUtilization，因为 CPU 指标可以判断所有安全設定。C使用 SQS FIFO 保证 Security Group rule 永遠合规。D把所有設定导出到个人試算表，每季手动檢查一次作为即时治理。E使用 AWS Config rules 和 Security Hub 汇总合规状态，必要时通过 EventBridge 觸發修复。

请先选择至少一个选项。

M1-Q55

一个 Lambda function 需要解密 KMS 加密的 S3 物件，并把結果写入 DynamoDB。安全团队要求精准限制 function 可以使用的 key 和 table。

A给 Lambda AdministratorAccess，因为 serverless function 通常不需要最小权限。B把 KMS key policy 設成允許所有 principals decrypt，避免权限错误。C将 DynamoDB table 改成 public endpoint，让 Lambda 不需要 IAM。D为 Lambda execution role 授予特定 S3 object、KMS decrypt 和 DynamoDB table write 权限，并在 key policy 允許该 role 使用。

M1-Q56

一个线上交易系統需要低延迟 API、交易数据持久化、异步通知和完整审计。系統必須跨 AZ 高可用，且任何一个通知服务故障不能阻塞交易提交。

A使用 ALB / API Gateway 入口，后端服务跨 AZ，交易写入 RDS Multi-AZ 或 DynamoDB，通知通过 SQS / SNS 异步处理，CloudTrail / logs 做审计。B让 API 同步等待所有 email、SMS 和报表服务完成，任一服务 timeout 就 rollback 交易。C将交易数据只写入 CloudWatch Logs，并把 logs 当作唯一 database。D把所有服务放在单一 AZ 的单一 EC2，降低跨 AZ 网络费用作为最高优先级。

M1-Q57

一家遊戲公司有全球玩家下载 patch 文件，文件在發布后前 24 小时流量最高。安全团队要求文件不能直接由公开 S3 URL 下载，运营团队希望 origin 不被高峰流量打爆。

A把 patch 文件写入 DynamoDB item，玩家每次下载时扫描整張 table。B使用 CloudFront 缓存 S3 patch 文件，限制 bucket 僅允許 CloudFront origin access，并設定合适 TTL。C使用单一 EC2 instance 挂载 EBS 存储 patch，所有玩家直接从该 instance 下载。D开启 S3 public access，并用 Security Group 限制玩家来源 IP。

M1-Q58

某企业采用 hub-and-spoke network，多个业务 VPC 需要連到共同的 inspection VPC 与 on-premises network。团队希望避免大量 peering mesh，并集中管理路由。

A在每个 VPC 建 NAT Gateway，让所有私有流量經 NAT Gateway 在 VPC 間互通。B使用 CloudFront 連接所有 VPC，因为 CDN 可以替代 private routing。C使用 Transit Gateway 連接多个 VPC 和 VPN / Direct Connect attachment，通过 route tables 控制流量路径。D为每一对 VPC 建 VPC Peering，并依靠 peering 自动转送第三方 VPC 流量。

M1-Q59

一个内部报表系統使用 RDS，月底查询会拖慢线上交易。公司希望将分析型查询移出 OLTP database，并保留生产数据库处理交易。

A将所有 OLTP transaction 改写成 Athena 查询，直接更新 S3 物件。B把 RDS Multi-AZ standby 开放给报表查询使用。C把报表查询全部送到 NAT Gateway，让 NAT Gateway 代替数据库執行 aggregation。D将数据汇入 Amazon Redshift 或数据湖分析平台，让 BI 查询在分析系統上執行。

M1-Q60多选题

一家公司要处理 IoT 设备每秒送來的大量 telemetry，需要即时分析、短期保留串流数据，并将結果落到 S3 供后续分析。哪些做法最符合这些需求？（选两个）

A使用 Kinesis Data Streams 或 Amazon MSK 攝取串流，消费者即时处理，再用 Firehose 或 consumer 将数据写入 S3。B同时加入最小权限 IAM role、CloudWatch / CloudTrail 观测或告警，以及必要的加密控制，让方案符合安全与运营要求。C让每个 IoT 设备直接对 RDS 執行 insert，并在高峰时手动增加 database connections。D使用 SQS FIFO 作为高吞吐 telemetry 串流平台，并要求所有消息永久保留。E把 telemetry 写入 CloudTrail，因为 CloudTrail 会记录所有应用事件 payload。

请先选择至少一个选项。

M1-Q61

一家公司使用 Amazon Aurora PostgreSQL 支援全球读取。主要写入在美國，欧洲用户需要低延迟读取，且公司希望 Region failure 时有更快的 database recovery path。

A使用 FSx for Windows File Server 复制 database transaction log。B使用 Aurora Global Database，在次要 Region 提供低延迟读取并支援灾难恢复。C使用 EBS snapshot 每 24 小时复制一次，并让欧洲用户查询美國 primary。D使用 DAX 加速 PostgreSQL 查询，并让 DAX 跨 Region 写入 Aurora。

M1-Q62

安全团队希望检测账号中可疑 API 行为、异常数据访问和可能被盗用的 IAM credentials，并把 findings 汇总到中央安全账号。

A使用 AWS Backup plan 当作威胁检测工具。B把所有 IAM users 改名，让攻击者无法猜到账号身份。C启用 GuardDuty 检测威胁，配合 Security Hub 汇总 findings，并用 EventBridge 觸發响应流程。D只启用 Cost Explorer，因为账单上升一定能完整指出被盗用的 IAM principal。

M1-Q63

一个 Kubernetes 团队已經有 Helm、operator 和 admission controller 流程。公司希望在 AWS 上使用 managed control plane，但 worker capacity 仍要能与 VPC、IAM 和 ALB 整合。

A使用 ECS task definition 直接套用 Kubernetes manifest，因为 ECS 原生支援所有 Kubernetes API。B只使用 EC2 user data 手动安裝单节点 Kubernetes，并把 control plane 放在 instance store。C使用 CloudFormation stack set 作为 container orchestrator。D使用 Amazon EKS，配合 managed node groups 或 Fargate profiles，并整合 IAM roles for service accounts 与 ALB controller。

M1-Q64

一个 S3 bucket 保存法规数据，要求 retention period 内不可删除或覆写。数据团队也想保留 object version 以复原误操作。

A启用 S3 Versioning 和 S3 Object Lock，并設定合适 retention mode 滿足 WORM 要求。B只設定 S3 lifecycle expiration，让数据在 retention period 内自动删除。C关闭 versioning 以节省成本，并依靠人工流程避免删除。D使用 Transfer Acceleration，因为它会防止物件被覆写。

M1-Q65

一家公司需要 SQL transaction、外键约束和 PostgreSQL 兼容性，但流量不规律，高峰和低谷差距很大。团队希望降低容量管理负担。

A使用 ElastiCache Redis 作为唯一 system of record。B使用 Amazon Aurora PostgreSQL 或 Aurora Serverless v2，按需求选择可扩展容量模式。C使用 DynamoDB，因为所有 ACID relational schema 都应改成单一 key-value table。D使用 Redshift 作为 OLTP primary database，让每笔交易都走 columnar warehouse。

AWS SAA-C03 情景练习 01 ​

AWS SAA-C03 情景练习 01