정답 · 해설

해설

【핵심 용어】 ▸ Resource-Based Policy — S3 버킷 레벨 IP 제어 ▸ SCP — OU 레벨 권한 거부 ▸ OU-Level Access Revocation — 조직 구조 기반 제어 【정답 포인트】 ▸ Resource Policy: 새 IP 범위만 허용 (S3 버킷에 직접 적용) ▸ SCP Deny: S3 액세스 거부 (두 OU 적용) 조합: IP 변경 + OU 권한 취소를 동시에 구현 【오답 체크】 (A) 권한 경계는 IAM Role/User용, Permission Set에는 미적용 (B) Allow 기반 SCP는 새 액션 추가 시 유지보수 필요 (D) 권한 경계는 조직 계정 역할에 미적용 (S3 리소스 정책만으로 부분 해결) 【시험 포인트】 ▸ 리소스 정책 + SCP 조합 → 이중 제어 ▸ IP 기반 제어 → 리소스 정책 ▸ OU 기반 권한 거부 → SCP ▸ 10개 버킷 일괄 관리 → 리소스 정책의 효율성 ▸ 조직 계층 제어의 이해

해설

【핵심 용어】 ▸ AWS Control Tower — 랜딩 존 + 자동화된 계정 거버넌스 ▸ Guardrails — 예방적/탐지적 제어 ▸ Account Factory — 새 계정 자동 프로비저닝 【정답 포인트】 ▸ Control Tower는 예방적 제어(SCP) + 탐지적 제어(Config) 통합 제공 ▸ 기존 계정 등록 지원 ▸ Account Factory로 신규 계정 자동 프로비저닝 및 설정 ▸ 운영 효율성 극대화 【오답 체크】 (A) Organizations만으로는 탐지적 제어(Config) 미흡 (C) CloudFormation은 수동 스택 세트 관리 필요, Control Tower 자동화 미달 (D) AWS Config는 탐지 전용, 예방적 제어(SCP) 포함 안 됨 【시험 포인트】 ▸ 예방적 + 탐지적 제어 필요 → Control Tower ▸ 기존/신규 계정 동시 관리 → Account Factory ▸ Guardrail = SCP + Config 규칙 + 자동 수정 ▸ 장기적 확장성 → Control Tower의 설계 우월성

해설

【핵심 용어】 ▸ Native Git — git clone 및 git push로 태그 관리 ▸ Git Tag — 버전 관리, Git 네이티브 기능 ▸ CodeBuild Credentials — 자동 CodeCommit 액세스 【정답 포인트】 ▸ Native Git 사용 → CodeBuild가 CodeCommit 자격증명 자동 처리 ▸ Git Tag 생성/푸시 → git 명령으로 직접 처리 ▸ 버전 관리 표준화 → Git 네이티브 태그 (AWS CLI 아님) 【오답 체크】 (B) "Repository Tag"는 Git 표준이 아님 (AWS 고유 용어로 모호) (C) AWS CLI로 코드 복사는 비효율, Git 클론이 표준 (D) "Repository Tag"는 Git 태그가 아님 (AWS CLI로 생성 불가) 【시험 포인트】 ▸ Git 버전 관리 → Git 네이티브 태그 사용 ▸ CodeBuild + CodeCommit → Native Git 통합 활용 ▸ CI/CD 표준 패턴 → git clone + unit test + git tag ▸ AWS 서비스 간 자격증명 자동 처리의 이해

해설

【핵심 용어】 ▸ ECS Task State Changes — ECS 작업 생명 주기 이벤트 ▸ EventBridge → CloudWatch Logs — 이벤트 수집 및 저장 ▸ CloudWatch Logs Insights — 로그 쿼리 및 분석 【정답 포인트】 ▸ EventBridge는 ECS 작업 상태 변경 감지 (native integration) ▸ CloudWatch Logs로 중앙화된 로깅 ▸ Logs Insights로 중지된 작업 조사 가능 【오답 체크】 (B) 내장 메트릭 형식은 메트릭 전용, 상세 로그 저장 불가 (C) EC2 인스턴스 로그는 ECS 작업 상태 정보 미포함 (D) Auto Scaling 수명 주기는 인스턴스 레벨, 작업 로깅 불가 【시험 포인트】 ▸ ECS 작업 모니터링 → EventBridge + CloudWatch Logs ▸ 중지된 작업 추적 → 이벤트 기반 접근 ▸ 조사 및 분석 → Logs Insights의 강력한 쿼리 기능 ▸ 표준화된 ECS 로깅 아키텍처

