정답 · 해설

해설

【핵심 용어】 ▸ AWS Backup — EC2·RDS·DynamoDB 등 다중 서비스 백업을 중앙에서 구성·모니터링하는 네이티브 서비스 ▸ Storage Gateway 테이프 게이트웨이 — 서드파티 백업 연계, 중앙화·네이티브 아님 ▸ AWS Config / State Manager — 백업 전용 서비스 아님 【정답 포인트】 ▸ "여러 서비스 백업 중앙 관리 + 자동화 + AWS 네이티브" → AWS Backup으로 통합 구성·모니터링 【오답 체크】 (A) 서드파티 백업 + 테이프 게이트웨이는 네이티브 중앙화가 아님. (C) AWS Config는 리소스 구성 평가용으로 백업 수행 서비스가 아님. (D) State Manager는 구성 관리로 백업 전용이 아님. 【시험 포인트】 "다중 서비스 백업 중앙화·자동화" → AWS Backup.

해설

【핵심 용어】 ▸ Amazon Neptune — 그래프 DB, 리소스 간 관계 지도를 저장·질의(SPARQL) ▸ IT 인프라 지도(관계 맵) — 그래프 모델에 적합 ▸ RDS/Redshift/DynamoDB — 관계형·웨어하우스·키-값, 관계 맵 질의에 비효율/모델링 부담 【정답 포인트】 ▸ "인프라 지도(관계) 구축 + 보안 위험 신속 질의 + 최소 운영" → Neptune에 저장하고 SPARQL로 관계를 질의 【오답 체크】 (A) RDS SQL은 관계 맵 모델링·질의에 부담이 큼. (C) Redshift는 분석 웨어하우스로 관계 그래프 질의에 부적합. (D) DynamoDB PartiQL은 그래프 관계 탐색에 부적합. 【시험 포인트】 "리소스 관계 지도 + 관계 질의" → Neptune + SPARQL.

해설

【핵심 용어】 ▸ Amazon Aurora Serverless — 미사용 시 용량 축소, 사용할 때만 과금(간헐적 저볼륨에 비용 효율) ▸ AWS Service Catalog — 표준화된 제품으로 크기 제한·셀프서비스 제공 ▸ Aurora 프로비저닝 인스턴스 — 실행 시간 내내 과금 【정답 포인트】 ▸ "전 세계 개발자 + 제한 크기 관리형 PostgreSQL + 저볼륨 + 작업 중일 때만 필요 + 비용 효율" → Aurora Serverless 클러스터 + Service Catalog 제품으로 필요 시만 사용 【오답 체크】 (A) Aurora 프로비저닝 인스턴스는 수동 시작/종료 프로세스가 필요하고 여전히 프로비저닝 비용 발생. (B) Service Catalog로 프로비저닝 Aurora를 띄워도 실행 중 비용은 지속. (D) Trusted Advisor 유휴 모니터링 + 종료는 사후 대응으로 비용 효율 낮음. 【시험 포인트】 "간헐적 저볼륨 DB 비용 효율" → Aurora Serverless.

해설

【핵심 용어】 ▸ Amazon EFS — 모든 EC2에 마운트되는 공유 파일 시스템, 실시간 콘텐츠 공유(최소 지연) ▸ CMS 자산 실시간 공유 — 다중 인스턴스가 동일 최신 콘텐츠 참조 ▸ S3 sync/EBS 스냅샷 — 지연 발생·정적 복사 【정답 포인트】 ▸ "모든 EC2가 최신 웹 콘텐츠를 최소 지연으로 공유" → EFS에 자산을 두고 각 인스턴스에 마운트, 앱이 EFS 참조 【오답 체크】 (A) 최신 인스턴스에서 복사하는 방식은 복잡하고 콘텐츠가 최신이 아닐 수 있음. (C) S3 sync를 매시간 실행은 최대 1시간 지연 발생. (D) EBS 스냅샷 보조 볼륨은 정적이라 실시간 공유·갱신 불가. 【시험 포인트】 "다중 인스턴스 실시간 공유 콘텐츠" → Amazon EFS.

