Đáp án Quiz AWS & Cloud — 74 câu hỏi có giải thích

Đáp án: D

Region là một vùng địa lý (ví dụ Singapore, Tokyo). Bên trong mỗi Region có nhiều Availability Zone — mỗi AZ là một hoặc nhiều trung tâm dữ liệu tách biệt về nguồn điện, làm mát và mạng, nối với nhau bằng đường truyền độ trễ thấp.

Đáp án: D

Nhà cung cấp lo bảo mật CỦA đám mây (hạ tầng vật lý, phần cứng, ảo hóa). Khách hàng lo bảo mật TRONG đám mây: phân quyền IAM, cấu hình bucket và security group, mã hóa dữ liệu, vá hệ điều hành trên máy ảo, quản lý khóa truy cập.

Đáp án: D

Lưu trữ đối tượng (object storage): mỗi tệp là một object có khóa, nội dung và metadata, truy cập qua API HTTP chứ không mount như ổ đĩa. Phù hợp cho ảnh, video, bản sao lưu, tệp tĩnh, dữ liệu thô.

Đáp án: C

Chạy theo sự kiện, tự co giãn, và tính tiền theo số lần gọi cộng thời gian thực thi — không có sự kiện thì không tốn tiền compute. Đổi lại có giới hạn thời gian mỗi lần chạy (tối đa 15 phút) và hiện tượng khởi động nguội.

Đáp án: B

Có trạng thái (stateful) — cho phép kết nối vào thì trả lời tự động đi ra được, không cần luật riêng. Chỉ có luật cho phép, không có luật từ chối. Gắn ở cấp tài nguyên (EC2, RDS, load balancer), không phải cấp subnet.

Đáp án: C

Gán IAM role cho EC2 instance. Ứng dụng lấy thông tin xác thực tạm thời qua metadata của máy, tự xoay vòng, và không có khóa dài hạn nào nằm trong code hay biến môi trường.

Đáp án: A

Là mạng phân phối nội dung (CDN): lưu bản sao nội dung ở các điểm biên gần người dùng, nên giảm độ trễ và giảm tải cho hạ tầng gốc. Thường đặt trước S3 hoặc trước load balancer.

Đáp án: B

Để sẵn sàng cao: một bản dự phòng đồng bộ ở AZ khác, tự chuyển sang khi bản chính hỏng. Nó không dùng để tăng khả năng đọc — muốn chia tải đọc thì dùng read replica (sao chép bất đồng bộ).

Đáp án: C

Spot Instance — dùng năng lực dư của AWS nên rẻ hơn On-Demand rất nhiều, đổi lại có thể bị thu hồi khi AWS cần lại (có thông báo trước vài phút). Phù hợp cho việc chịu được gián đoạn: xử lý theo lô, render, huấn luyện mô hình, môi trường kiểm thử.

Đáp án: D

Chỉ khác nhau ở bảng định tuyến: subnet công khai có đường đi tới internet gateway, subnet riêng thì không. Tài nguyên trong subnet riêng muốn gọi ra internet phải đi qua NAT gateway đặt ở subnet công khai.

Đáp án: A

Elastic IP là địa chỉ công khai thuộc về tài khoản, gắn và tháo được giữa các tài nguyên, giữ nguyên qua các lần khởi động lại. Địa chỉ công khai mặc định thì bị cấp lại mỗi lần instance dừng rồi chạy lại.

Đáp án: B

Dùng EFS khi cần một hệ thống file chia sẻ giữa nhiều instance. EBS là ổ đĩa khối gắn cho một instance, phù hợp cho cơ sở dữ liệu và hệ điều hành. S3 là kho đối tượng cho file ghi trọn vẹn rồi đọc lại.

Đáp án: A

Security group gắn với instance, có trạng thái (cho phép phản hồi tự động), và chỉ có luật cho phép. Network ACL gắn với subnet, không có trạng thái (phải khai báo cả hai chiều), và có cả luật cho phép lẫn từ chối.