해설

【핵심 용어】 ▸ Instance Profile — EC2 인스턴스에 IAM 역할 할당 ▸ Temporary Credentials — STS 자동 제공 ▸ Least Privilege — 최소 필요 권한만 부여 【정답 포인트】 ▸ A: 최소 권한의 IAM 역할 생성 → S3 버킷 액세스만 허용 ▸ B: 시작 템플릿에 인스턴스 프로필 추가 → 자동 할당 조합: Instance Profile로 EC2가 자동으로 임시 자격증명 획득 【오답 체크】 (C) IAM 사용자 + 비밀 키 → 장기 자격증명 (임시 아님), 보안 위험 (D) "Trust Anchor"는 표준 AWS 용어 아님 (E) 사용자 데이터에 비밀 키 저장 → 보안 위험, 로그 노출 【시험 포인트】 ▸ EC2 임시 자격증명 → Instance Profile + IAM Role ▸ 최소 권한 원칙 → Role의 정책 범위 제한 ▸ 보안 모범 사례 → 장기 자격증명 미사용 ▸ Launch Template으로 일괄 설정 가능

해설

【핵심 용어】 ▸ Blue/Green Deployment — 새 환경으로 무중단 전환 ▸ HalfAtAtime — 절반씩 트래픽 이동 ▸ BeforeAllowTraffic Hook — 트래픽 허용 전 정리 작업 【정답 포인트】 ▸ Blue/Green: 새 인스턴스 집합 자동 생성 + 무중단 전환 ▸ HalfAtAtime: 절반씩 트래픽 이동 → 최소 절반 성공 조건 만족 ▸ BeforeAllowTraffic: 임시 파일 삭제 후 트래픽 허용 ▸ Automatically copy: 자동 인스턴스 프로비저닝 【오답 체크】 (A) 인플레이스 배포는 새 인스턴스 생성 불가 (B) BeforeBlockTraffic은 트래픽 차단 전 단계 (트래픽 이동 전 아님) (D) AllAtOnce는 한 번에 모두, 절반씩 이동 불가 【시험 포인트】 ▸ 무중단 배포 → Blue/Green ▸ 단계적 트래픽 전환 → HalfAtAtime ▸ 정리 작업 시점 → BeforeAllowTraffic ▸ CodeDeploy 배포 구성의 정확한 이해 ▸ appspec.yml 라이프사이클 훅의 순서

해설

【핵심 용어】 ▸ AFC (Account Factory Customization) — Control Tower 계정 생성 자동화 ▸ Guardrails — 자동 기준선 적용 ▸ Baseline Configuration — 초기 설정 템플릿 【정답 포인트】 ▸ AFC 블루프린트로 기준선 포함된 계정 자동 생성 ▸ Control Tower Account Factory 사용 → 가드레일 자동 적용 ▸ 최소 운영 오버헤드 → 추가 StackSets 불필요 【오답 체크】 (B) Account Factory + StackSets → 이중 배포 (오버헤드) (C) Lambda 직접 사용 → 수동 구성 필요, 자동화 미흡 (D) Organizations만 사용 → 가드레일 자동 적용 안 됨 【시험 포인트】 ▸ 다중 계정 + 기준선 → Control Tower AFC ▸ 최소 오버헤드 → 추가 도구 없이 AFC로 완성 ▸ 가드레일 자동 적용 → AFC의 핵심 장점 ▸ 확장성 → 새 계정 추가 시 동일 프로세스

해설

【핵심 용어】 ▸ Lambda Resource Policy — AWS 서비스 호출 권한 ▸ AWS Config Custom Rule — Lambda 기반 규칙 ▸ Permission Model — 서비스 간 권한 부여 【정답 포인트】 ▸ AWS Config가 Lambda 함수를 호출하려면 Lambda 리소스 정책에서 권한 허용 필요 ▸ Execution Role은 함수 내부 권한 (ECR 액세스 등) ▸ Resource Policy는 함수 호출 권한 (AWS Config의 호출 허용) 【오답 체크】 (B) SNS 정책은 EventBridge 게시 권한, Lambda 실행과 무관 (C) Execution Role은 ECR 액세스용, Config 호출 권한 아님 (D) ECR 리포지토리 정책은 AWS Config의 접근 제어, Lambda 호출 아님 【시험 포인트】 ▸ AWS 서비스 간 호출 → Resource Policy ▸ Lambda 내부 작업 권한 → Execution Role ▸ Config → Lambda → EventBridge → SNS 체인 ▸ 각 단계의 권한 모델 이해 필수

