정답 · 해설

해설

【핵심 용어】 • ALB 뒤에서 클라이언트 원본 IP는 X-Forwarded-For 헤더로 전달됨 • 헤더는 IP 목록(콤마 구분) 가능 【정답 포인트】 정답: C (X-Forwarded-For 헤더 분석) 앱이 원본 IP 추출 시 XFF 헤더를 사용. 가장 비용 효율적. 【오답 체크】 • A: ALB 제거는 확장성 포기 • B: CLB로 변경해도 동일 헤더 사용 필요 • D: 커스텀 헤더 강제는 클라이언트 제어 어려움

해설

【핵심 용어】 • SNS FIFO topic + SQS FIFO queues 팬아웃: 메시지 순서/중복 제거 보장 + 다중 컨슈머 • 첫 주문이 좌석을 받고 결제도 첫 주문에 진행, 첫 결제 실패 시 두 번째 주문 → 이를 위해 'order ID 단위 FIFO 처리' 필요 【정답 포인트】 정답: A (SNS FIFO → SQS FIFO 팬아웃: 재고 + 결제) 순서 보장과 중복 제거(MessageDeduplicationId)로 동일 좌석 충돌 시 첫 주문이 우선 처리됨. 【오답 체크】 • B: 동기 호출 체인은 병렬 처리 요구 위반 + 순서 보장 어려움 • C: 표준 SNS는 순서 보장 없음 • D: 표준 SQS도 순서 미보장

해설

【핵심 용어】 • X-Ray Annotations: 인덱싱되어 필터 표현식에서 검색 가능 • Metadata: 인덱싱되지 않음(저장은 되지만 필터 불가) 【정답 포인트】 정답: A (annotation으로 추가) 사용자 정의 속성을 annotation으로 추가하면 필터 표현식으로 검색 가능. 【오답 체크】 • B: metadata는 필터 불가 • C: 새 필드 추가는 표준 segment 스키마 외부 • D: 샘플링 규칙은 트레이스 수집 비율, 필터링 도구 아님

해설

【핵심 용어】 • Kinesis Data Streams 서버 측 암호화: KMS 키 사용. 미소비 동안 저장 데이터 암호화 【정답 포인트】 정답: D (서버 측 암호화 활성화) Kinesis 자체에서 저장 시 암호화 옵션 활성화하면 그만. 【오답 체크】 • A: SSL은 전송 암호화 • B: Consumer Library는 소비자 도구 • C: 사후 Lambda 암호화는 비효율적이고 시점 어긋남

해설

【핵심 용어】 • Kinesis Data Streams: 실시간 스트림 처리, enhanced fan-out 또는 다중 컨슈머가 동일 스트림에서 병렬 소비 가능 • 이벤트 백업/리플레이도 가능 【정답 포인트】 정답: D (Kinesis Data Streams) 실시간 + 다중 컨슈머 병렬 + 비용 효율 = Kinesis Data Streams. 【오답 체크】 • A, B: SNS+SQS 팬아웃은 메시지/이벤트 패턴, 수백만 이벤트/초 시 Kinesis 대비 비용↑ • C: Firehose는 배치 적재 서비스(다중 실시간 컨슈머 부족)

해설

【핵심 용어】 • CloudFormation Cross-stack reference: Outputs에 Export 추가 → 다른 스택에서 Fn::ImportValue 사용 【정답 포인트】 정답: A (Outputs Export + ImportValue) 표준 크로스 스택 참조 메커니즘. 【오답 체크】 • B: 'Exported: true', 'ImportResource'는 존재하지 않는 문법 • C: 커스텀 리소스는 과한 복잡도 • D: Fn::Include로 템플릿을 포함시키는 방식은 표준 참조가 아님

해설

【핵심 용어】 • ProvisionedThroughputExceededException: 한도 초과. 해결: 지수 백오프 + 한도 증가 또는 on-demand 모드 【정답 포인트】 정답: CE • C: 지수 백오프로 호출 빈도 감소 • E: provisioned → on-demand로 전환하면 자동 확장 【오답 체크】 • A: EC2 크기 변경은 DB 한도와 무관 • B: RCU 증가는 읽기 한도, 쓰기 한도 부족이 원인이면 효과 적음(WCU가 답일 수도) → 기본은 모드 변경/백오프 • D: 재시도 빈도 증가는 더 많은 throttling 유발

