AIAI Agent Dev Labaiagentdev-lab.com
登录以保存学习记录登录
菜单

STEP 1 · 学习

SAA-C03 学习解决方案架构师 – 助理级（Solutions Architect – Associate）

按考试领域阅读要点，然后点击各领域末尾的“练习该领域”，只练习该领域的题目。比例越大的领域在正式考试中出题越多。

01

设计安全的架构

Design Secure Architectures

30%

学习目标

  • 能区分使用 IAM 用户、组、角色和策略，并用 STS 实现角色切换和跨账户访问
  • 能用 Organizations、SCP、Control Tower 和 IAM Identity Center 设计多账户治理
  • 能用公有/私有子网、安全组、网络 ACL、NAT 网关和 VPC 终端节点设计通信路径
  • 能用 KMS、ACM、Secrets Manager、S3 加密与访问控制、备份和复制满足数据保护要求

要点

  • 人员使用 IAM Identity Center（或与企业身份提供商联合），应用和服务使用 IAM 角色的临时凭证。尽量少用长期访问密钥，根用户要用 MFA 保护，不用于日常操作。
  • IAM 策略评估中，显式拒绝始终优先；任何地方都没有允许的操作会被隐式拒绝。SCP 和权限边界设定的是“权限上限”，本身并不授予权限。
  • 访问其他账户的资源有两种方式：代入（AssumeRole）目标账户中的角色，或在 S3 存储桶策略等基于资源的策略中允许对方。
  • Web 服务器放在公有子网（或只让 ALB 公开），应用和数据库放在私有子网。私有子网访问互联网用 NAT 网关；不经过互联网连接 S3 或 DynamoDB 用网关 VPC 终端节点。
  • 安全组是有状态的，只有允许规则；网络 ACL 是无状态的，可以写允许和拒绝规则，用于在子网级别拒绝特定 IP。
  • SQL 注入和跨站脚本用 AWS WAF，DDoS 用 AWS Shield（Standard 自动且免费，Advanced 是付费的高级防护）。威胁检测用 GuardDuty，S3 敏感数据发现用 Macie，漏洞扫描用 Inspector。
  • 静态加密用 KMS（用密钥策略控制谁能使用密钥，可开启自动轮换），传输加密用 ACM 证书实现 TLS。数据库密码用 Secrets Manager 自动轮换。
  • S3 数据保护：阻止公有访问、存储桶策略、版本控制、对象锁定（WORM、保留期）、复制（复制到其他区域或账户）。用 AWS Backup 集中管理备份。

工作中的应用场景

  • 财务存放发票 PDF 的 S3 存储桶阻止公有访问，并用 KMS 密钥加密。用对象锁定在法定保存期内防止删除或覆盖。
  • 总务用 Organizations 统一管理各子公司的 AWS 账户，用 SCP 禁止使用东京和大阪以外的区域。员工用企业身份通过 IAM Identity Center 登录。
  • 销售把销售支持系统的数据库密码存入 Secrets Manager 并自动轮换。应用通过 IAM 角色获取，代码里不写密码。

考试评估项目（来自考试指南）

  • 1.1 Design secure access to AWS resources.
  • 1.2 Design secure workloads and applications.
  • 1.3 Determine appropriate data security controls.

学习资源

详细学习（3 个主题，附小测验）→练习该领域（90 题）→下一个领域 ↓
02

设计弹性架构

Design Resilient Architectures

26%

学习目标

  • 能选择用 SQS、SNS、EventBridge 和 Step Functions 实现处理解耦的方法
  • 能用 ALB、Auto Scaling 和无状态设计构建水平扩展的架构
  • 能判断何时使用容器（ECS、EKS、Fargate）和无服务器（Lambda、API Gateway）
  • 能根据 RPO/RTO 选择多可用区、多区域、Route 53 故障转移和灾难恢复策略（备份与还原、指示灯、温备用、多站点）

