AIAI Agent Dev Labaiagentdev-lab.com
登录以保存学习记录登录
菜单

SAP-C02 · LESSON 1

为组织复杂性设计解决方案26% · 5 个主题

学习为复杂组织设计网络连接、安全控制、可靠性、多账户环境和成本可视化。

1.1设计网络连接策略

1.1 设计网络连接策略。

概念

大型组织以 Transit Gateway 为中心连接大量 VPC、VPN 和 Direct Connect，并用路由表分隔路径（分开生产和开发、经过检查用 VPC 等）。与本地的名称解析使用 Route 53 Resolver 的入站和出站终端节点，公开服务使用 PrivateLink（CIDR 重叠也能连接）。Direct Connect 要遵循弹性建议（多个位置、多条连接）。

原理、步骤

  1. 规划 VPC CIDR 使其不重叠（重叠时使用 PrivateLink）
  2. 用 Transit Gateway 路由表按环境分隔路径
  3. 在两个位置实现 Direct Connect 冗余，并以 Site-to-Site VPN 作为备份
  4. 用 Route 53 Resolver 终端节点和规则与本地进行双向名称解析
  5. 用 RAM（Resource Access Manager）把共享网络共享给其他账户

工作中的示例

把 200 个 VPC 汇聚到 Transit Gateway，让所有对外流量经过检查用 VPC 中的 Network Firewall。本地的内部域名通过出站终端节点的转发规则解析。

易混淆点、考试注意事项

小测验

Q1. 希望从本地服务器经 Direct Connect、不经过互联网，把大量文件发送到 S3。最合适的配置是哪一项？

  1. 创建 S3 网关 VPC 终端节点，在本地路由器的路由表中指定该终端节点
  2. 在 VPC 中创建 NAT 网关，把来自本地的流量经 Direct Connect 发往 NAT 网关
  3. 创建 S3 接口 VPC 终端节点，从本地经 Direct Connect 连接该终端节点
  4. 为本地服务器分配公有 IP，经互联网发送到 S3 的公有终端节点
查看答案和解析

正确答案：C 创建 S3 接口 VPC 终端节点，从本地经 Direct Connect 连接该终端节点

网关终端节点只能通过 VPC 内的路由表使用，从本地无法到达。要从本地使用，应经 Direct Connect 或 VPN 使用拥有私有 IP 的接口终端节点。

Q2. VPC A 和 VPC B 已挂载到 Transit Gateway，两者的路由都已传播到 Transit Gateway 路由表。但 A 的 EC2 无法与 B 的 EC2 通信。接下来最应该确认的是哪一项？

  1. Transit Gateway 挂载是否启用了设备模式
  2. Transit Gateway 路由表中是否也添加了静态路由
  3. VPC A 和 B 是否启用了 DNS 解析和 DNS 主机名
  4. A 和 B 各子网的路由表中，是否有把对方 CIDR 指向 Transit Gateway 的路由
查看答案和解析

正确答案：D A 和 B 各子网的路由表中，是否有把对方 CIDR 指向 Transit Gateway 的路由

不仅 Transit Gateway 侧要有路由，各 VPC 子网的路由表也需要把对方 CIDR 指向 Transit Gateway 的路由。之后再确认安全组和网络 ACL。【其他选项】设备模式用于检查设备的路径。路由已经传播，不需要静态路由。DNS 设置与按 IP 地址的通信无关。

参考链接

1.2规定安全控制

1.2 规定安全控制。

概念

组织的安全控制由预防（SCP、RCP、IAM、权限边界）、检测（GuardDuty、Security Hub、Config、组织 CloudTrail 跟踪）和响应（EventBridge 和自动修复）组合而成。SCP 在整个组织范围设定主体（IAM 用户和角色）权限的上限，RCP（资源控制策略）设定对资源访问的上限。安全服务通过委派管理员账户集中管理。

原理、步骤

  1. 准备安全专用和日志专用的账户
  2. 为 GuardDuty、Security Hub、Config 设置委派管理员，并在所有账户中自动启用
  3. 用 SCP 禁止危险操作，用 RCP 限制来自组织外部对资源的访问
  4. 用权限边界设定开发人员所建角色的权限上限
  5. 用 EventBridge 把检测结果对接到自动修复处理