해설

【핵심 용어】 • S3 Pre-signed URL: 임시 만료 시간(최대 7일, SigV4 IAM 사용자 키 기준)으로 객체 접근 부여 • 외부 사용자에게 단일 객체 접근 가장 안전 【정답 포인트】 정답: A (Pre-signed URL, 7일 만료) 버킷 비공개 유지, 외부 사용자에 정확한 객체만 임시 부여. 【오답 체크】 • B: WorkDocs는 별도 서비스, 본 시나리오에 과함 • C: 임시 IAM 사용자 + 액세스 키 공유는 보안 모범사례 위반 • D: 역할 ARN 공유만으로는 외부 사용자가 사용 불가

해설

【핵심 용어】 • 환경 분리 모범사례: 단일 API에 dev/test/prod 스테이지, Lambda는 alias로 환경 매핑 • 스테이지 변수 + alias로 동일 함수의 다른 alias 가리킴 【정답 포인트】 정답: C (단일 API + 다중 스테이지 + 단일 Lambda + 다중 alias) 리소스 수 최소화하면서 환경 분리. 【오답 체크】 • A: API/Lambda 모두 환경마다 별도 = 리소스 다수 • B: 리전을 환경마다 다르게 두는 것은 운영 부담↑ • D: 단일 API/Lambda + 매개변수 분기는 환경 격리 약함

해설

【핵심 용어】 • ALB Lambda 타겟: ALB가 Lambda를 호출하려면 Lambda 리소스 정책에 elasticloadbalancing.amazonaws.com 호출 권한 필요 【정답 포인트】 정답: C (호출 권한 누락) ALB가 Lambda를 호출할 수 있는 리소스 권한이 빠지면 호출 불가. 【오답 체크】 • A: Lambda는 ALB 타겟으로 등록 가능 • B: CLI/콘솔 모두 등록 가능 • D: Cross-zone은 부하 분산 옵션

해설

【핵심 용어】 • Secrets Manager managed rotation: RDS 자격증명 자동 회전 【정답 포인트】 정답: B (Secrets Manager + managed rotation) 암호화 + 자동 회전 = Secrets Manager. 【오답 체크】 • A: 환경변수는 자동 회전 미지원 • C: Parameter Store SecureString은 자동 회전 미지원 • D: X-Amz-Security-Token은 임시 자격증명용 헤더, 비밀 저장소 아님

해설

【핵심 용어】 • Lambda Alias 가중치 라우팅: 동일 alias가 두 버전을 비율로 분배 【정답 포인트】 정답: B (Alias 가중치 라우팅) 트래픽 분할 = alias. 【오답 체크】 • A: Route 53은 IP/엔드포인트 라우팅, Lambda 버전과 직접 매핑되지 않음 • C: ALB 가중치 분배는 가능하지만 추가 인프라 • D: layer는 종속성 패키지, 트래픽 분할 도구 아님

해설

【핵심 용어】 • Lambda 패키지 한도: 250MB(unzipped, 코드+layer 합산) • 한도 초과 시: ① layer로 종속성 분리 ② 함수 분할 【정답 포인트】 정답: CE • C: 함수 분할 • E: 공통 라이브러리/종속성을 layer로 이동 【오답 체크】 • A: 패키지 한도는 쿼터 증가 불가 • B: ZIP 압축은 정해진 알고리즘, 임의 알고리즘 사용 불가 • D: zip을 두 번 압축은 의미 없음(이미 압축된 데이터)

해설

【핵심 용어】 • SQS 이벤트 소스 매핑의 maximum concurrency 설정: Lambda 폴링/호출 동시성 상한 • 외부 API 한도에 맞춰 동시성 제한 = 한도 초과 방지 【정답 포인트】 정답: D (SQS 이벤트 소스의 최대 동시성 설정) 다운스트림 한도에 맞춰 Lambda 동시성을 제한 → 429 오류 감소. 【오답 체크】 • A: 배치 크기 증가는 동시 호출 수 영향, 호출당 요청 수↑로 더 많은 429 가능 • B: provisioned concurrency는 cold start 완화, 한도 제어 아님 • C: 비동기 설정(retry/age)은 SQS 트리거에 적용되지 않음(SQS는 동기)

