(SAA)합격 기원 19일차

글의 출처는 AWS SAA 합격으로 가는 길 #19

AWS SAA 합격으로 가는 길 #19

 

문제 1

회사는 VPC에서 공용 3계층 웹 애플리케이션을 실행합니다. 애플리케이션은 여러 가용 영역의 Amazon

EC2 인스턴스에서 실행됩니다. 프라이빗 서브넷에서 실행되는 EC2 인스턴스는 인터넷을 통해 라이선스

서버와 통신해야 합니다. 회사는 운영 유지 보수를 최소화하는 관리형 솔루션이 필요합니다.

어떤 솔루션이 이러한 요구 사항을 충족합니까?

선택지 

A. 퍼블릭 서브넷에서 NAT 인스턴스를 프로비저닝합니다. NAT 인스턴스를 가리키는 기본 경로로 각

프라이빗 서브넷의 경로 테이블을 수정합니다.

B. 프라이빗 서브넷에서 NAT 인스턴스를 프로비저닝합니다. NAT 인스턴스를 가리키는 기본 경로로

각 프라이빗 서브넷의 경로 테이블을 수정합니다. 

C. 퍼블릭 서브넷에서 NAT 게이트웨이를 프로비저닝합니다. NAT 게이트웨이를 가리키는 기본 경로로

각 프라이빗 서브넷의 경로 테이블을 수정합니다.

D. 프라이빗 서브넷에서 NAT 게이트웨이를 프로비저닝합니다. NAT 게이트웨이를 가리키는 기본 경로로

각 프라이빗 서브넷의 경로 테이블을 수정합니다.

정답 

정답 : C

풀이

NAT 게이트웨이는 관리형 서비스로 운영 유지 보수가 최소화되며, 퍼블릭 서브넷에 위치해야 인터넷

과 통신할 수 있다.

문제의 요구사항 분석하기

1. 공용 3계층 웹 애플리케이션을 VPC에서 실행

2. 프라이빗 서브넷의 EC2 인스턴스가 인터넷을 통해 라이선스 서버와 통신 필요

3. 운영 유지 보수를 최소화하는 관리형 솔루션 필요

관련 AWS 서비스 생각하기

프라이빗 서브넷에서 인터넷 접근

• NAT 게이트웨이 : 완전 관리형 서비스로, 프라이빗 서브넷의 인스턴스가 인터넷에 접근할 수
  있게 해준다. 고가용성을 제공하여 운영 유지 보수가 최소화된다.
• NAT 인스턴스 : EC2 인스턴스 기반의 NAT 솔루션으로, 더 많은 제어가 가능하지만 관리가 필요
  하다. 

네트워크 구성

• Amazon VPC : 사용자 정의 가상 네트워크를 생성하여 AWS 리소스를 실행할 수 있다. 퍼블릭
  및 프라이빗 서브넷을 구성할 수 있어 3계층 아키텍처 구현이 가능하다.
• 라우팅 테이블: VPC 내 네트워크 트래픽을 제어합니다. NAT 게이트웨이나 인스턴스로 트래픽을
  라우팅하도록 구성할 수 있다. 

운영 유지 보수 최소화

• 관리형 서비스 : AWS에서 관리하는 서비스를 사용하면 운영 유지 보수를 최소화할 수 있다.
  NAT 게이트웨이가 이에 해당한다.

고가용성

• 다중 가용 영역 구성 : 여러 가용 영역에 리소슬르 배포하여 고가용성을 확보할 수 있다. NAT
  게이트웨이는 각 가용 영역에 별도로 구성하여 가용성을 높일 수 있다.

선택지 분석하기

A. 퍼블릭 서브넷에서 NAT 인스턴스를 프로비저닝합니다. NAT 인스턴스를 가리키는 기본 경로로 

각 프라이빗 서브넷의 경로 테이블을 수정합니다.

-> NAT 인스턴스는 관리가 필요하며, 운영 유지 보수를 최소화하는 요구사항에 부합하지 않다.

 

B. 프라이빗 서브넷에서 NAT 인스턴스를 프로비저닝합니다. NAT 인스턴스를 가리키는 기본 경로로

각 프라이빗 서브넷의 경로 테이블을 수정합니다. 