要点

  • 松耦合：用 SQS 队列隔开处理的交接，即使接收方处理变慢，发送方也不会停。一条消息分发给多个目标用 SNS（扇出是 SNS→多个 SQS），按事件规则路由用 EventBridge，多步骤流程和重试用 Step Functions。
  • SQS 标准队列是至少一次传递，不保证顺序。需要顺序和去重时用 FIFO 队列。持续处理失败的消息转入死信队列。
  • 水平扩展的前提是服务器上不保存会话信息的无状态设计（会话存放在 ElastiCache 或 DynamoDB）。ALB 按 HTTP 路径或主机名路由，NLB 适用于高性能 TCP/UDP 和固定 IP。
  • 多可用区：ALB 和 Auto Scaling 组跨多个可用区部署，RDS 使用多可用区部署（自动故障转移到同步备用实例）。只读副本用于分散读取，主要是为了性能而不是可用性。
  • 灾难恢复策略根据 RPO（可接受多少数据丢失）和 RTO（多快恢复）选择。成本从低到高：备份与还原 → 指示灯（数据始终复制，计算资源最少）→ 温备用（缩小版环境始终运行）→ 多站点（双活）。
  • 用 Route 53 故障转移路由和运行状况检查，通过 DNS 切换到正常的一侧。备用环境也要按生产规模预留服务配额。
  • 即使是无法修改的旧应用，也可以通过放在 ELB 和 Auto Scaling 后面、用 RDS Proxy 汇聚连接等方式提高可靠性。用 AWS X-Ray 可视化分布式应用的请求流程和延迟。

工作中的应用场景

  • 销售订单先放入 SQS 再做库存分配，旺季库存系统变慢时也不会停止接单。失败的订单在死信队列中确认。
  • 财务根据 RPO 1 小时、RTO 4 小时的要求，用指示灯方式设计月结系统的灾难恢复，数据持续复制到大阪区域。
  • 总务内部门户由 ALB 和跨两个可用区的 Auto Scaling 组构成，一个可用区故障时仍可继续浏览。

考试评估项目（来自考试指南）

  • 2.1 Design scalable and loosely coupled architectures.
  • 2.2 Design highly available and/or fault-tolerant architectures.

学习资源

详细学习（2 个主题，附小测验）→练习该领域（79 题）→下一个领域 ↓
03

设计高性能架构

Design High-Performing Architectures

24%

学习目标

  • 能根据 S3、EBS（gp3、io2）、EFS、FSx 的性能特点选择符合要求的存储
  • 能从实例系列、Auto Scaling、Lambda 和容器中选择符合性能和弹性要求的计算服务
  • 能用 RDS、Aurora、DynamoDB、ElastiCache、DAX 和只读副本满足读写性能要求
  • 能选择 CloudFront、Global Accelerator、Direct Connect 和 VPC 架构，以及 Kinesis、Firehose、Glue、Athena 等数据摄取和转换方案

要点

  • 块存储 EBS 挂载到同一可用区的 EC2（gp3 是通用型，可分别设置 IOPS 和吞吐量；io2 适用于高 IOPS 数据库）。多台 Linux 服务器同时使用的共享文件用 EFS，Windows 文件共享用 FSx for Windows File Server，HPC 高速处理用 FSx for Lustre。
  • S3 用分段上传并行传输大文件，从远处上传可用 Transfer Acceleration 加速。S3 按前缀支持高请求速率。
  • 读取多的关系数据库用只读副本分散读取，常读数据缓存在 ElastiCache。DynamoDB 读取要达到微秒级用 DAX。
  • Aurora 的存储在 3 个可用区保存 6 份副本，最多支持 15 个只读副本。负载难以预测时，用 Aurora Serverless v2 自动调整容量。
  • 向全球用户分发静态和动态内容用 CloudFront（在边缘缓存）。要通过 AWS 网络把 TCP/UDP 流量送到最近的区域并使用固定的任播 IP，用 Global Accelerator。
  • 流数据摄取用 Kinesis Data Streams（多个消费者可重复读取），直接投递到 S3 或 Redshift 用 Amazon Data Firehose。数据转换（ETL）和数据目录用 AWS Glue，直接用 SQL 分析 S3 数据用 Athena。
  • HPC 节点间需要低延迟通信时用集群置放群组，分散故障影响时用分布置放群组。