해설

【핵심 용어】 ▸ 서비스 연결 역할(Service-Linked Role) — AWS 서비스가 자동으로 생성하는 특수 IAM 역할 ▸ 권한 경계(Permission Boundary) — IAM 주체가 부여받을 수 있는 최대 권한을 정의 【정답 포인트】 ▸ 정책 및 역할 생성 권한 필요 → IAM 액세스 필수 ▸ 권한 경계 적용 → 개발자가 자신보다 높은 권한을 부여하지 못하도록 제한 ▸ 역할 가정 권한 → 필요한 권한으로만 제한된 역할 사용 【오답 체크】 (A) 교차 계정 역할은 서비스 연결 역할 생성에 적합하지 않음 (B) PowerUserAccess는 과도한 권한 제공 (iam:CreateRole 포함) (C) SCP의 Deny 규칙은 긍정적 권한 부여가 아님 【시험 포인트】 권한 경계는 위임된 관리자가 과도한 권한을 부여하는 것을 방지하는 핵심 보안 메커니즘입니다. 서비스 연결 역할을 안전하게 생성하려면 명확한 권한 제한이 필수입니다.

해설

【핵심 용어】 ▸ CloudTrail — API 호출 및 사용자 활동 감사 기록 ▸ 메트릭 필터 — CloudWatch Logs에서 패턴 매칭 ▸ CloudWatch Logs Insights — 로그 데이터 쿼리 및 분석 【정답 포인트】 ▸ (C) 메트릭 필터 → 루트 로그인 감지 → SNS 알림 ▸ (E) CloudTrail 조직 추적 → 모든 계정의 루트 활동 캡처 ▸ (F) CloudWatch Logs Insights 쿼리 → 대시보드 시각화 【오답 체크】 (A) AWS Config는 루트 로그인 추적에 부적합 (B) QuickSight는 실시간 알림 불가 (D) 구독 필터는 이미 (C) 에서 커버됨 【시험 포인트】 루트 사용자 모니터링은 CloudTrail(수집) → CloudWatch Logs(저장 및 필터링) → SNS(알림) 조합이 표준입니다. 대시보드는 CloudWatch Logs Insights로 구현합니다.

해설

【핵심 용어】 ▸ IAM Identity Center — 중앙 집중식 ID 및 액세스 관리 ▸ SAML 2.0 — 페더레이션 인증 표준 ▸ SCP — 조직 차원의 권한 정책 【정답 포인트】 ▸ (B) IAM Identity Center + SAML → 외부 IdP 인증 구현 ▸ (E) SCP Deny iam:CreateLoginProfile → 암호 로그인 차단 【오답 체크】 (A) GuardDuty는 보안 위협 탐지용, 인증 제어 불가 (C) Identity Center 권한 경계는 실제 기능 없음 (D) IAM 그룹은 분산 환경에 부적합 【시험 포인트】 IdP 페더레이션은 Identity Center의 SAML 연통으로 구현하고, SCP로 암호 로그인을 조직 차원에서 차단합니다. 이 조합이 완전한 외부 인증 강제 메커니즘입니다.

해설

【핵심 용어】 ▸ 향상된 스캔(Enhanced Scanning) — ECR에서 OS 및 언어 패키지 취약점 분석 ▸ EventBridge — ECR 스캔 완료 이벤트 감지 ▸ CodePipeline 자동화 트리거 【정답 포인트】 ▸ (B) CodeCommit → EventBridge 트리거 → CodeBuild (S3 이벤트 아님) ▸ (D) 향상된 스캔 필수 → ECR 스캔 이벤트 → SNS 【오답 체크】 (A) S3 이벤트는 CodeCommit 푸시 감지 불가 (C) GuardDuty는 ECR 스캔 이벤트 없음 (기본 스캔도 충분하지 않음) (E) Dockerfile 스캔은 이미지 취약점 검사 불가 【시험 포인트】 ECR 향상된 스캔은 의존성 라이브러리의 알려진 취약점을 검출합니다. EventBridge는 스캔 완료 이벤트를 감지하고 SNS로 라우팅합니다. CodePipeline은 자동화 트리거용 EventBridge 규칙이 필요합니다.