Đáp án: D

NAT gateway cho tài nguyên trong private subnet khởi tạo kết nối ra Internet — để tải bản vá, gọi API bên ngoài — trong khi vẫn không nhận được kết nối từ Internet vào. Đây là cách giữ máy chủ ẩn mà vẫn cập nhật được.

Đáp án: B

Bản ghi alias dùng được ở đỉnh tên miền (ví dụ example.com) — điều mà CNAME không làm được theo chuẩn DNS — và không bị tính phí truy vấn khi trỏ tới tài nguyên AWS. CNAME chỉ dùng cho tên miền con.

Đáp án: C

Chứng chỉ công khai của ACM miễn phí và tự gia hạn khi gắn với các dịch vụ hỗ trợ (ALB, CloudFront, API Gateway). Đổi lại không xuất được khoá riêng, nên không dùng cho máy chủ tự quản lý.

Đáp án: C

Tag cho phép phân bổ chi phí theo đội, môi trường và dịch vụ; xác định chủ sở hữu khi cần dọn dẹp; và chọn tài nguyên theo điều kiện cho tự động hoá và cho policy IAM. Không có tag thì hoá đơn chỉ là một danh sách dịch vụ.

Đáp án: C

Hạn mức tính theo từng tài khoản và từng region, phần lớn nâng được qua yêu cầu nhưng cần thời gian xử lý. Đây là lý do nên rà hạn mức trước các đợt cao điểm hoặc trước khi mở rộng sang region mới, thay vì phát hiện khi đang triển khai.

Đáp án: C

Nó phân tích số liệu sử dụng thực tế (CPU, mạng, đĩa và bộ nhớ nếu có agent) trong khoảng thời gian đủ dài, rồi đề xuất loại tài nguyên phù hợp hơn. Áp dụng cho EC2, Auto Scaling Group, volume EBS và hàm Lambda.

Đáp án: C

Tài khoản gốc có toàn quyền không thể giới hạn — Service Control Policy và permissions boundary đều không áp được cho nó. Vì vậy chỉ dùng cho vài thao tác bắt buộc, bật xác thực nhiều yếu tố, xoá mọi access key của nó, và tạo người dùng IAM riêng cho công việc hằng ngày.

Đáp án: B

Chọn NLB khi làm việc ở tầng 4 (TCP/UDP), cần độ trễ rất thấp, cần địa chỉ IP tĩnh, hoặc giao thức không phải HTTP. Chọn ALB cho ứng dụng web cần định tuyến theo đường dẫn, theo tên miền, hoặc dùng WebSocket và gRPC.

Đáp án: C

SQS là hàng đợi: tin nhắn nằm chờ, consumer kéo về xử lý rồi xóa — mỗi tin thường chỉ một consumer xử lý. SNS là phát tán: một thông điệp đẩy tới mọi subscriber cùng lúc (nhiều hàng đợi, hàm, email, HTTP).

Đáp án: D

Tránh phân vùng nóng: khóa có ít giá trị hoặc lệch mạnh (ví dụ dùng ngày hiện tại, hoặc trạng thái đơn hàng) sẽ dồn phần lớn đọc ghi vào một phân vùng và bị chặn thông lượng dù cả bảng vẫn còn dư.

Đáp án: D

Dùng lớp archive (Glacier Flexible Retrieval hoặc Deep Archive tùy mức độ chấp nhận chờ khi lấy ra). Cách làm chuẩn là đặt lifecycle policy tự chuyển object sang lớp lạnh dần theo tuổi, thay vì chọn tay từng tệp.

Đáp án: B

Truyền dữ liệu: dữ liệu ra internet, dữ liệu qua NAT gateway, và lưu lượng chéo giữa các AZ. Chúng tính theo gigabyte nên tăng âm thầm theo lưu lượng, trong khi lúc thiết kế người ta chỉ nhìn giá máy chủ.