해설

【핵심 용어】 • ElastiCache: 자주 조회되는 결과 캐싱으로 RDS 읽기 부하 감소 → ReadLatency 개선 【정답 포인트】 정답: A (ElastiCache로 쿼리 결과 캐싱) 읽기 위주 워크로드의 표준 해법. 【오답 체크】 • B: ECS 인스턴스 확장은 DB 병목 해결 아님 • C: RDS는 RCU 단위 아님(DynamoDB 용어 혼동) • D: 작업 메모리 증가는 DB 지연과 무관

해설

【핵심 용어】 • 최소 권한: 정확한 액션과 정확한 리소스 ARN로 한정 • 객체 다운로드: s3:GetObject + 객체 ARN, 객체 목록: s3:ListBucket + 버킷 ARN 【정답 포인트】 정답: A (정답 옵션: ListBucket on bucket + GetObject on bucket/*) S3 정책 패턴: ListBucket은 버킷 ARN에, GetObject는 객체 ARN(.../*)에 적용. 이 둘만 부여하는 것이 최소 권한. 【오답 체크】 • 다른 옵션들은 와일드카드(*) 자원, 추가 액션 포함, 또는 ListBucket/GetObject 액션-리소스 매핑이 잘못됨

해설

【핵심 용어】 • AWS Encryption SDK + KMS Data Key: 클라이언트 측 암호화 표준 흐름 • KMS GenerateDataKey API로 평문/암호화된 데이터 키 쌍을 받아 데이터 암호화 【정답 포인트】 정답: A (KMS data key + AWS Encryption SDK) 대칭 + 클라이언트 측 = data key + Encryption SDK. 【오답 체크】 • B: HMAC 키는 메시지 서명용, 데이터 암호화 아님 • C: data key pair는 비대칭, 대칭 요구와 어긋남 • D: AWS CLI가 임의 파일을 암호화하는 명령은 없음(KMS encrypt는 4KB 한도)

해설

【핵심 용어】 • EC2의 S3 접근 모범사례: IAM 역할을 EC2 인스턴스 프로파일에 부착 → 임시 자격증명 자동 회전 • 액세스 키 환경변수 보관은 회피해야 함 【정답 포인트】 정답: C (IAM 역할 + 인스턴스 프로파일 연결) 임시 자격증명 + 최소 권한 = 가장 안전. 【오답 체크】 • A: IAM 사용자 액세스 키 보관은 보안 모범사례 위반 • B: 'IAM 역할용 액세스 키'는 존재하지 않는 개념 • D: 버킷 정책 + EC2 인스턴스 ID로 인증할 수 없음

해설

【핵심 용어】 • ALB Cognito 인증: 리스너 규칙에 authenticate-cognito 액션 추가. OnUnauthenticatedRequest=deny로 비인증 차단 【정답 포인트】 정답: B (ALB authenticate-cognito 액션 + OnUnauthenticatedRequest=deny) ALB가 Cognito 사용자 풀과 직접 통합되어 자동 인증 처리. 【오답 체크】 • A: 헤더 없을 때 401 반환만으로는 적극적 인증 강제 부족 • C: API Gateway 추가는 부적절(이미 ALB 사용 중) • D: 별도 Lambda 인증은 운영 부담↑

해설

【핵심 용어】 • Lambda throttle: 동시성 한도 초과. 해결: ① 함수에 reserved concurrency 늘림 ② 계정 동시성 쿼터 증가 요청 【정답 포인트】 정답: CE • C: reserved concurrency 늘림 • E: 계정 단위 동시성 쿼터 증가 요청 【오답 체크】 • A: EKS 마이그레이션은 운영 부담↑ • B: max event age는 비동기 큐 보존시간 • D: lambda:GetFunctionConcurrency는 조회 권한, throttle 해결 아님