工作中的应用场景

  • 销售全国销售人员使用的产品目录图片通过 CloudFront 分发，减少对总部服务器的访问并加快显示。
  • 财务月底集中的发票查询通过 Aurora 只读副本和 ElastiCache 分散，避免更新处理变慢。
  • 总务用 Firehose 把各办公点的门禁日志汇集到 S3，用 Athena 以 SQL 做月度统计。

考试评估项目（来自考试指南）

  • 3.1 Determine high-performing and/or scalable storage solutions.
  • 3.2 Design high-performing and elastic compute solutions.
  • 3.3 Determine high-performing database solutions.
  • 3.4 Determine high-performing and/or scalable network architectures.
  • 3.5 Determine high-performing data ingestion and transformation solutions.

学习资源

详细学习（5 个主题，附小测验）→练习该领域（72 题）→下一个领域 ↓
04

设计成本优化的架构

Design Cost-Optimized Architectures

20%

学习目标

  • 能用 S3 存储类别和生命周期、EBS 卷类型和快照管理降低存储费用
  • 能组合按需、Savings Plans、预留实例、竞价型实例和 Auto Scaling 降低计算费用
  • 能从费用角度选择数据库类型和容量模式（DynamoDB 按需/预置、Aurora Serverless）
  • 能选择考虑了 NAT 网关、VPC 终端节点、CloudFront、跨区域和跨可用区数据传输费用的网络架构

要点

  • S3：知道访问频率时，用生命周期规则转到 Standard-IA 或 Glacier 类别；访问模式难以预测时用 Intelligent-Tiering。Glacier Instant Retrieval 毫秒级取回，Flexible Retrieval 需几分钟到几小时，Deep Archive 最便宜，取回最多约 12 小时。
  • EBS 从 gp2 改为 gp3，往往能在相同性能下降低费用。删除不用的卷和旧快照。
  • 计算：始终运行的稳定负载用 Savings Plans 或预留实例，可中断的批处理或波动部分用竞价型实例，短期或不可预测的负载用按需实例。用 Auto Scaling 根据需求增减实例数量。
  • 用 Compute Optimizer 找出配置过大的实例并调整规格。用 Cost Explorer、Budgets 和成本分配标签让费用可见，超出预算时发出通知。
  • DynamoDB：流量难以预测或稀疏时用按需模式，稳定可预测时用预置模式（配合自动扩展）。夜间和周末不用的开发 RDS 要停止，或考虑 Aurora Serverless v2。
  • 私有子网与 S3、DynamoDB 之间流量很大时，用网关 VPC 终端节点（无额外费用）避免 NAT 网关的数据处理费用。
  • 数据传输：从互联网传入原则上免费，传出到互联网以及跨区域、跨可用区的流量收费。通过 CloudFront 分发通常比从源站直接分发更便宜。

工作中的应用场景

  • 财务设置生命周期规则，把需要保存 7 年的会计凭证在 1 年后转到 S3 Glacier Deep Archive，降低存储费用。
  • 总务为开发和测试用的 EC2 和 RDS 设置在工作日下班时间自动停止的计划，降低月度费用。
  • 销售夜间运行的潜在客户数据汇总批处理用竞价型实例运行，并设计成中断后可以重新执行。

考试评估项目（来自考试指南）

  • 4.1 Design cost-optimized storage solutions.
  • 4.2 Design cost-optimized compute solutions.
  • 4.3 Design cost-optimized database solutions.
  • 4.4 Design cost-optimized network architectures.

学习资源

详细学习（4 个主题，附小测验）→练习该领域（60 题）→挑战模拟考试 →

读完之后

练习全部领域（301 题）模拟考试（65 题 · 130 分钟）SAA-C03 首页
使用须知（非官方、原创题目、不保证合格）