해설

【핵심 용어】 ▸ VPC 엔드포인트 정책 — 엔드포인트 접근 제어 ▸ 리소스 정책 — API 호출 출처 제한 ▸ Signature Version 4 — AWS 자격증명 기반 요청 서명 【정답 포인트】 ▸ (A) IAM 인증 → AWS 자격증명 검증 ▸ (E) Signature Version 4 → 요청자 ID 확인 (AWS 자격증명 필수) 【오답 체크】 (B) Bearer 토큰은 IAM 인증 아님 (C) Lambda authorizer는 별도 로직 필요 (D) Cognito는 AWS IAM 기반이 아님 【시험 포인트】 VPC 엔드포인트 정책으로 OU 주체만 허용했으나, 인증 자체가 없으면 "anonymous" 사용자로 취급됩니다. IAM 인증 + SigV4 서명이 조합되면 AWS 자격증명 기반 요청이 검증됩니다.

해설

【핵심 용어】 ▸ Lead Time for Changes — 코드 커밋부터 프로덕션 배포까지의 시간 ▸ Mean Time to Recovery(MTTR) — 배포 실패부터 복구까지의 시간 ▸ EventBridge 이벤트 기반 트리거 【정답 포인트】 ▸ (B) CodePipeline 상태 변화 이벤트 감지 → 즉시 메트릭 생성 ▸ CloudWatch 메트릭 → 기본 대시보드 기능 활용 (최소 구성) 【오답 체크】 (A) 5분 폴링은 정확도 낮음 (최신 데이터 지연) (C) (D) QuickSight는 추가 구성 필요 (DynamoDB 쿼리 등) 【시험 포인트】 Lead Time과 MTTR 측정에는 파이프라인 실행 이벤트 기반 실시간 메트릭이 최적입니다. CloudWatch 메트릭은 통계 계산(평균, 최소값 등)을 기본 지원하므로 추가 쿼리 없이 대시보드 생성 가능합니다.

해설

【핵심 용어】 ▸ CloudFormation DeletionPolicy — 리소스 삭제 시 동작 정의 ▸ 커스텀 리소스 — Lambda로 구현된 사용자 정의 로직 ▸ RequestType — Delete, Create, Update 등의 작업 유형 【정답 포인트】 ▸ S3 버킷 삭제 불가 원인 → 버킷 내용이 존재 ▸ Lambda 함수에서 Delete 요청 처리 → 재귀적 버킷 비우기 【오답 체크】 (A) WebsiteConfiguration은 삭제 차단 원인 아님 (C) RemoveOnDeletion은 유효한 정책값 아님 (D) S3 리소스의 DeletionPolicy = Empty는 지원되지 않음 【시험 포인트】 CloudFormation이 비어있지 않은 S3 버킷을 삭제할 수 없습니다. 커스텀 리소스의 Lambda 함수가 Delete 요청을 감지하고 버킷 내용을 비워야 스택 삭제가 성공합니다. 이는 CloudFormation 스택 생명주기 관리의 표준 패턴입니다.

해설

【핵심 용어】 ▸ Systems Manager Inventory — EC2 인스턴스 소프트웨어 자동 인벤토리 ▸ AWS Config 규칙 — 컴플라이언스 모니터링 자동화 ▸ Config Rules Aggregator — 멀티 계정 통합 추적 【정답 포인트】 ▸ (B) Inventory 자동 수집 → Config로 지속 모니터링 ▸ 최소 운영 노력 → 커스텀 스크립트 불필요 【오답 체크】 (A) S3 + Lambda는 추가 개발 필요 (C) CloudTrail은 메타데이터 이벤트 추적, Inventory 데이터 직접 검사 불가 (D) 커스텀 스크립트로 자동화 복잡도 증가 【시험 포인트】 Systems Manager Inventory는 자동으로 EC2 인스턴스의 설치된 패키지 정보를 수집합니다. AWS Config는 이 데이터 변경을 감시하고 규칙으로 컴플라이언스를 자동 평가합니다. 최소 운영 노력으로 지속적인 감사가 가능합니다.

