EnglishDeutschFrançaisEspañolPortuguês

AWS · SCS-C03 · Avancé

AWS Security - Specialty (SCS-C03) — Questions d'entraînement et examen blanc

La certification AWS Certified Security – Specialty valide une expertise avancée dans la sécurisation des workloads et des architectures sur AWS.

Entraîne-toi gratuitementVoir d’abord une question
Voir d’abord une questionEntraîne-toi gratuitement
S’entraîner gratuitement pour SCS-C03Acheter l’accès à SCS-C03 pour 29,99 USD
65Questions par examen blanc Pass-IT
170minDurée limite de l’examen blanc Pass-IT

Examen officiel SCS-C03 : 750 points sur 1000 pour réussir.

Vérifié auprès de AWS · septembre 2026 · Version actuelle de l’examen

Essayer Pass-IT

Découvre comment tu apprends avec Pass-IT.

Réponds à une question d’exemple pour SCS-C03 et lis l’explication avec sa source. Ici même, sans inscription.

Sécurité des infrastructures1 / 5

Une entreprise migre son application web on-premises vers AWS. L'application doit être protégée contre les menaces de l'OWASP Top 10, dont l'injection SQL et le cross-site scripting (XSS). L'équipe sécurité veut une solution managée qui demande un minimum de maintenance des règles. Quelle approche offre la MEILLEURE protection avec le MOINS de charge opérationnelle ?

AlexExplication complète d’Alex

AWS WAF avec les Managed Rules fournit des ensembles de règles préconfigurés qui protègent contre les menaces de l'OWASP Top 10 avec un minimum de maintenance. Le Core Rule Set (CRS) couvre les vulnérabilités web courantes, dont le XSS et la local file inclusion, tandis que le rule group SQL Database bloque spécifiquement les attaques par injection SQL. Associer le WAF à l'ALB permet d'inspecter le trafic HTTP avant qu'il n'atteigne l'application. Network Firewall agit aux couches 3-4 avec des règles Suricata : efficace, mais il faut maintenir des règles personnalisées, ce qui alourdit la charge opérationnelle. CloudFront avec OAC contrôle l'accès à l'origin mais n'inspecte pas le payload des requêtes à la recherche d'attaques par injection. Un WAF tiers sur EC2 impose provisioning, patching et gestion des règles — la charge opérationnelle la plus lourde. Concept clé : les WAF Managed Rules sont maintenues par AWS, mises à jour automatiquement et conçues spécifiquement pour la protection OWASP (docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html).

Sourcedocs.aws.amazon.com

Protection des données2 / 5

La politique de sécurité d'une entreprise exige que toutes les clés de chiffrement AWS KMS utilisées pour les données de production soient stockées dans des hardware security modules (HSM) que l'entreprise contrôle physiquement, tout en continuant d'utiliser l'API KMS pour les opérations de chiffrement. Quelle option de key store KMS répond à cette exigence ?

AlexExplication complète d’Alex

Les external key stores (XKS) de KMS te permettent d'utiliser l'API KMS tout en gardant les clés de chiffrement dans des HSM que tu contrôles physiquement en dehors d'AWS. XKS relaie les opérations cryptographiques via un endpoint proxy XKS vers ton gestionnaire de clés externe, ce qui répond aux exigences réglementaires de garde physique des clés. Le matériel de clé importé est stocké dans les HSM d'AWS KMS après l'import — tu ne gardes pas le contrôle physique pendant les opérations. Le key store CloudHSM s'appuie sur des clusters AWS CloudHSM hébergés dans les centres de données d'AWS : tu gères les HSM, mais tu ne contrôles pas physiquement le matériel. Les AWS managed keys sont entièrement contrôlées par AWS, sans accès du client au matériel de clé. Distinction clé : seul XKS offre l'API KMS tout en gardant le matériel de clé entièrement hors de l'infrastructure AWS, sous ton contrôle physique (docs.aws.amazon.com/kms/latest/developerguide/concepts.html).

