SAP-C02 · LESSON 3
持续改进现有解决方案25% · 5 个主题
学习持续改进现有解决方案的卓越运营、安全性、性能、可靠性和成本的策略。
3.1制定提高卓越运营的策略
3.1 制定提高整体卓越运营的策略。
概念
运维改进的核心是自动化和可观测性。用 Systems Manager Automation 运行手册自动化例行作业（重启、打补丁、创建 AMI），用 CloudWatch（指标、日志、告警、Synthetics）和 X-Ray（分布式跟踪）实现状态可视化。用 EventBridge 检测事件，用 Incident Manager 等标准化响应。
原理、步骤
- 找出手动运维步骤，作为运行手册实现自动化
- 用 CloudWatch 控制面板和告警监控关键指标
- 用 X-Ray 找出慢的服务和依赖关系
- 用 EventBridge 规则根据事件启动自动响应
- 通过事后审查防止再次发生
工作中的示例
磁盘利用率超过 90% 时，由 EventBridge 通过 Systems Manager Automation 删除旧日志，并把结果通知到 Slack。
易混淆点、考试注意事项
- 把自动化作为运行手册进行版本管理和测试
- 只靠日志和指标，很难看出微服务哪里慢（需要跟踪）
- 变更管理（Change Manager）也属于运维范围
小测验
Q1. 关于 AWS X-Ray，错误的说法是哪一项？
- 可以与 Lambda、API Gateway 等集成并启用跟踪
- 可以用采样规则调整记录请求的比例
- 可以用服务地图显示请求跨多个服务流动的情况以及各段的延迟
- 无需修改应用代码或引入 SDK、代理，就能自动记录所有通信的内容
查看答案和解析
正确答案：D 无需修改应用代码或引入 SDK、代理，就能自动记录所有通信的内容
使用 X-Ray 需要用 SDK 进行检测、引入 ADOT 或 X-Ray 守护程序，或在服务侧启用跟踪。它记录的是跟踪信息，并不记录所有通信的内容。
Q2. 使用量持续增长的现有系统，到明年可能会触及服务配额上限。最合适的措施是哪一项？
- 等到触及上限出现错误后，再联系 AWS Support 商量对策
- 把用户数量冻结在当前水平，不让新部门使用系统
- 用 CloudWatch 监控 Service Quotas 的使用率，在接近上限之前申请提高
- 配额会随使用量自动增加，因此不需要特别监控或准备
查看答案和解析
正确答案：C 用 CloudWatch 监控 Service Quotas 的使用率，在接近上限之前申请提高
观察使用趋势，在达到配额前提高。部分 Service Quotas 使用率指标可以设置告警。
参考链接
3.2确定提高安全性的策略
3.2 确定提高安全性的策略。
概念
现有环境的安全改进使用 Security Hub（标准检查和检测结果汇总）、IAM Access Analyzer（检测外部访问和未使用的访问、生成策略）、Config 规则与自动修复以及 Inspector 漏洞扫描。密钥轮换和废除长期访问密钥也是改进对象。
原理、步骤
- 按 Security Hub 的标准（如 AWS 基础安全最佳实践）确认得分
- 用 Access Analyzer 找出对外公开的资源和未使用的权限
- 自动修复违反 Config 规则的资源
- 把长期访问密钥替换为 IAM 角色或 Identity Center
- 根据 Inspector 的结果优先修复严重漏洞
工作中的示例
Config 检测到“未加密的 EBS”时，通过自动修复借助快照进行加密，并在每月的会议上确认 Security Hub 的得分。
易混淆点、考试注意事项
- 借助 Access Analyzer 的未使用访问检测，可以接近最小权限
- 确认对生产的影响后再启用自动修复
- 只检测不处理，风险不会降低
小测验
Q1. 生产环境的设置在控制台中被手动更改，与验证环境不一致，成为故障原因。最合适的改进措施是哪一项？
- 用 AWS Config 记录配置更改，有变更时通知负责人
- 用 CloudTrail 记录变更操作，找出变更的负责人
- 用 CloudFormation 把配置代码化并通过模板变更，用偏差检测发现手动更改
- 在控制台变更生产前，建立审批变更申请的流程
查看答案和解析
正确答案：C 用 CloudFormation 把配置代码化并通过模板变更，用偏差检测发现手动更改
用代码管理配置，通过经过审查的模板进行变更。CloudFormation 的偏差检测可以发现模板与实际配置之间的差异。【其他选项】Config 或 CloudTrail 的记录能发现变更，但不能让各环境保持一致。只有审批流程，手动更改的不一致仍会存在。
