AWS CloudOps Engineer - Associate (SOA-C03) — Questions d'entraînement et examen blanc

Survivre à la perte d'une Availability Zone demande deux choses : une copie des données ailleurs, et quelque chose qui promeut cette copie automatiquement. Activer le cluster mode avec des réplicas répartis sur plusieurs Availability Zones fournit la copie, et la bascule automatique Multi-AZ fournit la promotion : elle détecte que le primaire est injoignable et élit un réplica dans une zone encore debout, sans opérateur dans la boucle. C'est pour cela que cette configuration améliore la tolérance aux pannes exactement dans le cas de panne décrit par le scénario.

Remarque la formulation prudente à propos de la perte de données. La réplication vers les réplicas est asynchrone : les écritures que le primaire a acquittées juste avant de tomber n'ont peut-être jamais atteint un réplica. Ce que l'on peut défendre, c'est une perte de données minimale, pas nulle, et une réponse qui promet zéro perte avec de la réplication asynchrone est généralement la mauvaise.

Les distracteurs échouent sur la disponibilité. Les snapshots quotidiens sont une sauvegarde, utile pour restaurer après une corruption, mais qui se mesure en heures de perte et en restauration manuelle. Des nœuds autonomes indépendants dans différentes zones ne partagent aucune donnée : en perdre un, c'est perdre toutes les sessions qui vivaient là. La persistance append-only sur un nœud unique survit au redémarrage du processus sur ce nœud, mais le nœud reste dans une seule zone et il n'y a rien vers quoi basculer.

Conseil d'examen : sépare la durabilité de la disponibilité. Les snapshots et la persistance donnent la durabilité ; les réplicas plus la promotion automatique donnent la disponibilité.

Appliquer une étiquette à une instance est un appel d'API, et c'est cet appel qui sert de crochet à toute l'automatisation. L'étiquetage passe par l'action CreateTags d'Amazon EC2, AWS CloudTrail journalise cet appel comme événement de gestion, CloudTrail livre les événements qu'il journalise à Amazon EventBridge, et une règle EventBridge dont le pattern d'événement correspond à cet appel d'API et à cette clé d'étiquette invoque AWS Lambda comme cible. La fonction Lambda crée ensuite le bucket S3 via le SDK. Rien n'interroge par polling, rien ne s'exécute sur minuterie, et la réaction se produit parce que l'appel d'API a eu lieu — c'est exactement ce que veut dire piloté par les événements.

Les trois autres combinaisons cassent dès leur première étape. Les métriques Amazon CloudWatch sont des séries temporelles numériques et aucune métrique ne porte une clé d'étiquette et sa valeur : rien dans cette chaîne ne peut donc détecter le changement, et placer Amazon SNS devant AWS Lambda ne fait que relayer une notification qui n'a jamais été générée. Une règle planifiée Amazon EventBridge qui interroge les étiquettes par polling est l'inverse du pilotage par les événements : elle se réveille sur minuterie, ajoute une latence pouvant aller jusqu'à l'intervalle de polling et tourne en permanence alors que rien n'a changé, si bien qu'AWS Step Functions derrière elle hérite de ce délai. L'option AWS Config est la plus proche d'être plausible, car AWS Config évalue effectivement les changements de configuration des ressources, mais passer par AWS Systems Manager et AWS CloudFormation pour créer un seul bucket, c'est une machinerie bien plus lourde que ce que le scénario demande, et cela abandonne la correspondance de pattern EventBridge, qui fait le vrai filtrage.

Conseil d'examen : pour une exigence de la forme quand ceci arrive, fais cela, la réponse AWS par défaut est CloudTrail enregistre l'appel d'API, EventBridge fait correspondre le pattern d'événement et Lambda exécute l'action. Reconnaître ce trio te permet de répondre du premier coup d'œil à la plupart des questions sur l'automatisation pilotée par les événements.

Lis les deux contraintes ensemble : le chiffrement en transit, et des certificats gérés par AWS. AWS Certificate Manager, ou ACM, provisionne des certificats publics, les valide et les renouvelle automatiquement, et ACM s'intègre à Elastic Load Balancing, si bien que tu peux déployer le certificat directement sur le load balancer. Tu attaches le certificat provisionné au listener HTTPS de l'ALB et la plateforme gère le reste du cycle de vie, sans matériel de clé à copier sur les instances et sans date de renouvellement à retenir.

Chaque distracteur casse l'une des contraintes. Les certificats auto-signés générés sur chaque instance avec OpenSSL ne sont pas gérés par AWS du tout, et les clients les rejettent tant que tu ne distribues pas la confiance à la main. AWS KMS crée et contrôle des clés cryptographiques ; ce n'est pas une autorité de certification et il ne génère pas de certificats TLS. Téléverser des certificats serveur IAM fonctionne encore pour d'anciennes configurations, mais ces certificats ont été obtenus ailleurs et le renouvellement t'incombe, ce qui est précisément la charge d'administration que la question te demande d'éviter.

Astuce d'examen : certificats gérés par AWS plus load balancer, c'est un couple fixe. Si une question ajoute ensuite le chiffrement entre le load balancer et les instances placées derrière, traite la connexion back-end comme une décision distincte du certificat du listener.

AWS Global Accelerator fournit à une application des adresses IP statiques annoncées depuis les emplacements périphériques (edge locations) d’AWS. Le trafic entre dans le réseau mondial d’AWS par l’emplacement périphérique le plus proche et est acheminé vers le meilleur point de terminaison sain dans l’une des régions configurées, en fonction de l’état de santé, de l’emplacement du client et des paramètres de trafic. Les points de terminaison peuvent être des Network Load Balancers, des Application Load Balancers, des instances EC2 ou des adresses Elastic IP, et les accélérateurs standard transportent TCP et UDP. Comme les adresses IP ne changent pas pendant le basculement, les clients et les pare-feu n’ont pas besoin de mises à jour DNS. CloudFront diffuse du contenu servi en HTTP et HTTPS, ce qui ne correspond pas à un protocole UDP personnalisé, et le basculement basé sur le DNS dépend du TTL des enregistrements et de la mise en cache côté client. Conseil pour l’examen : IP statiques, UDP et basculement multirégion rapide désignent Global Accelerator.