정답 · 해설

해설

【핵심 용어】 ▸ CloudFormation Hook — Stack 작업 전 정책 강제(사전 검증) ▸ StackSets — 다중 계정/리전에 리소스 배포 ▸ 신뢰할 수 있는 액세스 — 위임 관리자가 조직 대신 작업 수행 【정답 포인트】 ▸ CloudFormation Hook이 스택 작업 전에 암호화 요구사항 검증 ▸ StackSets로 OU의 모든 계정에 Hook 자동 배포 ▸ 암호화 없는 EBS/SQS 생성 원천 차단 ▸ CloudFormation 네이티브 방식(가장 강력한 강제) 【오답 체크】 (B) Config는 사후 준수 평가(Stack 작업 후), 사전 강제 불가 (C) SCP는 IAM 작업 기반, CloudFormation 암호화 파라미터 미감지 (D) Lambda는 수동 검증, 자동 강제 및 배포 기능 없음 【시험 포인트】 ▸ CloudFormation Hook = Stack 작업 사전 검증(정책 강제 시점) ▸ 다중 계정 배포 = StackSets 자동화 ▸ EBS/SQS 암호화 강제 = Hook으로 파라미터 검증

해설

【핵심 용어】 ▸ Pull Through Cache — ECR의 공개 이미지를 프라이빗 레지스트리에 캐싱 ▸ VPC 엔드포인트 — NAT/IGW 없이 AWS 서비스 액세스 ▸ S3 게이트웨이 엔드포인트 — ECR이 S3 접근 (이미지 저장소) 【정답 포인트】 ▸ (C) Pull Through Cache 규칙 생성 → 공개 이미지를 프라이빗 ECR에 동기화 ▸ (E) ECR 인터페이스 엔드포인트 → 프라이빗 ECR 액세스(NAT/IGW 불필요) ▸ (F) S3 게이트웨이 엔드포인트 → ECR이 S3에 저장된 이미지 메타데이터 조회 ▸ 초기 동기화 후 → 클러스터는 프라이빗 ECR만 참조 【오답 체크】 (A) CodeBuild + EventBridge는 과도한 오버헤드, pull through cache가 자동화 (B) Lambda 래핑 불필요, pull through cache 규칙만으로 자동 동기화 (D) 공개 ECR 인터페이스 엔드포인트는 존재하지 않음(공개 레지스트리) 【시험 포인트】 ▸ Pull Through Cache = 공개 레지스트리 자동 미러링 ▸ VPC 엔드포인트 조합: ECR(프라이빗) + S3(메타데이터) ▸ 네트워크 격리 + 이미지 최신성 유지

해설

【핵심 용어】 ▸ Amazon Inspector 향상된 스캔 — ECR의 고급 취약점 감지(CVE, 의존성) ▸ EventBridge 규칙 — Inspector 결과 이벤트 감지 ▸ SNS 알림 — 보안 팀에 실시간 통보 【정답 포인트】 ▸ (A) Inspector 향상된 스캔 활성화 → 푸시 시점 + 지속적 자동 스캔 ▸ SNS 주제 설정 → 기본 알림 채널 ▸ (B) EventBridge 규칙 생성 → Inspector 결과 이벤트 캡처 ▸ SNS를 대상으로 → 세부 결과 실시간 통보 ▸ 조합: 자동 스캔 (A) + 결과 알림 (B) = 완전한 워크플로우 【오답 체크】 (C) AWS Lambda 향상된 스캔은 없음(AWS 서비스 아님), SES 불필요 (D) Lambda 함수는 수동 개발 필요, Inspector 이벤트 통합 불필요 (E) 기본 스캔은 고급 취약점 미감지, 향상된 스캔 필수 【시험 포인트】 ▸ Inspector 향상된 스캔 = ECR 자동 취약점 분석 ▸ EventBridge 통합 = 결과 이벤트화 및 알림 자동화 ▸ 최소 오버헤드: 설정만으로 완전 자동화 워크플로우