-> NAT 인스턴스가 프라이빗 서브넷에 있으면 인터넷과 통신할 수 없어 요구사항을 충족하지 못한다.

 

C. 퍼블릭 서브넷에서 NAT 게이트웨이를 프로비저닝합니다. NAT 게이트웨이를 가리키는 기본 경로로

각 프라이빗 서브넷의 경로 테이블을 수정합니다.

-> NAT 게이트웨이는 AWS에서 관리하는 서비스로, 운영 유지 보수를 최소화할 수 있다. 퍼블릭 서브넷

에 위치하여 인터넷 통신이 가능하다.

 

D. 프라이빗 서브넷에서 NAT 게이트웨이를 프로비저닝합니다. NAT 게이트웨이를 가리키는 기본 

경로로 각 프라이빗 서브넷의 경로 테이블을 수정합니다. 

-> NAT 게이트웨이가 프라이빗 서브넷에 있으면 인터넷과 통신할 수 없어 요구사항을 충족하지 못함 

 

문제2

솔루션 설계자는 Amazon S3 버킷에 업로드된 모든 객체가 암호화되도록 하려면 어떻게 해야 합니까?

선택지

A. PutObject에 s3:x-amz-acl 헤더 세트가 없는 경우 거부하도록 버킷 정책을 업데이트합니다.

B. PutObject에 프라이빗으로 설정된 s3:x-amz-acl 헤더가 없는 경우 거부하도록 버킷 정책을 업데이트

합니다.

C. PutObject에 true로 설정된 aws:SecureTransport 헤더가 없는 경우 거부하도록 버킷 정책을 업데이트

합니다.

D. PutObject에 x-amz-server-side-encryption 헤더 세트가 없는 경우 거부하도록 버킷 정책을 업데이트

합니다.

정답 

정답 : D

풀이

x-ama-server-side-encryption 헤더는 S3에 업로드되는 객체의 서버 측 암호화를 요청하는 데 사용

됩니다. 이 헤더가 없는 PutObject 요청을 거부하도록 버킷 정책을 설정하면, 모든 업로드되는 객체가

암호화되도록 강제할 수 있다.

문제의 요구사항 분석하기

1. Amazon S3 버킷에 업로드되는 모든 객체가 암호화되어야 함

2. 암호화를 강제하는 방법이 필요함

관련 AWS 서비스 생각하기

Amazon S3 (Simple Storage Service)

• 객체 스토리지 서비스로, 데이터를 '버킷'에 저장한다.
• 서버 측 암호화(SSE) 기능을 제공하여 저장 데이터를 암호화할 수 있다.

S3 버킷 정책

• JSON 기반의 정책으로, S3 버킷에 대한 액세스를 제어한다.
• 특정 조건을 만족하지 않는 요청을 거부하도록 구성할 수 있다.

S3 암호화 관련 헤더

• x-amz-server-side-encryption : 서버 측 암호화를 요청하는 헤더이다.
• s3:x-amz-acl: 객체의 액세스 제어 목록(ACL)을 설정하는 헤더이다.
• aws:SecureTransport:HTTPS를 통한 보안 연결을 요구하는 조건 키이다.

선택지 분석하기 

A. PutObject에 s3:x-amz-acl 헤더 세트가 없는 경우 거부하도록 버킷 정책을 업데이트합니다.

-> s3:x-amz-acl 헤더는 객체의 ACL을 설정하는 것으로, 암호화와 직접적인 관련이 없다. 이 옵션은

요구사항을 충족하지 않는다.

 

B. PutObject에 프라이빗으로 설정된 s3:x-amz-acl 헤더가 없는 경우 거부하도록 버킷 정책을 업데이

트합니다.

-> 이 옵션도 ACL 설정에 관한 것으로, 객체 암호화를 보장하지 않는다. 요구사항을 충족하지 않는다.

 

C. PutObject에 true로 설정된 aws:SecureTransport 헤더가 없는 경우 거부하도록 버킷 정책을 업데

이트합니다.

-> aws:SecureTransport는 HTTP 사용을 강제하는 것으로, 전송 중 암호화는 보장하지만 저장 데이터

의 암호화를 보장하지는 않는다. 요구사항을 완전히 충족하지 않는다.