해설

【핵심 용어】 ▸ Amazon GuardDuty — 이상/의심 행위 자동 위협 탐지 ▸ Amazon EventBridge + Lambda — GuardDuty 결과를 필터링해 WAF 규칙 자동 조정 ▸ Firewall Manager/Inspector/Macie — 정책 관리·취약점·데이터 분류(위협 행위 탐지 아님) 【정답 포인트】 ▸ "의심·예상 밖 행위 자동 탐지·대응 + 기존 WAF" → GuardDuty로 위협 탐지, EventBridge가 결과를 필터링해 Lambda로 WAF 규칙 조정 【오답 체크】 (B) Firewall Manager는 정책 중앙 관리 도구로 위협 탐지가 아님. (C) Inspector는 취약점 평가로 행위 기반 탐지가 아님. (D) Macie는 S3 민감 데이터 분류로 위협 탐지 목적과 다름. 【시험 포인트】 "이상 행위 위협 탐지" → GuardDuty (+ EventBridge/Lambda 자동 대응).

해설

【핵심 용어】 ▸ IAM 데이터베이스 인증 — Aurora가 IAM으로 인증, 정적 자격 증명 불필요 ▸ EC2 인스턴스 역할(IAM role) — 애플리케이션이 토큰으로 DB 접근 ▸ Parameter Store/템플릿 파라미터 — 정적 자격 증명 유지 필요 【정답 포인트】 ▸ "정적 DB 자격 증명 없이 안전 인증 + 최소 노력" → DB 클러스터에 IAM DB 인증 활성화, IAM 사용자에 매핑된 DB 사용자 생성, EC2에 역할 연결 【오답 체크】 (A) 템플릿에 사용자명·비밀번호를 넣는 것은 정적 자격 증명으로 안전하지 않음. (B) Parameter Store 저장도 정적 자격 증명을 유지·관리해야 함. (D) EC2는 IAM 사용자가 아니라 역할로 인증하며, IAM 사용자를 EC2에 연결한다는 구성은 잘못됨. 【시험 포인트】 "정적 DB 자격 증명 제거" → IAM 데이터베이스 인증 + EC2 역할.

해설

【핵심 용어】 ▸ ACM 퍼블릭 인증서 — 무료, CloudFront에 사용 시 반드시 us-east-1 리전에서 발급 ▸ CloudFront 대체 도메인 이름(CNAME) — 커스텀 도메인 SSL 필요 ▸ ACM 프라이빗 인증서(Private CA) — 비용 발생 【정답 포인트】 ▸ "커스텀 도메인 + 추가 비용 없이 인증서 배포" → us-east-1에서 ACM 퍼블릭 인증서를 발급(무료)하여 CloudFront에 연결 【오답 체크】 (A) 프라이빗 인증서(Private CA)는 비용이 발생. (B) 프라이빗 인증서 + us-west-1 둘 다 부적합(비용, 리전). (D) 퍼블릭이라도 us-west-1은 CloudFront가 요구하는 us-east-1이 아님. 【시험 포인트】 "CloudFront 커스텀 도메인 인증서" → us-east-1 ACM 퍼블릭 인증서(무료).

해설

【핵심 용어】 ▸ S3 미리 서명된 URL(presigned URL) — 특정 객체에 만료 시간 있는 임시 접근 부여 ▸ 7일 한시 접근 + 단일 보고서만 + 운영 효율 ▸ IAM 사용자·액세스 키/퍼블릭 액세스 — 과한 노출·운영 부담 【정답 포인트】 ▸ "외부 컨설턴트에게 보고서 하나만 7일간 접근 + 운영 효율 최고" → 해당 보고서에 대해 만료가 설정된 미리 서명된 URL 생성·공유 【오답 체크】 (A) 퍼블릭 정적 웹사이트는 모든 데이터를 노출. (B) 버킷 퍼블릭 액세스 활성화는 버킷 전체를 노출. (C) IAM 사용자 생성·액세스 키 제공은 운영 부담과 보안 위험 큼. 【시험 포인트】 "특정 객체 한시적 외부 접근" → S3 presigned URL.