해설

【핵심 용어】 ▸ Amazon ECR — AWS의 완전 관리형 컨테이너 이미지 저장소로, lifecycle policy를 통해 tag 패턴과 이미지 age 기반의 자동 정리 지원 ▸ AWS CodeArtifact — 소프트웨어 패키지 관리 저장소로, general-purpose artifact 저장용이며 컨테이너 이미지 lifecycle 미지원 ▸ Amazon S3 — 객체 저장소로, 이미지 관리 전용 메커니즘 부재 【정답 포인트】 ▸ 컨테이너 이미지 라이프사이클 관리 → ECR이 이미지 저장소로서 native 기능 제공 ▸ Tag 패턴 매칭 및 age 기반의 자동 삭제 정책 제공으로 운영 오버헤드 최소화 【오답 체크】 (B) CodeArtifact는 소프트웨어 패키지 저장소로 컨테이너 이미지 관리에 최적화되지 않음 (C) S3는 객체 저장소일 뿐 이미지 라이프사이클 정책이 이미지 관리용 아님 (D) EC2 Image Builder는 이미지 빌드 도구이지 lifecycle 관리 기능 미제공 【시험 포인트】 ▸ 저장소 선택 기준 → ECR(컨테이너) vs CodeArtifact(패키지) vs S3(일반 객체)의 용도 구분 ▸ 함정: 여러 저장소가 가능해 보이지만 이미지 lifecycle policy는 ECR만 지원하는 점 주의

해설

【핵심 용어】 ▸ Amazon Redshift — 데이터 웨어하우스로, database 레벨의 감시 로깅 지원하여 user activity와 query 기록 ▸ AWS CloudTrail — AWS 서비스의 API 호출을 기록하지만 database 내부의 user action은 미기록 ▸ Amazon CloudWatch Logs — 중앙 집중식 로그 수집 및 dashboard 시각화로 실시간 모니터링 제공 【정답 포인트】 ▸ Redshift 사용자 쿼리 추적 → Redshift database audit logging이 필수 선행 조건 ▸ CloudWatch Logs를 기반으로 dashboard 구성하여 사용자 세부 정보 시각화 가능 【오답 체크】 (A) CloudTrail은 AWS API 호출 기록용이지 database 내부 query execution 미기록 (B) S3 감시 로깅은 높은 오버헤드와 실시간 모니터링 지연 문제 발생 (E) Lambda+Athena 조합은 불필요한 complexity 추가, native 로깅으로 충분 【시험 포인트】 ▸ 감시 대상 구분 → AWS API 호출(CloudTrail) vs database 쿼리 실행(audit logging) ▸ 함정: CloudTrail이 comprehensive logging으로 보이지만 database 내부 활동 미포함

해설

【핵심 용어】 ▸ Service Control Policy — AWS Organizations 수준의 권한 제한으로, EC2 생성 시 tag 없음 방지 ▸ Tag Policy — 태그 값의 형식 및 허용값을 강제하여 임의 값 입력 차단 ▸ Script remediation — 기존 규정 미준수 리소스를 자동으로 기본값으로 정정 【정답 포인트】 ▸ 태그 강제 3계층 방어 → Prevention(SCP) + Enforcement(Tag Policy) + Remediation(Auto-fix Script) ▸ SCP로 tag 없는 EC2 생성 방지, tag policy로 값 검증, script로 기존 리소스 자동 정정 【오답 체크】 (B) 알림만 제공하고 자동 정정 기능 없어 규정 미준수 상태 지속 (C) IAM permission boundary는 tag 값 검증에 효과적이지 않음 (D) Lambda로 빈 tag 추가는 오히려 문제 악화, 불필요한 오버헤드 발생 【시험 포인트】 ▸ 정책 계층 → SCP(생성 방지) + Tag Policy(값 제한) + Script(자동 정정)의 조합 ▸ 함정: SCP만으로는 부족하며 tag policy와 자동 remediation까지 필수

해설

【핵심 용어】 ▸ AWS CloudFormation — IaC를 통한 인프라 자동 프로비저닝 및 스택 관리 ▸ AWS CodePipeline — CI/CD 파이프라인 오케스트레이션 및 단계 간 데이터 전달 ▸ AWS Systems Manager — 운영 체제 패치, 구성 관리 및 자동화 서비스 ▸ Amazon S3 — 객체 저장소 및 정적 웹 호스팅 【정답 포인트】 ▸ CloudFormation 출력값 전달 → namespace 설정으로 pipeline 변수 자동 생성 ▸ Pipeline 변수를 통한 downstream stage 간 데이터 전달 메커니즘 【오답 체크】 (A) 설명되지 않은 또는 불필요한 추가 단계를 포함하여 복잡도 증가 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 (E) 불필요한 복잡성 추가 또는 권장되지 않는 설계 패턴 【시험 포인트】 ▸ 파이프라인 변수 전달 메커니즘 → namespace 개념 이해 필수 ▸ 함정: SSM Parameter나 artifact 불필요, namespace가 유일한 정답