Đáp án: B

Với Fargate, bạn không quản lý máy chủ bên dưới — chỉ khai báo CPU và bộ nhớ cho từng task. Với EC2 launch type, bạn tự quản cụm máy: vá lỗi, co giãn, tối ưu mật độ container, và tự chịu phần năng lực dư.

Đáp án: D

Cấu hình cho phép truy cập công khai — bucket policy quá rộng, ACL mở, hoặc URL ký sẵn có thời hạn quá dài. Đây là lỗi phía khách hàng, đúng phần khách hàng chịu trách nhiệm trong mô hình trách nhiệm chung.

Đáp án: C

Dựa trên chỉ số phản ánh tải thật: số yêu cầu trên mỗi máy hoặc CPU trung bình, thường dùng chính sách bám mục tiêu (target tracking). Có thể kết hợp co giãn theo lịch cho các mốc tải biết trước như giờ mở bán.

Đáp án: D

CloudWatch trả lời "hệ thống đang chạy thế nào" — chỉ số, nhật ký ứng dụng, cảnh báo. CloudTrail trả lời "ai đã làm gì" — nhật ký mọi lời gọi API tới tài khoản, dùng cho kiểm toán và điều tra sự cố bảo mật.

Đáp án: B

Sáu: xuất sắc vận hành, bảo mật, độ tin cậy, hiệu quả hiệu năng, tối ưu chi phí, và tính bền vững (trụ cột bền vững được bổ sung sau, năm 2021).

Đáp án: A

Dùng failover routing kèm health check: Route 53 kiểm tra sức khỏe endpoint chính, khi hỏng thì trả về bản ghi dự phòng. Các chính sách còn lại (weighted, latency, geolocation, multivalue) phục vụ mục đích khác.

Đáp án: B

Giảm độ trễ và tải đọc cho dữ liệu hay được truy cập: kết quả truy vấn nặng, phiên đăng nhập, bảng xếp hạng, giới hạn tần suất gọi. Cache không phải nguồn sự thật — dữ liệu ở đó có thể mất bất cứ lúc nào.

Đáp án: B

Dùng dịch vụ quản lý bí mật (Secrets Manager hoặc Parameter Store dạng SecureString): bí mật được mã hóa, quyền đọc kiểm soát bằng IAM, có nhật ký truy cập, và xoay vòng được mà không phải triển khai lại ứng dụng.

Đáp án: B

RTO (Recovery Time Objective): hệ thống được phép gián đoạn tối đa bao lâu. RPO (Recovery Point Objective): được phép mất tối đa bao nhiêu dữ liệu, tính theo khoảng thời gian kể từ bản sao lưu gần nhất.

Đáp án: A

Quay lui gần như tức thì: môi trường cũ vẫn chạy nguyên vẹn nên chỉ cần trỏ lưu lượng về là xong. Đổi lại phải chạy song song hai môi trường trong lúc chuyển, nên tốn tài nguyên hơn rolling update.

Đáp án: A

Drift: trạng thái thật của hạ tầng lệch khỏi mã khai báo. Lần chạy IaC kế tiếp có thể ghi đè mất thay đổi tay, hoặc thất bại vì trạng thái không như nó tưởng — và cả hai đều thường xảy ra vào lúc đang xử lý sự cố.

Đáp án: B

Định tuyến theo nội dung: EventBridge có luật khớp theo cấu trúc sự kiện, nên một bus có thể gửi đúng loại sự kiện tới đúng đích. SNS phát tán cho mọi subscriber của một topic (có lọc theo thuộc tính nhưng đơn giản hơn nhiều).

Đáp án: D

Bật versioning: mọi lần ghi đè hay xóa đều giữ lại phiên bản cũ để khôi phục. Kết hợp với lifecycle policy để dọn phiên bản cũ theo tuổi, tránh chi phí lưu trữ phình ra vô hạn.