Sourcedocs.aws.amazon.com

Gestion des identités et des accès3 / 5

Une organisation utilise AWS IAM Identity Center (successeur d'AWS SSO) pour donner à ses collaborateurs l'accès à plusieurs comptes AWS. Quel protocole d'authentification IAM Identity Center utilise-t-il pour se fédérer avec des fournisseurs d'identité externes ?

AlexExplication complète d’Alex

SAML 2.0 est la bonne réponse. IAM Identity Center utilise des assertions SAML 2.0 pour la fédération avec des IdP externes comme Okta, Azure AD et Ping Identity. Il prend aussi en charge SCIM pour le provisioning automatique des utilisateurs et des groupes. Pourquoi pas les autres : LDAP — un protocole d'accès aux annuaires, pas un protocole de fédération ; Identity Center peut utiliser des annuaires LDAP, mais la fédération passe par SAML. OAuth 2.0 — un framework d'autorisation pour la délégation d'accès aux API, pas de la fédération SSO pour les collaborateurs. Kerberos — un protocole d'authentification réseau on-premises, qui ne sert pas à la fédération SSO dans le cloud.

Sourcedocs.aws.amazon.com

Fondements de la sécurité et gouvernance4 / 5

Un compte réseau possède une transit gateway à laquelle 150 comptes de charge de travail de la même organisation doivent se rattacher. Aujourd’hui, l’équipe réseau partage la transit gateway avec AWS RAM en listant les ID de compte, et chaque compte de charge de travail doit accepter une invitation avant de pouvoir s’y rattacher. L’équipe veut que les comptes de l’organisation obtiennent l’accès sans invitations ni listes compte par compte. Que doit faire l’équipe réseau ?

AlexExplication complète d’Alex

AWS RAM permet au propriétaire d’une ressource de partager des ressources prises en charge, comme les transit gateways, avec d’autres comptes. Pour partager au sein d’une organisation sans lister chaque compte, tu actives d’abord le partage avec AWS Organizations dans AWS RAM, puis tu partages la ressource avec l’ensemble de l’organisation ou avec des OU précises. Dans ce cas, AWS RAM n’envoie pas d’invitations aux principaux de l’organisation, et les comptes qui rejoignent l’OU plus tard obtiennent l’accès automatiquement. Les transit gateways n’utilisent pas de stratégies basées sur les ressources pour les autorisations d’attachement : une stratégie fondée sur l’ID de l’organisation ne correspond donc pas au fonctionnement du partage. Créer une transit gateway par compte multiplie les coûts et le travail de routage. Un rôle IAM intercomptes permettrait aux équipes de charge de travail d’agir dans le compte réseau, ce qui élargit inutilement leur accès. Conseil pour l’examen : le partage à l’échelle de l’organisation sans invitations, c’est AWS RAM avec le partage Organizations activé.

Sourcedocs.aws.amazon.com

* Les questions de l’app sont actuellement en anglais. Les traductions de cet aperçu concernent uniquement l’aperçu. Consulte l’organisme de certification pour connaître les langues disponibles pour l’examen officiel.

Comment te préparer à SCS-C03 avec Pass-IT.

Actuellement, 340 questions d’entraînement pour SCS-C03, et nous en ajoutons régulièrement. Concentre-toi sur ce qu’il te reste à apprendre.

Avance quand une question te bloque.

Comprends pourquoi une réponse est correcte. Alex t’explique les notions et répond à tes questions pour que tu puisses appliquer ce que tu apprends à l’exercice suivant.

Découvrir Alex →

Aperçu de conversation · SCS-C03

Clés hors d’AWS

  1. Toi

    Peut-on garder les clés sur notre matériel et utiliser KMS ?

  2. Alex · Tuteur IA

    Un magasin externe relie KMS à votre gestionnaire de clés via un proxy XKS.

    Lire la documentation ↗
  3. Toi

    AWS exploite-t-il ce matériel externe ?