해설

【핵심 용어】 ▸ Amazon EC2 — 가상 서버 인스턴스 제공 및 컴퓨팅 리소스 ▸ Amazon Aurora — 관리형 관계형 데이터베이스 (MySQL/PostgreSQL 호환) ▸ Amazon ElastiCache — 관리형 Redis/Memcached 캐시 서비스 【정답 포인트】 ▸ 모놀리식 아키텍처 분해 → 웹(ALB) + DB(Aurora) + 캐시(ElastiCache) 각 계층 분리 ▸ 각 계층의 독립적 확장 및 고가용성으로 성능 변동성 제거 【오답 체크】 (A) 설명되지 않은 또는 불필요한 추가 단계를 포함하여 복잡도 증가 (B) 부분적으로 정확하나 모든 요구사항을 충족하지 못하는 불완전한 솔루션 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 【시험 포인트】 ▸ 아키텍처 분해 → ALB(L7) vs NLB(L4), Aurora Serverless vs Multi-AZ ▸ 함정: 로드밸런서 유형과 데이터베이스 고가용성 방식의 조합 이해

해설

【핵심 용어】 ▸ AWS CloudFormation — IaC를 통한 인프라 자동 프로비저닝 및 스택 관리 ▸ AWS IAM — 신원 및 접근 관리로 권한 제어 및 신원 인증 ▸ AWS Organizations — 다중 계정 관리 및 중앙 거버넌스 【정답 포인트】 ▸ 조직 거버넌스 3요소 → SCP(지역/서비스) + StackSets(배포) + AD federation ▸ 중앙 제어 + 자동 배포 + 외부 인증 통합 【오답 체크】 (A) 설명되지 않은 또는 불필요한 추가 단계를 포함하여 복잡도 증가 (B) 부분적으로 정확하나 모든 요구사항을 충족하지 못하는 불완전한 솔루션 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 【시험 포인트】 ▸ 거버넌스 계층 → SCP(중앙 제한) + StackSets(배포) + Federation(인증) ▸ 함정: 개별 정책만으로는 조직 수준의 통합 거버넌스 구현 불가

해설

【핵심 용어】 ▸ Amazon S3 — 객체 저장소 및 정적 웹 호스팅 ▸ Amazon CloudWatch — 모니터링, 로깅 및 알림 서비스 ▸ Amazon EventBridge — 이벤트 기반 아키텍처 및 규칙 엔진 ▸ Amazon SNS — 메시지 알림 서비스 및 pub/sub ▸ AWS CloudTrail — API 호출 감시 및 감사 로그 【정답 포인트】 ▸ 실패한 로그인 감지 → CloudTrail → CloudWatch Logs → Metric Filter → SNS ▸ Metric filter로 실패 이벤트 감지 및 자동 알림 발송 【오답 체크】 (B) 부분적으로 정확하나 모든 요구사항을 충족하지 못하는 불완전한 솔루션 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 (D) 다른 목적으로 설계된 서비스 또는 대안이 아닌 추가 구성요소 【시험 포인트】 ▸ 실시간 감지 파이프라인 → CloudTrail → CloudWatch Logs → SNS ▸ 함정: 사후 분석(S3/Athena)과 실시간 감지(CloudWatch) 차이점

해설

【핵심 용어】 ▸ AWS IAM — 신원 및 접근 관리로 권한 제어 및 신원 인증 ▸ Amazon API Gateway — REST/HTTP API 배포 및 관리 【정답 포인트】 ▸ VPC 격리 접근제어 → API Gateway resource policy의 aws:SourceVpc condition ▸ 특정 VPC 내부 트래픽만 허용으로 데이터 보안 강화 【오답 체크】 (B) 부분적으로 정확하나 모든 요구사항을 충족하지 못하는 불완전한 솔루션 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 (D) 다른 목적으로 설계된 서비스 또는 대안이 아닌 추가 구성요소 【시험 포인트】 ▸ 접근제어 메커니즘 → Resource policy(API) vs IAM role(신원) vs SG(네트워크) ▸ 함정: VPC 격리는 resource-based policy의 aws:SourceVpc condition만 가능