Đáp án: A

Vì Lambda co giãn theo chiều ngang rất nhanh: mỗi phiên bản hàm giữ kết nối riêng, nên một nghìn lần gọi đồng thời tạo tới cả nghìn kết nối — vượt giới hạn của cơ sở dữ liệu. Cách chữa chuẩn là đặt một bộ gom kết nối (RDS Proxy) ở giữa.

Đáp án: C

Tạo role ở tài khoản B với quyền hẹp trên bucket đó, cho phép nguyên tắc từ tài khoản A đảm nhận role. Ứng dụng gọi AssumeRole để lấy thông tin xác thực tạm thời — không có khóa dài hạn nào bị chia sẻ giữa hai tài khoản.

Đáp án: C

Lambda phù hợp khi tải không đều, thời gian xử lý ngắn, và không cần giữ trạng thái: xử lý sự kiện, webhook, tác vụ theo lịch, xử lý file sau khi tải lên. Với tải cao và đều, container chạy thường trực thường rẻ hơn và kiểm soát được nhiều hơn.

Đáp án: D

Multi-AZ giữ một bản dự phòng đồng bộ ở zone khác, không phục vụ truy vấn, và tự động chuyển đổi khi bản chính hỏng — đây là giải pháp cho tính sẵn sàng. Read replica sao chép bất đồng bộ và phục vụ được truy vấn đọc — đây là giải pháp cho mở rộng đọc.

Đáp án: C

Phí truyền dữ liệu: ra Internet, giữa các availability zone, và giữa các region. Nó không xuất hiện khi ước tính theo cấu hình máy chủ nhưng tăng theo lưu lượng thật, và với kiến trúc nhiều dịch vụ gọi chéo zone thì chiếm phần đáng kể trong hoá đơn.

Đáp án: B

Chọn Kinesis khi cần giữ lại luồng dữ liệu và cho nhiều consumer độc lập đọc theo vị trí riêng, kèm bảo đảm thứ tự trong từng phân vùng. SQS phù hợp hơn khi mỗi thông điệp chỉ cần một người xử lý rồi biến mất.

Đáp án: B

HTTP API rẻ hơn đáng kể và có độ trễ thấp hơn, hỗ trợ JWT và IAM. REST API có thêm request validation, API key kèm usage plan, WAF, và biến đổi request phức tạp. Không cần các tính năng đó thì HTTP API là lựa chọn mặc định hợp lý.

Đáp án: C

Từ chối tường minh luôn thắng. Thứ tự đánh giá: mặc định là từ chối; một Allow phù hợp sẽ cho phép; nhưng bất kỳ Deny nào khớp cũng phủ quyết toàn bộ. Nhờ vậy có thể đặt các luật cấm ở cấp tổ chức mà không ai bên dưới ghi đè được.

Đáp án: A

DynamoDB thiết kế theo mẫu truy vấn: liệt kê trước các câu hỏi mà ứng dụng sẽ hỏi, rồi chọn khoá phân vùng và khoá sắp xếp sao cho mỗi câu hỏi trả lời được bằng một lần đọc. Không có join, nên dữ liệu liên quan thường được gộp trong cùng một phân vùng.

Đáp án: C

Với gp2, IOPS tỷ lệ thuận với dung lượng nên muốn nhanh hơn phải mua đĩa lớn hơn. gp3 tách hai thứ đó: đặt dung lượng theo nhu cầu lưu trữ và đặt IOPS cùng thông lượng riêng, thường rẻ hơn ở cùng mức hiệu năng.

Đáp án: A

Ngoài cache, CloudFront kết thúc TLS gần người dùng (giảm độ trễ bắt tay), giảm chi phí truyền dữ liệu so với truyền thẳng từ dịch vụ gốc, và là điểm gắn WAF cùng bảo vệ trước tấn công từ chối dịch vụ ở tầng mạng.

Đáp án: D

Ba hướng cùng lúc: đặt thời hạn lưu cho từng log group (mặc định là lưu vĩnh viễn); giảm khối lượng nạp vào bằng cách chỉnh mức log và bỏ các dòng lặp vô nghĩa; và chuyển log cũ sang S3 với lớp lưu trữ rẻ hơn cho nhu cầu tuân thủ.