Q2. Security Hub 发现许多账户的 S3 存储桶没有设置阻止公有访问。没有需要公开的存储桶。接下来最合适的做法是哪一项？
- 在所有账户启用账户级的公共访问阻止，并用 SCP 禁止更改
- 按 Security Hub 的每个发现向存储桶所有者发送工单
- 在存储桶策略中拒绝 aws:SecureTransport 为 false 的请求
- 为每个存储桶设置公共访问阻止，用 Config 规则监控
查看答案和解析
正确答案：A 在所有账户启用账户级的公共访问阻止，并用 SCP 禁止更改
账户级阻止可以防止该账户所有存储桶被公开。用 SCP 禁止更改设置，还能防止被改回。【其他选项】按存储桶设置会遗漏新的存储桶。工单处理慢且没有强制力。SecureTransport 是强制加密传输，不能阻止公开。
参考链接
3.3确定改善性能的策略
3.3 确定改善性能的策略。
概念
改善现有系统的性能，就是通过测量（CloudWatch、X-Ray、Performance Insights）找出瓶颈，再选择合适的对策（添加缓存、只读副本、更换实例、异步化、CDN）。Compute Optimizer 也会指出规格不足的资源。
原理、步骤
- 收集用户体验指标（延迟）和资源指标
- 用 Performance Insights 找出 RDS 中的慢查询
- 选择适合瓶颈的对策
- 在变更前后进行相同负载的测试，比较效果
- 达到目标后收回多余的资源
工作中的示例
用 Performance Insights 调查数据库 CPU 高的原因，发现是某个汇总查询导致的，于是添加索引，并把汇总结果缓存到 ElastiCache。
易混淆点、考试注意事项
- 不测量原因就扩大实例，可能只会增加费用
- Compute Optimizer 不仅指出过剩，也会指出不足
- 确认一致性要求后再添加缓存
小测验
Q1. 内部报价系统的 EC2 数月来 CPU 利用率持续超过 90%，响应很慢。Compute Optimizer 显示“资源不足”。接下来最合适的做法是哪一项？
- 忽略 Compute Optimizer 的建议，把 CPU 利用率告警阈值提高到 99%
- 把实例类型改小降低费用，用省下的预算引入其他监控工具
- 请用户减少报价单的数量，以降低 CPU 负载本身
- 在验证环境中试用建议的更大或更新一代的实例类型，确认效果后再变更
查看答案和解析
正确答案：D 在验证环境中试用建议的更大或更新一代的实例类型，确认效果后再变更
根据 Compute Optimizer 的建议和使用情况调整为合适的规格。在验证中确认效果后再变更生产环境。
Q2. 关于把 ElastiCache 用作缓存，错误的说法是哪一项？
- 为缓存数据设置 TTL（有效期），可以防止旧数据一直残留
- 把经常读取的数据放在内存中，可以降低数据库的读取负载
- 数据库更新时，需要在应用侧设计好缓存的更新或失效方法
- 数据放入后会自动与数据库始终保持同步，因此不必设计更新时缓存的处理
查看答案和解析
正确答案：D 数据放入后会自动与数据库始终保持同步，因此不必设计更新时缓存的处理
ElastiCache 不会自动与数据库同步。需要在应用侧设计缓存更新方式，如延迟加载、写入时更新和 TTL。
参考链接
3.4确定提高可靠性的策略
3.4 确定提高可靠性的策略。
概念
提高现有系统的可靠性，要找出单点故障（单个可用区、单台实例、单条连接）并实现冗余，再用 AWS Fault Injection Service（FIS）有意制造故障来确认耐受性（混沌工程）。AWS Resilience Hub 也可以根据 RTO 和 RPO 目标进行评估。
原理、步骤
- 审查架构，找出单点故障
- 用 Resilience Hub 评估是否满足目标 RTO 和 RPO
- 实现冗余（多可用区、Auto Scaling、双线 Direct Connect）
- 用 FIS 测试可用区故障和实例停止，确认恢复
- 根据结果改进步骤和架构
工作中的示例
用 FIS 进行停止一个可用区内实例的实验，确认 Auto Scaling 在另一个可用区补足数量需要 5 分钟，并据此重新考虑最小实例数。
易混淆点、考试注意事项
- FIS 实验要设置停止条件（CloudWatch 告警）安全进行
- 即使实现了冗余，不测试切换也无法保证可靠性
- Resilience Hub 负责评估和建议，FIS 负责实际注入故障
小测验
Q1. 希望在接近生产的环境中确认，当可用区故障或实例停止时，自动恢复机制和步骤是否真的有效。最合适的方法是哪一项？
- 用 AWS FIS 规划有意注入故障的实验，确定停止条件并观察影响