 

D. PutObject에 x-amz-server-side-encryption 헤더 세트가 없는 경우 거부하도록 버킷 정책을 업데이

트합니다.

-> x-amz-server-side-encryption 헤더는 서버 측 암호화를 요청하는 것으로, 이 헤더가 없는 요청을

거부하면 모든 업로드되는 객체의 암호화를 강제할 수 있다. 이 옵션이 요구사항을 가장 잘 충족한다.

 

문제 3

회사는 PostgreSQL DB 인스턴스용 Amazon RDS를 사용하여 웹 서버 플릿을 실행합니다. 일상적인

규정 준수 검사 후 회사는 모든 프로덕션 데이터베이스에 대해 1초 미만의 복구 지점 목표(RPO)를

요구하는 표준을 설정합니다. 

어떤 솔루션이 이러한 요구 사항을 충족합니까?

선택지

A. DB 인스턴스에 대해 다중 AZ 배포를 활성화합니다.

B. 하나의 가용 영역에서 DB 인스턴스에 대해 Auto Scaling을 활성화합니다.

C. 하나의 가용 영역에서 DB 인스턴스를 구성하고 별도의 가용 영역에서 여러 읽기 전용 복제본을

생성합니다.

D. 하나의 가용 영역에서 DB  인스턴스를 구성하고 AWS DMS(AWS Database Migration Service) 변경

데이터 캡처(CDC) 작업을 구성합니다.

정답

정답  : A

풀이 

다중 AZ 배포는 동기식 복제를 사용하여 프라이머리 DB 인스턴스의 변경 사항을 실시간으로 스탠

바이 인스턴스에 복제합니다. 이를 통해 1초 미만의 RPO를 달성할 수 있어, 문제의 규정 준수

요구사항을 충족한다. 

문제의 요구사항 분석하기

1. PostgreSQL DB 인스턴스용 Amazon RDS 사용

2. 모든 프로덕션 데이터베이스에 대해 1초 미만의 복구 지점 목표(RPO) 필요

3. 규정 준수 요구사항 충족 필요

관련 AWS 서비스

Amazon RDS(Relational Database Service)

• 관리형 관계형 데이터베이스 서비스로, PostgreSQL을 지원합니다.
• 다중 AZ 배포, 읽기 전용 복제본 등 고가용성 및 재해 복구 기능을 제공한다.

다중 AZ 배포

• 동기식 복제를 사용하여 두 번째 가용 영역에 스탠바이 인스턴스를 유지한다.
• 거의 실시간으로 데이터를 복제하여 매우 낮은 RPO를 제공한다.

읽기 전용 복제본

• 비동기식 복제를 사용하여 읽기 성능을 향상시킨다.
• RPO가 다중 AZ 배포보다 높을 수 있다.

선택지 분석하기

A. DB 인스턴스에 대해 다중 AZ 배포를 활성화합니다.

-> 다중 AZ 배포는 동기식 복제를 사용하여 1초 미만의 RPO를 제공할 수 있다. 이 옵션이 요구사항을

가장 잘 충족합니다.

 

B. 하나의 가용 영역에서 DB 인스턴스에 대해 Auto Scaling 을 활성화합니다.

-> Auto Scaling 은 성능 확장에 도움이 되지만 데이터 복제난 RPP 개선과는 직접적인 관련이 없다.

요구 사항을 충족하지 않는다.

 

C. 하나의 가용 영역에서 DB 인스턴스를 구성하고 별도의 가용 영역에서 여러 읽기 전용 복제본을 

생성합니다.

-> 읽기 전용 복제본은 비동기식 복제를 사용하므로 1초 미만의 RPO를 보장하기 어렵다. 요구사항을

완전히 충족하지 않는다.

 

D. 하나의 가용 영역에서 DB 인스턴스를 구성하고 AWS DMS(AWS Database Migraion Service) 변경

데이터 캡쳐(CDC) 작업을 구성합니다.

-> DMS CDC 는 지속적인 복제를 제공하지만 일반적으로 1초 미만의 RPO를 보장하기 어렵다.

요구사항을 완전히 충족하지 않는다.