해설

【핵심 용어】 ▸ 클러스터 배치 그룹(cluster placement group) — 같은 AZ 내 인스턴스 근접 배치로 저지연·고대역폭 노드 간 통신 ▸ HPC 긴밀 결합(tightly coupled) 통신 — 클러스터 배치 그룹의 대표 사례 ▸ Dedicated 테넌시/Spot/Capacity Reservation — 격리·비용·가용성 관련, 네트워크 성능 아님 【정답 포인트】 ▸ "저지연 + 고처리량 + 긴밀 결합 노드 간 통신" → 클러스터 배치 그룹으로 인스턴스를 근접 배치 【오답 체크】 (B) Dedicated 인스턴스는 하드웨어 격리로 네트워크 성능 목적이 아님. (C) Spot 인스턴스는 중단 가능성이 있어 HPC에 부적합. (D) Capacity Reservation은 용량 확보용으로 저지연과 무관. 【시험 포인트】 "HPC 저지연·긴밀 결합 통신" → 클러스터 배치 그룹.

해설

【핵심 용어】 ▸ AWS Direct Connect 이중화 — 최대 복원력 위해 각 사이트에서 서로 다른 DX 로케이션·별도 장비로 종단 ▸ 최대 복원력(maximum resiliency) — AWS 권장: 복수 연결 + 복수 로케이션 + 별도 장비 ▸ 단일 연결/단일 로케이션/동일 장비 — 단일 장애점 【정답 포인트】 ▸ "두 데이터센터 + 고가용·최대 복원력" → 각 데이터센터에서 두 개의 Direct Connect를 두 개의 DX 로케이션·별도 장비로 종단 【오답 체크】 (A) 주 데이터센터에서만 연결해 보조 센터 경로가 없음. (B) 단일 연결·동일 로케이션·동일 장비는 다중 단일 장애점. (D) 단일 연결·동일 로케이션은 C보다 복원력이 낮음. 【시험 포인트】 "최대 복원력 Direct Connect" → 복수 연결 + 복수 로케이션 + 별도 장비.

해설

【핵심 용어】 ▸ AWS Trusted Advisor (관리 계정) — Organizations 전체 계정을 집계 조회 ▸ RDS Reserved Instance Optimization 체크 — 고사용률·지속 실행 RDS의 예약 인스턴스 절감 추천 ▸ RDS Idle DB Instances 체크 — 유휴 DB용(고사용률과 무관) 【정답 포인트】 ▸ (A) 관리 계정에서 Trusted Advisor를 사용하면 조직 전체 계정의 권장 사항을 한눈에 확인 ▸ (C) 고사용률·On-Demand 지속 실행 → RDS Reserved Instance Optimization 체크로 RI 전환 비용 절감 【오답 체크】 (B) 멤버 계정별 조회는 중앙 집계가 아님. (D) Idle DB 체크는 유휴 인스턴스용으로 고사용률 RDS 최적화와 맞지 않음. (E) Compute Optimizer는 RDS 비용 최적화의 핵심이 아니며 RI 전환이 본 절감책. 【시험 포인트】 "고사용률 On-Demand RDS 비용 절감" → 관리 계정 Trusted Advisor + RI Optimization 체크.

해설

【핵심 용어】 ▸ S3 게이트웨이 엔드포인트 — VPC에서 S3 프라이빗 접근, 사용 요금·데이터 전송료 없음(무료) ▸ NAT 게이트웨이 — 데이터 처리 요금 발생 ▸ S3 인터페이스 엔드포인트 — 시간당 + GB당 요금 발생 【정답 포인트】 ▸ "프라이빗 서브넷 EC2가 대용량 S3 파일 자주 접근 + 데이터 전송 비용 최소화" → S3 게이트웨이 엔드포인트를 만들고 프라이빗 서브넷 라우팅 테이블에 항목 추가(무료) 【오답 체크】 (B) 단일 NAT 게이트웨이는 데이터 처리 요금이 발생. (C) S3 인터페이스 엔드포인트는 시간·GB당 요금이 있어 게이트웨이 엔드포인트보다 비쌈. (D) AZ별 NAT 게이트웨이는 데이터 처리 비용이 더 큼. 【시험 포인트】 "S3 데이터 전송 비용 최소화" → 무료인 S3 게이트웨이 엔드포인트.