해설

【핵심 용어】 ▸ Amazon ECS — 컨테이너 오케스트레이션 및 작업 관리 ▸ Application Load Balancer — Layer 7 HTTP/HTTPS 트래픽 분산 【정답 포인트】 ▸ Task 초기화 시간 보장 → Health check grace period 증가 ▸ Application 준비 완료까지 대기로 false failure 방지 【오답 체크】 (A) 설명되지 않은 또는 불필요한 추가 단계를 포함하여 복잡도 증가 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 (D) 다른 목적으로 설계된 서비스 또는 대안이 아닌 추가 구성요소 【시험 포인트】 ▸ Task cycling 원인 분석 → Health check premature timeout 문제 ▸ 함정: Grace period 개념 이해 부족으로 다른 설정 변경 시도

해설

【핵심 용어】 ▸ AWS Systems Manager — 운영 체제 패치, 구성 관리 및 자동화 서비스 ▸ Amazon EC2 — 가상 서버 인스턴스 제공 및 컴퓨팅 리소스 ▸ Amazon EventBridge — 이벤트 기반 아키텍처 및 규칙 엔진 【정답 포인트】 ▸ 다중 repository 통합 → 단일 custom patch baseline으로 OS + custom repo 관리 ▸ Run command로 AWS-RunPatchBaseline document 실행으로 일괄 적용 【오답 체크】 (B) 부분적으로 정확하나 모든 요구사항을 충족하지 못하는 불완전한 솔루션 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 (D) 다른 목적으로 설계된 서비스 또는 대안이 아닌 추가 구성요소 【시험 포인트】 ▸ 패치 관리 통합 → 하나의 baseline에 모든 repository 포함 ▸ 함정: 다중 baseline 또는 documents 불필요, 단일 통합이 정답

해설

【핵심 용어】 ▸ AWS Control Tower — 다중 계정 거버넌스, 규정 및 자동 적용 ▸ AWS IAM — 신원 및 접근 관리로 권한 제어 및 신원 인증 ▸ Amazon EventBridge — 이벤트 기반 아키텍처 및 규칙 엔진 ▸ AWS Lambda — 서버리스 함수 실행 및 자동 확장 ▸ AWS Organizations — 다중 계정 관리 및 중앙 거버넌스 【정답 포인트】 ▸ Control Tower customization 3요소 → Lambda 배포 + 크로스계정 IAM role + EventBridge ▸ 신규 계정 생성 이벤트 감지 후 자동 customization 적용 【오답 체크】 (B) 부분적으로 정확하나 모든 요구사항을 충족하지 못하는 불완전한 솔루션 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 (D) 다른 목적으로 설계된 서비스 또는 대안이 아닌 추가 구성요소 【시험 포인트】 ▸ 자동화 파이프라인 → EventBridge(trigger) + Lambda(실행) + IAM(권한) ▸ 함정: 수동 설정과 자동 배포 메커니즘의 차이 이해 필수

해설

【핵심 용어】 ▸ Amazon EC2 — 가상 서버 인스턴스 제공 및 컴퓨팅 리소스 ▸ Application Load Balancer — Layer 7 HTTP/HTTPS 트래픽 분산 ▸ Amazon Aurora — 관리형 관계형 데이터베이스 (MySQL/PostgreSQL 호환) ▸ AWS Lambda — 서버리스 함수 실행 및 자동 확장 【정답 포인트】 ▸ (B) 옵션이 정답인 이유 ▸ 핵심 메커니즘 및 설계 원칙 【오답 체크】 (A) 설명되지 않은 또는 불필요한 추가 단계를 포함하여 복잡도 증가 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 (D) 다른 목적으로 설계된 서비스 또는 대안이 아닌 추가 구성요소 【시험 포인트】 ▸ 핵심 개념과 설계 패턴 이해 ▸ 함정: 비슷해 보이는 서비스 간의 차이점과 사용 사례 구분