  4. Alex · Tuteur IA

    Ton organisation exploite le système externe et répond de sa disponibilité et de la conservation des clés.

    Lire la documentation ↗

Utilise ton temps d’étude à bon escient.

Entraîne-toi à ton niveau.
Pour les nouvelles séances d’entraînement, Pass-IT adapte la difficulté à tes réponses précédentes.

Apprends de tes erreurs.
Les réponses incorrectes deviennent automatiquement des fiches de révision. En les revoyant, tu évalues à quel point tu te souviens de la réponse ; Pass-IT programme la prochaine révision.

Découvrir les révisions ciblées →

Démonstration animée de la fonctionnalité

Transforme tes erreurs en connaissances solides.

Comment fonctionne Pass-IT

Ta révision

Tu as mal répondu à une question ?

Pass-IT la conserve pour ta révision.

SCS-C03 · Extrait de question

Clés hors d’AWS

Voir la question complète

La politique de sécurité d'une entreprise exige que toutes les clés de chiffrement AWS KMS utilisées pour les données de production soient stockées dans des hardware security modules (HSM) que l'entreprise contrôle physiquement, tout en continuant d'utiliser l'API KMS pour les opérations de chiffrement. Quelle option de key store KMS répond à cette exigence ?

Comprends la bonne réponse.

AWS KMS avec un external key store (XKS)

Un magasin externe conserve le matériel de clé externe hors d’AWS.

Lire la documentation ↗

À quel point te souviens-tu de la réponse ?

Pendant la révision, tu évalues si tu te souviens bien de la réponse.

Correct après hésitation

Pass-IT programme ta prochaine révision.

La date dépend de ton évaluation et de tes révisions précédentes.

Démonstration simplifiée. Aucun progrès d’apprentissage n’est enregistré.

Entraîne-toi pour le moment qui compte.

Passe un examen blanc complet avec une limite de temps et vérifie si tu arrives à terminer à temps.

Ton examen blanc SCS-C03

Questions
65
Minutes
170

Illustration du déroulement d’un examen

  1. Début
  2. Répondre aux questions
  3. Fin

Nombre de questions et durée limite de l’examen blanc Pass-IT.

Aborde l’examen avec plus de confiance.

Ton Readiness Score t’aide à évaluer si tu es prêt pour l’examen. Les résultats par domaine te montrent où tu devrais continuer à t’entraîner.

Remboursé si tu échoues malgré 80 % de Readiness.
Si ton Readiness Score atteint au moins 80 % au moment de l’examen et que tu échoues malgré tout, nous te remboursons le prix d’achat Pass-IT de cette certification.

Pour les accès payants actifs. Envoie la preuve de ton échec sous 14 jours.

Autres conditions de la garantie

Au moment de l’examen, tu dois avoir au moins 80 % de Readiness et un accès payant actif à la certification. Passe l’examen pendant ta période d’accès et envoie la preuve officielle de ton échec dans les 14 jours suivant l’examen.

Pour les achats via Apple ou Google, le remboursement passe par la boutique concernée. Consulte les conditions complètes pour les autres modalités.

Voir les conditions de la garantie →

Le Readiness Score décrit tes progrès à l’entraînement, pas une probabilité de réussite.

Condition de la garantie

80%

Au moins 80 % de Readiness
au moment de l’examen

Remboursement en cas d’échec

Nombre de questions et paramètres des examens blancs issus du catalogue Pass-IT actuel.

Les domaines de l’examen

Ce que tu travailles pour SCS-C03.

Les sujets de l’examen, des exercices adaptés et des sources à consulter.

Détecter les menaces et examiner les signaux manquantsConsulte le guide pour la pondération54 QuestionsQuestions Pass-IT

Mets en place une surveillance et des journaux pour repérer les activités suspectes dans AWS.