工作中的示例

设置 RCP 使组织外的主体无法访问 S3 存储桶，并用 SCP 禁止在任何账户中禁用 GuardDuty。

易混淆点、考试注意事项

小测验

Q1. 正在审查 AWS Organizations 的 OU（组织单位）结构。最符合 AWS 建议的思路是哪一项？

  1. 把安全、基础设施、工作负载（生产/开发）等治理要求相似的账户放在同一个 OU
  2. 按公司组织架构图的层级创建 OU，每次部门调整都移动 OU 结构和账户
  3. 把所有账户放在一个 OU 中，为每个账户单独创建并直接附加 SCP
  4. 把生产和开发工作负载放在同一个账户中，为了不增加账户数量而不创建 OU
查看答案和解析

正确答案：A 把安全、基础设施、工作负载（生产/开发）等治理要求相似的账户放在同一个 OU

OU 是应用策略的单位，因此应按治理要求（生产、开发、安全等）而不是组织架构来划分，这样组织调整时无需移动 OU。

Q2. 关于服务控制策略（SCP），错误的说法是哪一项？

  1. 被 SCP 明确拒绝的操作，即使成员账户的 IAM 策略允许也无法执行
  2. SCP 不适用于管理账户中的用户和角色
  3. 被 SCP 允许的操作，即使 IAM 策略未允许，账户用户也能执行
  4. SCP 也适用于成员账户的根用户
查看答案和解析

正确答案：C 被 SCP 允许的操作，即使 IAM 策略未允许，账户用户也能执行

SCP 只设定权限上限，不授予权限。实际执行还需要 IAM 策略等的允许。

参考链接

1.3设计可靠且有弹性的架构

1.3 设计可靠且有弹性的架构。

概念

组织的重要系统要按 RTO 和 RPO 选择灾难恢复策略（备份与还原、指示灯、温备用、多站点），并用跨区域复制（Aurora Global Database、DynamoDB 全局表、S3 跨区域复制）进行设计。AWS Elastic Disaster Recovery 通过对服务器的持续复制，以低成本实现较短的 RPO。

原理、步骤

  1. 为每个系统确定 RTO 和 RPO，并按重要程度分类
  2. 选择与重要程度相符的灾难恢复策略
  3. 在区域之间持续复制数据
  4. 用 Route 53 ARC（Application Recovery Controller）等控制切换
  5. 定期进行灾难恢复演练

工作中的示例

用 Elastic Disaster Recovery 把 50 台本地重要服务器持续复制到 AWS，灾难时几分钟内启动。平时只运行轻量的暂存区。

易混淆点、考试注意事项

小测验

Q1. 关于 VPC 对等连接，错误的说法是哪一项？

  1. 创建对等连接后，需要在双方的路由表中添加路由
  2. 如果 A 与 B、B 与 C 分别建立对等连接，A 就能经由 B 与 C 通信
  3. CIDR 重叠的 VPC 之间不能建立对等连接
  4. 可以与不同区域、不同账户的 VPC 建立对等连接
查看答案和解析

正确答案：B 如果 A 与 B、B 与 C 分别建立对等连接，A 就能经由 B 与 C 通信

VPC 对等连接不支持传递路由。要让 A 和 C 通信，需要直接在 A 和 C 之间建立对等连接，或者使用 Transit Gateway。

Q2. 希望集团所有账户中新建 VPC 的 CIDR 不与本地或其他 VPC 重叠。运维负担最小的方法是哪一项？

  1. 在 IPAM 中创建地址池，向组织的账户分配 CIDR 并监控重叠
  2. 在共享电子表格中记录正在使用的 CIDR，由创建 VPC 的人员手动确认并填写
  3. 所有 VPC 都使用相同的 10.0.0.0/16，重叠时用 NAT 转换后通信
  4. 让各账户管理员自由决定 CIDR，重叠后再重建 VPC
查看答案和解析

正确答案：A 在 IPAM 中创建地址池，向组织的账户分配 CIDR 并监控重叠

IPAM 可以自动完成整个组织 IP 地址的规划、分配和监控。手动台账容易出错和漏更新。

参考链接

1.4设计多账户 AWS 环境

1.4 设计多账户 AWS 环境。

概念

多账户环境用 AWS Organizations 的 OU（组织单位）对账户分类（安全、基础设施、工作负载、沙盒等），用 AWS Control Tower 自动构建着陆区（日志存档和审计账户、控制（防护机制）、Account Factory）。人员访问用 IAM Identity Center，共享资源用 RAM 分发。

原理、步骤

  1. 按用途和适用的策略设计 OU 结构
  2. 用 Control Tower 创建着陆区，分出日志账户和审计账户
  3. 按 OU 启用预防性和检测性控制
  4. 用 Account Factory（或 AFT）以标准设置发放新账户
  5. 用 IAM Identity Center 权限集管理每个账户的访问