해설

【핵심 용어】 ▸ AWS CloudFormation — IaC를 통한 인프라 자동 프로비저닝 및 스택 관리 ▸ AWS IAM — 신원 및 접근 관리로 권한 제어 및 신원 인증 ▸ AWS Organizations — 다중 계정 관리 및 중앙 거버넌스 【정답 포인트】 ▸ (B) 옵션이 정답인 이유 ▸ 핵심 메커니즘 및 설계 원칙 【오답 체크】 (A) 설명되지 않은 또는 불필요한 추가 단계를 포함하여 복잡도 증가 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 (D) 다른 목적으로 설계된 서비스 또는 대안이 아닌 추가 구성요소 【시험 포인트】 ▸ 핵심 개념과 설계 패턴 이해 ▸ 함정: 비슷해 보이는 서비스 간의 차이점과 사용 사례 구분

해설

【핵심 용어】 ▸ Amazon S3 — 객체 저장소 및 정적 웹 호스팅 ▸ Amazon EventBridge — 이벤트 기반 아키텍처 및 규칙 엔진 ▸ AWS Lambda — 서버리스 함수 실행 및 자동 확장 【정답 포인트】 ▸ (A) (D) 옵션이 정답인 이유 ▸ 핵심 메커니즘 및 설계 원칙 【오답 체크】 (B) 부분적으로 정확하나 모든 요구사항을 충족하지 못하는 불완전한 솔루션 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 【시험 포인트】 ▸ 핵심 개념과 설계 패턴 이해 ▸ 함정: 비슷해 보이는 서비스 간의 차이점과 사용 사례 구분

해설

【핵심 용어】 ▸ Amazon ECS — 컨테이너 오케스트레이션 및 작업 관리 ▸ Application Load Balancer — Layer 7 HTTP/HTTPS 트래픽 분산 ▸ Amazon CloudWatch — 모니터링, 로깅 및 알림 서비스 【정답 포인트】 ▸ (A) (D) 옵션이 정답인 이유 ▸ 핵심 메커니즘 및 설계 원칙 【오답 체크】 (B) 부분적으로 정확하나 모든 요구사항을 충족하지 못하는 불완전한 솔루션 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 (E) 불필요한 복잡성 추가 또는 권장되지 않는 설계 패턴 【시험 포인트】 ▸ 핵심 개념과 설계 패턴 이해 ▸ 함정: 비슷해 보이는 서비스 간의 차이점과 사용 사례 구분

해설

【핵심 용어】 ▸ Amazon EC2 — 가상 서버 인스턴스 제공 및 컴퓨팅 리소스 ▸ Amazon EventBridge — 이벤트 기반 아키텍처 및 규칙 엔진 ▸ AWS Lambda — 서버리스 함수 실행 및 자동 확장 ▸ Amazon SNS — 메시지 알림 서비스 및 pub/sub 【정답 포인트】 ▸ (C) 옵션이 정답인 이유 ▸ 핵심 메커니즘 및 설계 원칙 【오답 체크】 (A) 설명되지 않은 또는 불필요한 추가 단계를 포함하여 복잡도 증가 (B) 부분적으로 정확하나 모든 요구사항을 충족하지 못하는 불완전한 솔루션 (D) 다른 목적으로 설계된 서비스 또는 대안이 아닌 추가 구성요소 【시험 포인트】 ▸ 핵심 개념과 설계 패턴 이해 ▸ 함정: 비슷해 보이는 서비스 간의 차이점과 사용 사례 구분

해설

【핵심 용어】 ▸ 주요 AWS 서비스를 활용한 문제 해결 메커니즘 【정답 포인트】 ▸ (D) 옵션이 정답인 이유 ▸ 핵심 메커니즘 및 설계 원칙 【오답 체크】 (A) 설명되지 않은 또는 불필요한 추가 단계를 포함하여 복잡도 증가 (B) 부분적으로 정확하나 모든 요구사항을 충족하지 못하는 불완전한 솔루션 (C) 특정 기능 또는 지원하지 않는 설정으로 인해 요구사항 미충족 【시험 포인트】 ▸ 핵심 개념과 설계 패턴 이해 ▸ 함정: 비슷해 보이는 서비스 간의 차이점과 사용 사례 구분