해설

【핵심 용어】 ▸ Amazon RDS for MySQL + Provisioned IOPS SSD(io1/io2) — 높은 쓰기 성능·일관된 IOPS 제공 ▸ CloudWatch 모니터링 — 쓰기 지표 관찰 후 IOPS 조정 ▸ ElastiCache/DocumentDB/EFS — 읽기 캐시·비호환·파일 시스템(쓰기 부하 해결 아님) 【정답 포인트】 ▸ "대량 쓰기로 인한 성능 문제" → Provisioned IOPS SSD로 높고 일관된 IOPS 확보, CloudWatch로 모니터링하며 필요 시 IOPS 조정 【오답 체크】 (B) ElastiCache는 읽기 캐시로 쓰기 부하를 해결하지 못함. (C) DocumentDB는 MongoDB 호환으로 MySQL이 아님. (D) EFS는 파일 시스템이며 MySQL DB가 아님. 【시험 포인트】 "높은 쓰기 처리량 요구" → RDS + Provisioned IOPS SSD.

해설

【핵심 용어】 ▸ 클라이언트 측 암호화(client-side encryption) — 데이터를 AWS로 보내기 전 로컬에서 암호화(제3자가 평문 접근 불가) ▸ AWS KMS 키 — 클라이언트 측 암호화 키 관리 ▸ 서버 측 암호화(SSE-KMS 등) — AWS 도착 후 암호화(전송 전 평문 존재) 【정답 포인트】 ▸ "데이터가 암호화되어 AWS로 전송되기 전에 제3자 접근 차단" → 애플리케이션이 KMS 키로 클라이언트 측 암호화 후 S3에 저장 【오답 체크】 (A) "S3 관리형 키 클라이언트 측 암호화"는 성립하지 않는 구성으로 부적합. (B) SSE-KMS는 서버 측 암호화라 AWS 도착 전 평문 상태로 전송됨. (C) 이중 계층 SSE-KMS도 서버 측이라 전송 전 암호화가 아님. 【시험 포인트】 "AWS 전송 전 암호화" → 클라이언트 측 암호화(KMS 키).

해설

【핵심 용어】 ▸ RDS 자동 백업 보존 기간(retention period) — 최대 35일까지 설정, 데일리 백업 자동 수행 ▸ 최소 운영 부담 — 설정 변경만으로 요건 충족 ▸ Lambda/CLI 수동 스냅샷 — 커스텀·수동 작업 【정답 포인트】 ▸ "매일 백업 + 30일 보존 + 최소 운영" → RDS 자동 백업 보존 기간을 30일로 수정 【오답 체크】 (A) Lambda로 매일 스냅샷은 커스텀 코드 유지가 필요. (C) Systems Manager 유지 관리 기간은 백업 보존 기간을 설정하지 못함. (D) CLI 수동 스냅샷은 매일 수동 작업이라 운영 부담 큼. 【시험 포인트】 "매일 백업 + N일 보존 + 최소 운영" → RDS 자동 백업 보존 기간 설정.

해설

【핵심 용어】 ▸ Amazon Kinesis Data Firehose — 서버리스 스트리밍 수집, 대량 데이터 자동 확장 ▸ AWS Fargate + ECS — 서버리스 컨테이너로 30분 장기 작업 처리(Lambda 15분 한계 초과 가능) ▸ Lambda(15분 제한)/EC2 ASG/DMS — 장기 작업 불가·비서버리스·용도 불일치 【정답 포인트】 ▸ (A) 대량 유입 스트림을 서버리스로 확장 수집 → Kinesis Data Firehose ▸ (E) 30분 소요 작업을 서버리스로 확장 처리 → Fargate + ECS 【오답 체크】 (B) Lambda는 최대 15분 실행이라 30분 작업 불가. (C) DMS는 데이터베이스 마이그레이션용으로 스트림 수집이 아님. (D) EC2 Auto Scaling은 서버리스가 아님. 【시험 포인트】 "서버리스 + 30분 작업" → Firehose 수집 + Fargate/ECS 처리(Lambda는 15분 한계).