Đáp án: A

IRSA gắn IAM role vào service account của Kubernetes, nên mỗi pod chỉ nhận đúng quyền nó cần. Không có nó, mọi pod trên node dùng chung IAM role của node — vi phạm nguyên tắc quyền tối thiểu và khiến một pod bị xâm nhập ảnh hưởng tới toàn bộ.

Đáp án: A

Streams phát ra mọi thay đổi trên bảng theo thứ tự trong từng phân vùng khoá, kèm ảnh trước và sau. Dùng để kích hoạt Lambda cập nhật chỉ mục tìm kiếm, đồng bộ sang kho phân tích, gửi thông báo, hoặc duy trì bảng tổng hợp.

Đáp án: D

Bật quét lỗ hổng khi đẩy image, đặt tag ở chế độ không ghi đè được để mỗi tag trỏ cố định vào một nội dung, và dùng chính sách vòng đời để dọn các image cũ. Không bao giờ đưa bí mật vào image.

Đáp án: D

VPC peering không truyền tiếp: A nối B và B nối C không làm A thấy C. Vì vậy nối đủ mọi cặp cần số kết nối tăng theo bình phương, cùng với số bảng định tuyến phải duy trì. Transit Gateway giải quyết bằng mô hình trung tâm và nan hoa.

Đáp án: A

User pool là kho người dùng và hệ thống xác thực: đăng ký, đăng nhập, xác thực hai yếu tố, liên kết với nhà cung cấp bên ngoài; kết quả là token. Identity pool đổi token đó lấy thông tin đăng nhập AWS tạm thời để client gọi thẳng các dịch vụ.

Đáp án: C

Dùng EventBridge Scheduler: lịch chạy nằm ở tầng hạ tầng, kích hoạt Lambda, tác vụ ECS hoặc Step Functions. Không phụ thuộc một máy chủ cụ thể, không chạy trùng khi có nhiều instance, và có sẵn cơ chế thử lại cùng đích cho lần chạy thất bại.

Đáp án: B

Chính sách vòng đời tự động chuyển đối tượng sang lớp lưu trữ rẻ hơn theo tuổi, và xoá khi hết thời hạn cần giữ. Đây là cách giảm chi phí lưu trữ hiệu quả nhất mà không cần thay đổi mã ứng dụng.

Đáp án: C

Giảm kích thước gói triển khai và phần chạy lúc khởi tạo: chỉ nạp thư viện thực sự dùng, khởi tạo kết nối theo kiểu lười, và tránh đọc cấu hình từ dịch vụ ngoài trong phần khởi tạo. Khi vẫn không đủ, dùng provisioned concurrency cho đường xử lý nhạy về độ trễ.

Đáp án: D

Dùng Origin Access Control: bucket chặn mọi truy cập công khai và chỉ cho phép phân phối CloudFront đọc. Muốn giới hạn theo từng người dùng thì thêm signed URL hoặc signed cookie với thời hạn ngắn.

Đáp án: D

Flow Logs ghi siêu dữ liệu của từng luồng: địa chỉ nguồn và đích, cổng, giao thức, số gói và byte, cùng trạng thái được chấp nhận hay bị từ chối. Không có nội dung gói tin, nên đây là công cụ điều tra đường đi lưu lượng chứ không phải công cụ đọc dữ liệu.

Đáp án: A

Tắt: một phân mảnh duy nhất với các bản sao đọc, đơn giản nhất và dùng được mọi lệnh. Bật: dữ liệu chia thành nhiều phân mảnh, vượt được giới hạn bộ nhớ và thông lượng của một node, nhưng lệnh nhiều khoá bị ràng buộc trong cùng slot.