  • Choisir des contrôles d’état, des résultats de sécurité et des alertes qui révèlent les comportements inhabituels, puis automatiser les évaluations régulières.
  • Collecter et stocker les journaux utiles, puis les normaliser et les corréler pour examiner les activités de plusieurs services.
  • Repérer les problèmes de configuration ou d’autorisations qui empêchent la surveillance, les journaux ou les alertes de fonctionner correctement.
Objectifs officiels de la certification
Préparer la réponse aux incidentsConsulte le guide pour la pondération38 QuestionsQuestions Pass-IT

Prévois comment examiner un incident de sécurité, le contenir et rétablir les services.

  • Rédiger et tester les procédures de réponse, préparer les accès et les outils de sécurité, puis automatiser les étapes adaptées.
  • Préserver les preuves numériques et corréler les résultats pour établir l’étendue, l’impact et la cause d’un incident.
  • Isoler les ressources touchées, éliminer les menaces et rétablir les services selon le plan de réponse.
Objectifs officiels de la certification
Protéger les réseaux et les charges de travailConsulte le guide pour la pondération58 QuestionsQuestions Pass-IT

Applique des contrôles de sécurité en périphérie du réseau, dans les charges de travail et entre les environnements.

  • Configurer et dépanner les protections en périphérie, comme les règles AWS WAF et les défenses AWS Shield contre les attaques attendues.
  • Renforcer et corriger les charges de calcul, rechercher les vulnérabilités et sécuriser les accès administratifs, avec des protections pour les applications d’IA générative.
  • Contrôler et segmenter le trafic réseau, sécuriser les connexions hybrides et diagnostiquer les accès inutiles ou bloqués.
Objectifs officiels de la certification
Contrôler les identités et les accèsConsulte le guide pour la pondération67 QuestionsQuestions Pass-IT

Définis comment les personnes et les charges de travail prouvent leur identité et reçoivent les autorisations adaptées.

  • Configurer et dépanner l’authentification, l’intégration de fournisseurs d’identité et les identifiants temporaires pour les personnes, applications et systèmes.
  • Concevoir les autorisations selon le moindre privilège avec des rôles, des attributs et des politiques IAM, y compris pour les accès entre comptes.
  • Examiner les refus d’autorisation et les privilèges involontaires, puis corriger les politiques responsables.
Objectifs officiels de la certification
Protéger les données et leurs clésConsulte le guide pour la pondération72 QuestionsQuestions Pass-IT

Choisis des contrôles pour les données en transit, les données stockées et les secrets qui protègent les accès.

  • Imposer le chiffrement en transit et configurer les accès privés ainsi que les communications chiffrées entre ressources.
  • Protéger les données stockées avec un chiffrement adapté, des contrôles d’intégrité, des règles de conservation et des sauvegardes ou réplications sécurisées.
  • Gérer et renouveler les secrets, clés et certificats, distinguer les éléments de clé importés de ceux générés par AWS et masquer les données sensibles.
Objectifs officiels de la certification
Gouverner la sécurité entre les comptesConsulte le guide pour la pondération51 QuestionsQuestions Pass-IT

Gère les comptes et les contrôles de sécurité communs de façon cohérente, puis vérifie leur conformité.

  • Organiser les comptes avec AWS Organizations et AWS Control Tower, centraliser l’administration de la sécurité et protéger les accès racine.
  • Déployer des ressources sécurisées de manière cohérente avec l’infrastructure as code, des politiques appliquées centralement et un partage contrôlé.
  • Détecter et corriger les ressources non conformes, collecter les preuves d’audit et évaluer les architectures selon les bonnes pratiques de sécurité.
Objectifs officiels de la certification
Les formats de questions que tu peux travailler
Choix multiple
Sélectionne une réponse.
Réponse multiple
Sélectionne plusieurs réponses pertinentes.
Mise en ordre
Place les étapes dans le bon ordre.
Association
Associe les éléments correspondants en suivant les consignes de la question.

Ce sont les formats d’entraînement de Pass-IT. Consulte les exigences officielles de l’examen dans Objectifs officiels de la certification.

Questions fréquentes

Ta préparation

Combien de temps prévoir pour préparer SCS-C03 ?