해설

【핵심 용어】 ▸ S3 게이트웨이 VPC 엔드포인트 — VPC에서 S3로 프라이빗 접근, 퍼블릭 인터넷 미경유 ▸ 라우팅 테이블 항목 — 엔드포인트로 트래픽 라우팅 ▸ NLB/Direct Connect — S3 대상 불가·온프레미스 연결용 【정답 포인트】 ▸ "민감 데이터를 S3에 기록 + 퍼블릭 인터넷 미사용" → S3 게이트웨이 VPC 엔드포인트 생성 후 라우팅 테이블에 경로 추가 【오답 체크】 (B) NLB는 S3를 대상으로 지정할 수 없음. (C) S3를 VPC 내부에 배포할 수 없음. (D) Direct Connect는 온프레미스-AWS 연결용으로 VPC 내부 요건과 무관. 【시험 포인트】 "인터넷 없이 S3 접근" → S3 게이트웨이 VPC 엔드포인트.

해설

【핵심 용어】 ▸ AWS Compute Optimizer — EBS 볼륨 최적화 권장 + 예상 월간 절감액 제공 ▸ EBS 비용 분석·최적화 권장 ▸ Inspector/Systems Manager/CloudWatch — 보안·구성·지표(비용 절감 추천 아님) 【정답 포인트】 ▸ "EBS 볼륨 비용 분석 + 예상 월간 절감 포함 권장" → Compute Optimizer가 EBS 볼륨 권장과 절감액을 생성 【오답 체크】 (A) Inspector는 보안 취약점 평가용. (B) Systems Manager는 비용 절감 권장을 생성하지 않음. (C) CloudWatch 지표는 절감액 추천을 제공하지 않음. 【시험 포인트】 "EBS 최적화 + 예상 절감액" → AWS Compute Optimizer.

해설

【핵심 용어】 ▸ Amazon S3 Storage Lens — 조직·리전 전반의 S3 사용 지표 제공(버전 관리 활성화 여부 등 식별) ▸ IAM Access Analyzer — 접근 권한 분석(버전 관리 여부 아님) ▸ S3 Multi-Region Access Point — 요청 라우팅용(식별 도구 아님) 【정답 포인트】 ▸ "리전 전반에서 버전 관리 미활성 S3 버킷 전부 식별" → S3 Storage Lens의 버전 관리 지표로 조직 전체를 식별 【오답 체크】 (C) IAM Access Analyzer는 접근·권한 분석 도구로 버전 관리 여부를 식별하지 않음. (D) Multi-Region Access Point는 요청 라우팅용으로 버킷 식별 기능이 아님. 【시험 포인트】 "다수 버킷·다중 리전 구성 상태 식별" → S3 Storage Lens.

해설

【핵심 용어】 ▸ 교차 계정 IAM 역할(assume role) — 접근 대상 계정(Production)에 역할 생성, 신뢰 정책으로 Development 계정 지정 ▸ 신뢰 정책(trust policy) — 어느 계정이 역할을 맡을 수 있는지 지정 ▸ 알파→베타 확장 — 역할 기반이면 대상 사용자만 추가로 조정 용이 【정답 포인트】 ▸ "Development에서 Production 접근 + 접근 인원 단계적 확장" → Production 계정에 IAM 역할을 만들고 신뢰 정책에 Development 계정을 지정, 개발자가 역할을 assume 【오답 체크】 (A) 계정마다 개별 정책 작성은 교차 계정 assume 구조가 아님. (B) 역할은 접근 대상 계정(Production)에 있어야 하며 Development에 두는 구성은 잘못됨. (D) IAM 그룹은 신뢰 정책의 principal이 될 수 없고, 신뢰 대상은 Production이 아니라 Development여야 함. 【시험 포인트】 "교차 계정 접근" → 대상 계정에 역할 + 신뢰 정책으로 소스 계정 지정.