工作中的示例

用 Account Factory 发放新项目账户时，会自动设置 CloudTrail、Config 和网络，并应用开发 OU 的防护机制。

易混淆点、考试注意事项

小测验

Q1. 希望把组织所有账户的 API 操作记录以防篡改的形式集中长期保存在一处。最合适的配置是哪一项？

  1. 保存在生产账户的 S3 存储桶中，通过存储桶策略让全体员工都能读取日志以提高透明度
  2. 让各账户管理员每月以 CSV 下载 CloudTrail 事件历史，按日期放到总部的共享文件夹
  3. 在各账户中分别创建 CloudTrail 跟踪，保存在各自账户的 S3 存储桶中
  4. 创建组织 CloudTrail 跟踪，保存到日志存档账户中启用了对象锁定的 S3 存储桶
查看答案和解析

正确答案：D 创建组织 CloudTrail 跟踪，保存到日志存档账户中启用了对象锁定的 S3 存储桶

使用组织跟踪可以把所有账户的事件汇总到一个 S3 存储桶。将其隔离到日志专用账户，并用对象锁定防止删除和覆盖。

Q2. 员工使用 Microsoft Entra ID 进行身份验证。希望用员工身份管理对所有账户的访问，并自动反映入职和离职。最合适的方法是哪一项？

  1. 在入职时请员工给 IAM 用户设置与 Entra ID 相同的密码
  2. 每个部门创建一个共享 IAM 用户，在部门内共享密码并定期更改
  3. 把 Entra ID 设为 IAM Identity Center 的身份源，用 SCIM 自动同步用户和组
  4. 在各账户中为每位员工创建 IAM 用户，收到人事部的离职通知后手动删除
查看答案和解析

正确答案：C 把 Entra ID 设为 IAM Identity Center 的身份源，用 SCIM 自动同步用户和组

把外部 IdP 设为身份源后，员工可以用公司内部身份登录，通过 SCIM 自动预置，入职和离职能立即反映。

参考链接

1.5确定成本优化和可视化策略

1.5 确定成本优化和可视化策略。

概念

整个组织的成本可视化使用整合账单、成本分配标签（用标签策略标准化）、AWS Cost Categories（按部门、产品等规则对费用分类），以及用 Athena 和 QuickSight 分析成本和使用情况报告（CUR）。Savings Plans 和预留实例的折扣在组织内共享，用 AWS Budgets 和 Cost Anomaly Detection 检测超预算和异常。

原理、步骤

  1. 确定标签标准（cost-center、env 等），并用标签策略强制执行
  2. 用 Cost Categories 根据账户和标签定义各部门的费用
  3. 把 CUR 输出到 S3，用 Athena 和 QuickSight 分析
  4. 在管理账户中购买 Savings Plans 并在组织中共享（必要时限制共享）
  5. 用 Budgets 和 Cost Anomaly Detection 发出通知

工作中的示例

为了每月把 AWS 费用分摊到各事业部，用账户和标签规则定义 Cost Categories，并通过 QuickSight 控制面板与各部长共享。

易混淆点、考试注意事项

小测验

Q1. 所有账户已纳入 Control Tower 管理。为了开始按事业部分摊费用，接下来应该做什么？

  1. 把集团整体费用按各公司销售额比例机械地分摊
  2. 用标签策略统一标签的添加方式，并激活成本分配标签
  3. 把全公司的账户合并为一个，彻底取消事业部的区分
  4. 由财务部每月把各公司账单 PDF 手动转录到电子表格
查看答案和解析

正确答案：B 用标签策略统一标签的添加方式，并激活成本分配标签

要用标签汇总费用，需要统一标签的添加方式并将其激活为成本分配标签。之后再用 Cost Categories 或 Cost Explorer 按事业部汇总。

Q2. 正在设计整个组织的防护机制。希望成员账户中的任何人，包括拥有管理员权限的用户，都无法停止或删除 CloudTrail 跟踪。最合适的机制是哪一项？

  1. 资源控制策略（RCP）
  2. 服务控制策略（SCP）
  3. Organizations 标签策略
  4. IAM 权限边界
查看答案和解析

正确答案：B 服务控制策略（SCP）

SCP 决定成员账户中 IAM 用户和角色（包括根用户）可执行操作的上限。拒绝优先于 IAM 策略的允许。

参考链接

课程由本站根据公开信息独立编写，不保证与考试内容一致。产品规格可能变化，请在参考链接中确认最新信息。

使用须知（非官方、原创题目、不保证合格）