Pour t’aider à t’organiser, Pass-IT estime environ 40–105 heures. Avec une expérience pertinente, tu te situeras plutôt vers le bas de cette fourchette ; si tu débutes, plutôt vers le haut. Tes besoins peuvent aussi être en dehors de cette plage. Ce n’est ni une durée imposée par AWS, ni une promesse d’être prêt pour l’examen dans ce délai.

Utiliser Pass-IT

Dans quelle langue sont les questions de Pass-IT ?

Les questions de l’application sont actuellement en anglais. Les traductions des questions d’exemple de cette page concernent uniquement cet aperçu. Consulte AWS pour connaître les langues proposées pour l’examen officiel.

Combien de temps dure mon accès à SCS-C03 ?

L’accès à cette certification dure 12 mois. Tu paies une seule fois, sans renouvellement automatique.

Quand la garantie de remboursement s’applique-t-elle ?

La garantie rembourse le prix d’achat Pass-IT de cette certification. Tu dois disposer d’un accès payant éligible et d’un Readiness Score d’au moins 80 %, calculé à partir de tes résultats d’entraînement, au moment de l’examen. Ce score ne peut atteindre 80 % qu’après au moins 50 questions répondues et ne constitue pas une probabilité de réussite validée. Passe l’examen pendant ta période d’accès et envoie la preuve officielle de ton échec sous 14 jours. Conditions de la garantie

L’examen SCS-C03

Où puis-je passer l’examen SCS-C03 ?

Centre d'examen Pearson VUE ou examen surveillé en ligne.

Combien de temps dure l’examen AWS Certified Security - Specialty ?

L’examen SCS-C03 comporte 65 questions et le temps imparti est de 170 minutes.

Quelle expérience suppose AWS Security Specialty ?

AWS n'impose aucun prérequis formel, mais conçoit SCS-C03 pour des personnes ayant trois à cinq ans d'expérience dans la sécurisation de workloads cloud et une bonne maîtrise des services de sécurité AWS. C'est un examen de niveau avancé, et les questions supposent que tu as débogué de vraies politiques IAM, pas seulement lu des articles dessus.

Combien de temps AWS Security Specialty reste-t-elle valable ?

La certification est valable trois ans. Tu peux la renouveler pour trois années supplémentaires en réussissant la dernière version de l’examen. Tant que ta certification est active, tu peux aussi la prolonger d’un an via AWS Skill Builder.

Que se passe-t-il si tu échoues à AWS Security Specialty ?

AWS impose un délai de 14 jours entre deux tentatives et ne limite pas le nombre de fois où tu peux passer l'examen. Avec un format de 170 minutes, un échec relève souvent autant de la gestion du temps que des connaissances.

Ta préparation à SCS-C03

$29.99paiement unique

12 mois d’accès à SCS-C03 · Sans renouvellement automatique

Acheter l’accès à SCS-C03

Les questions de l’application sont actuellement en anglais.

Essayer 20 questions gratuitementCompte gratuit requis. Sans carte bancaire.

Déjà un compte ? Connecte-toi

Tu préfères un abonnement ? Voir les abonnements →

Remboursement en cas d’échec avec au moins 80 % de Readiness, pour les achats éligibles selon les conditions de la garantie.

Conditions de la garantie

La garantie rembourse le prix d’achat Pass-IT de cette certification. Tu dois disposer d’un accès payant éligible et d’un Readiness Score d’au moins 80 %, calculé à partir de tes résultats d’entraînement, au moment de l’examen. Ce score ne peut atteindre 80 % qu’après au moins 50 questions répondues et ne constitue pas une probabilité de réussite validée. Passe l’examen pendant ta période d’accès et envoie la preuve officielle de ton échec sous 14 jours.

Conditions complètes de la garantie →

Certifications associées

AWS Certified Advanced Networking - SpecialtyAWS Certified AI Business StrategistAWS Certified AI PractitionerAWS Certified CloudOps Engineer - AssociateToutes les certifications AWS →