해설

【핵심 용어】 ▸ Dead-Letter Queue(DLQ) — 전달 실패한 이벤트 저장 ▸ CloudWatch Logs 대상 — 이벤트 디버깅 ▸ CloudTrail — API 호출 감시 【정답 포인트】 ▸ (B) CloudTrail → EventBridge API 호출 기록 ▸ (C) SQS 표준 큐 → DLQ (순서 보장 불필요) ▸ (E) CloudWatch Logs → 실시간 이벤트 추적 【오답 체크】 (A) Device Farm은 테스트 환경, 이벤트 전달과 무관 (D) FIFO 큐는 순서가 중요할 때만 필요 (F) X-Ray는 코드 수정 필요 (재배포 금지) 【시험 포인트】 이벤트 손실을 방지하려면 DLQ가 필수입니다. 문제 해결을 위해 CloudWatch Logs 대상으로 모든 이벤트 기록과 CloudTrail로 API 추적이 필요합니다. 코드 수정 없는 구성만으로 가능해야 합니다.

해설

【핵심 용어】 ▸ ECR 이미지 스캔 — 빌드 타임 취약점 검사 ▸ EventBridge 규칙 — 스캔 완료 이벤트 감지 ▸ 리소스 기반 정책 — 교차 계정 접근 제어 【정답 포인트】 ▸ (A) 공유 서비스 계정 중앙화 + 리소스 정책로 접근 제어 ▸ (E) 이벤트 기반 자동화 → Lambda로 스캔 결과 검증 및 복제 【오답 체크】 (B) 분산 리포지토리는 관리 복잡도 증가 (C) 조건부 복제 불가 (스캔 결과 미반영) (D) CodePipeline은 과도한 구성 【시험 포인트】 중앙화된 스캔 후 리포지토리는 배포 정책 강제를 쉽게 합니다. EventBridge + Lambda 조합은 스캔 이벤트 기반 자동 검증과 복제를 관리 오버헤드 없이 구현합니다. 리소스 정책으로 모든 계정 접근을 제어합니다.

해설

【핵심 용어】 ▸ IAM Roles for Service Accounts(IRSA) — EKS 파드 → IAM 역할 매핑 ▸ KMS 키 정책 — 암호화된 비밀 복호화 권한 ▸ AssumeRole 권한 체인 【정답 포인트】 ▸ Secrets Manager 정책만으로는 부족 ▸ KMS 키 정책에 서비스 계정 역할 추가 필수 ▸ kms:Decrypt 권한이 없으면 암호화된 비밀 열람 불가 【오답 체크】 (A) Secrets Manager 정책은 이미 충족 (Secrets Manager 접근 가능) (C) 서비스 계정이 클러스터 역할이 아님 (클러스터 역할은 관리용) (D) 클러스터 액세스 문제 아님 (내부 통신) 【시험 포인트】 KMS로 암호화된 Secrets Manager 비밀 접근 시 두 가지 권한이 모두 필요합니다: (1) secretsmanager:GetSecretValue, (2) kms:Decrypt. KMS 키 정책이 해당 IAM 역할을 거부하면 Secrets Manager 정책이 있어도 실패합니다.

해설

【핵심 용어】 ▸ FSx for NetApp ONTAP — NetApp 호환 관리형 파일 스토리지 ▸ SnapMirror — NetApp 네이티브 복제 및 중복 제거 ▸ 주간 업데이트 + 멀티 리전 복제 【정답 포인트】 ▸ NetApp ONTAP 기술 스택 유지 → FSx for NetApp ONTAP ▸ SnapMirror 중복 제거 성능 ▸ 온프레미스 장치 장애 시에도 AWS 리전 독립 작동 【오답 체크】 (A) S3는 파일 시스템 의미론 없음 (Linux 읽기 전용 마운트 불가) (B) Windows File Server는 Linux 환경 부적합 (D) EFS는 Linux 저수준 레플리케이션 미지원 (일회성 복사만) 【시험 포인트】 NetApp ONTAP는 SnapMirror로 중복 제거되는 고효율 복제를 제공합니다. FSx for NetApp ONTAP은 AWS 관리형 서비스로 온프레미스 ONTAP과 직접 동기화 가능합니다. 각 리전의 Multi-AZ 배치로 가용성과 독립성이 보장됩니다.