Đáp án: D

Athena chạy truy vấn SQL trực tiếp trên file trong S3 theo lược đồ khai báo trong catalog. Không cần nạp dữ liệu, không cần duy trì cụm, tính phí theo lượng dữ liệu quét. Phù hợp cho phân tích không thường xuyên trên dữ liệu đã có sẵn trong S3.

Đáp án: B

PrivateLink phơi một dịch vụ cụ thể qua một endpoint trong VPC của bên dùng, thay vì nối hai mạng. Hai bên không thấy mạng của nhau, dải địa chỉ chồng lấn không thành vấn đề, và lưu lượng không đi ra Internet.

Đáp án: C

Phù hợp khi tải dao động mạnh hoặc khó dự đoán: môi trường phát triển, ứng dụng có cao điểm theo giờ, hoặc hệ thống mới chưa biết quy mô. Với tải cao và đều, instance cố định kèm cam kết dài hạn thường rẻ hơn đáng kể.

Đáp án: B

Cấu hình đủ SPF, DKIM và DMARC cho tên miền gửi; tách tên miền con riêng cho thư giao dịch; theo dõi tỷ lệ thư bị trả về và bị báo là rác; và xử lý ngay các địa chỉ không nhận được thư. Uy tín người gửi được xây dựng dần chứ không có sẵn.

Đáp án: A

Quy tắc theo tần suất đếm request từ một địa chỉ nguồn trong cửa sổ thời gian và chặn khi vượt ngưỡng. Dùng để hạn chế dò mật khẩu, quét đường dẫn tự động, và lạm dụng API — bổ sung cho giới hạn tần suất ở tầng ứng dụng chứ không thay thế.

Đáp án: C

Config rule đánh giá tài nguyên theo quy định và báo tài nguyên nào không tuân thủ — ví dụ bucket S3 mở công khai, volume EBS chưa mã hoá, security group mở cổng quản trị ra Internet. Có thể gắn hành động khắc phục tự động.

Đáp án: C

Cách được khuyến nghị là hạ tầng bất biến: dựng image mới đã vá, kiểm thử, rồi thay thế dần các instance. Khi buộc phải vá tại chỗ, dùng Patch Manager với cửa sổ bảo trì và nhóm vá theo môi trường.

Đáp án: A

Direct Connect khi cần băng thông lớn, độ trễ ổn định và lưu lượng truyền ra thường xuyên với khối lượng lớn — nó cũng có giá truyền dữ liệu thấp hơn. VPN khi cần thiết lập nhanh, chi phí thấp, hoặc chỉ dùng làm đường dự phòng.

Đáp án: D

Hai thứ quyết định: health check phản ánh đúng trạng thái sẵn sàng của ứng dụng (không chỉ kiểm tra cổng mở), và thời gian chờ tắt đủ dài để task cũ hoàn tất request đang chạy sau khi bị gỡ khỏi target group.

Đáp án: D

Replication sao chép đối tượng sang bucket khác — cùng region hoặc khác region — phục vụ khôi phục thảm hoạ, giảm độ trễ cho người dùng ở xa, hoặc tách quyền bằng cách để bản sao ở một tài khoản khác.

Đáp án: C

Savings Plans cam kết một mức chi tiêu mỗi giờ và áp dụng linh hoạt cho EC2, Fargate và Lambda; đổi loại instance hay region vẫn được giảm giá. Reserved Instance gắn với cấu hình cụ thể hơn nhưng có thể mua bán lại trên thị trường thứ cấp.

Đáp án: B

Client tải thẳng lên S3 bằng presigned URL, S3 phát sự kiện, và một hàm hoặc worker xử lý bất đồng bộ rồi cập nhật trạng thái. Máy chủ ứng dụng chỉ cấp URL và nhận kết quả, không phải trung chuyển dữ liệu.

Đáp án: D

Hai việc quan trọng nhất: tự động tắt ngoài giờ làm việc (tiết kiệm khoảng hai phần ba thời gian trong tuần), và dựng lại được hoàn toàn từ mã hạ tầng để có thể xoá hẳn môi trường không dùng thay vì để nó chạy.