- 认为故障不会发生，自动恢复机制只要确认设计文档就足够了
- 在生产环境中由负责人不事先通知就手动接连停止实例来确认
- 以过去从未发生故障为由，判断机制能正确运作
查看答案和解析
正确答案：A 用 AWS FIS 规划有意注入故障的实验，确定停止条件并观察影响
AWS FIS 把故障注入作为实验管理，可以通过停止条件（告警）安全地停止，用于实际确认恢复机制和步骤。
Q2. 希望消除现有架构中的单点故障（SPOF）。三个可用区的私有子网全部经由 AZ-a 中的一个 NAT 网关访问互联网。最合适的措施是哪一项？
- 在另一个位置实现 Direct Connect 冗余
- 把文件迁移到 Amazon EFS
- 在每个可用区放置 NAT 网关
- 把 RDS 改为多可用区部署
查看答案和解析
正确答案：C 在每个可用区放置 NAT 网关
NAT 网关在其可用区内是冗余的，但无法承受可用区故障。应在每个可用区放置 NAT，让该可用区的子网指向它。
参考链接
3.5找出成本优化的机会
3.5 找出成本优化的机会。
概念
现有环境的成本削减机会可以通过 Compute Optimizer（EC2、EBS、Lambda 的规格调整）、S3 Storage Lens（存储使用情况和生命周期建议）、Cost Explorer 的 Savings Plans 建议以及 Trusted Advisor（闲置资源）来发现。未使用的弹性 IP、EBS、快照和旧一代实例也是对象。
原理、步骤
- 用 Cost Explorer 找出费用大的服务和账户
- 按 Compute Optimizer 的建议缩小规格
- 用 Storage Lens 找出未设置生命周期的存储桶
- 确认 Savings Plans 的建议和利用率后再购买
- 建立定期删除未使用资源的机制
工作中的示例
用 Storage Lens 发现某个存储桶残留了 50 TB 未完成的分段上传，用生命周期规则删除，降低月度费用。
易混淆点、考试注意事项
- Savings Plans 买得太多，未使用的部分也要付费
- 从旧一代实例改为新一代（如 Graviton）通常会更便宜
- 删除前确认所有者和备份
小测验
Q1. 无法掌握大量账户的 S3 中哪里保存了个人信息。最合适的方法是哪一项？
- 用 GuardDuty S3 保护检测对存储桶的可疑访问
- 用 S3 Storage Lens 查看各存储桶的对象数和容量
- 在整个组织启用 Amazon Macie，自动发现 S3 中的敏感数据
- 用 AWS Config 规则找出未加密的存储桶
查看答案和解析
正确答案：C 在整个组织启用 Amazon Macie，自动发现 S3 中的敏感数据
Macie 用机器学习和模式匹配分析 S3 数据，检测个人信息等敏感数据，可以通过委派管理员集中管理整个组织。【其他选项】Config 检查设置，不查看对象中的个人信息。Storage Lens 是用量分析。GuardDuty 检测访问威胁，不对数据分类。
Q2. 全公司开始削减 AWS 费用。首先应做的事，最合适的是哪项？
- 购买 Compute Savings Plans，降低 EC2 和 Lambda 的单价
- 给所有部门统一 20% 的削减目标，方法由各部门决定
- 在 Cost Explorer 中查看按使用类型的明细，从效果大的项目确定优先顺序
- 按 Compute Optimizer 的建议更改所有实例的大小
查看答案和解析
正确答案：C 在 Cost Explorer 中查看按使用类型的明细，从效果大的项目确定优先顺序
首先掌握费用明细和原因，从效果大的项目着手。没有依据的统一削减或一次性变更，有影响业务的风险。【其他选项】Savings Plans 要在了解用量后购买。一次性套用建议没有确认对业务的影响。统一目标没有关注效果大的项目。
参考链接
课程由本站根据公开信息独立编写，不保证与考试内容一致。产品规格可能变化，请在参考链接中确认最新信息。
使用须知（非官方、原创题目、不保证合格）
- 本站题目是根据官方公开的技能大纲和考试指南独立编写的原创练习题，并非真实考试题目。
- Amazon Web Services、AWS 及相关标志是 Amazon.com, Inc. 或其关联公司的商标。本站与 AWS 无合作关系，也未获得 AWS 的认可或推荐。
- 本内容仅为学习辅助，不保证考试合格。考试内容、形式和前提条件可能随时变更，参加考试前请务必在官方页面确认最新信息。
- 模拟考试的正确率无法换算为官方（换算）分数，也不能预测是否合格。
- 进度仅保存在本浏览器（localStorage）中；使用 Google 登录后才会同步到账号。可在“Cookie 与存储设置”页面（日语）中删除。