정답 · 해설

해설

【핵심 용어】 ▸ API Gateway 사용 계획 (Usage Plan) — 고객별 할당량 설정 ▸ API 키 — 고객 식별 및 추적 【정답 포인트】 API Gateway REST API의 사용 계획은 고객별로 다양한 요청 할당량을 설정할 수 있으며, 시간 기반 스로틀링도 지원합니다. API 키로 고객을 구분하고 할당량을 강제합니다. 이는 Lambda 애플리케이션의 표준 패턴입니다. 【오답 체크】 (B) HTTP API는 사용 계획 미지원 (REST API만 지원) (C) 동시성 제한은 요청 할당량 제어와 다른 개념 (D) WAF는 보안 규칙이며, 할당량 관리 기능 부재 【시험 포인트】 고객별 요청 할당량 관리 → API Gateway REST API + Usage Plan. 가장 표준적인 솔루션입니다.

해설

【핵심 용어】 ▸ AWS Application Migration Service — VMware VM 마이그레이션 자동화 ▸ AWS DataSync + Direct Connect — 대용량 데이터 고속 전송 【정답 포인트】 Application Migration Service는 VMware 클러스터의 120개 VM을 자동으로 검색하고 복제합니다. DataSync는 Direct Connect를 통해 10TB NFS 데이터를 병렬로 전송하여 가장 빠른 마이그레이션을 제공합니다. EFS는 Linux/Unix 기반 워크로드에 최적화되어 있습니다. 【오답 체크】 (A) VM Import/Export는 수동 export/import 절차 → 120개 VM에는 시간 소비 (C) 수동 EC2 인스턴스 생성 + 소프트웨어 설치 → 매우 느림 (D) Snowball은 인터넷 대역폭 제약이 없지만, 물리 배송 시간(며칠) → 가장 느림 【시험 포인트】 다수 VM + 대용량 데이터 마이그레이션 → Application Migration Service + DataSync. 가장 빠른 전송입니다.

해설

【핵심 용어】 ▸ CloudFront Field-Level Encryption — 특정 필드 암호화 ▸ RSA 비대칭 암호화 — 공개 키로 암호화, 개인 키로 해독 【정답 포인트】 CloudFront의 필드 레벨 암호화는 RSA 공개 키로 민감한 필드를 암호화합니다. 오리진(데이터 처리 마이크로서비스)만 개인 키를 가지고 있어 해독할 수 있습니다. CloudFront는 암호화된 데이터를 전달하기만 하며, 복호화는 백엔드에서만 가능합니다. 【오답 체크】 (A) KMS 대칭 키는 CloudFront에서 직접 사용 불가, 필드 레벨 암호화는 RSA 필요 (C) Lambda@Edge는 CloudFront에서 요청 수정이며, 필드 레벨 암호화 표준이 아님 (D) Lambda@Edge에서 개인 키로 암호화(해독 아님)는 역방향이며 보안 미흡 【시험 포인트】 CloudFront 필드 레벨 암호화 → RSA 공개/개인 키 쌍. 가장 표준적인 솔루션입니다.

해설

【핵심 용어】 ▸ enableDnsSupport — Amazon 제공 DNS 지원 활성화 ▸ enableDnsHostnames — 공개 IP에 공개 DNS 호스트이름 할당 【정답 포인트】 enableDnsSupport와 enableDnsHostnames를 모두 활성화하면 프라이빗 호스팅 영역과 공개 호스트이름을 동시에 지원합니다. AmazonProvidedDNS는 Route 53 Resolver를 통해 프라이빗 호스팅 영역 쿼리를 자동 해석합니다. 프라이빗 호스팅 영역을 VPC와 명시적으로 연결하여 쿼리 결과를 제공합니다. 【오답 체크】 (A) DHCP 옵션 10.24.34.2는 Route 53 Resolver 기본 IP가 아님, 프라이빗 호스팅 영역 연결 미실시 (C) enableDnsSupport 비활성화 → 프라이빗 호스팅 영역 쿼리 불가 (D) enableDnsHostnames 비활성화 → 공개 IP 공개 호스트이름 미지원 【시험 포인트】 프라이빗 호스팅 영역 + 공개 호스트이름 → enableDnsSupport/enableDnsHostnames + AmazonProvidedDNS. 완전한 DNS 지원입니다.

해설

【핵심 용어】 ▸ Concurrency Scaling — 동시 쿼리 처리 자동 확장 ▸ 읽기/쓰기 혼합 워크로드 — Redshift 최적화 【정답 포인트】 Concurrency Scaling은 Redshift 사용량 급증 시 자동으로 추가 클러스터를 프로비저닝하여 동시 쿼리를 처리합니다. 읽기 및 쓰기 쿼리를 계속 처리하며(다른 방식과 달리), 가장 간단하고 비용 효율적입니다. 1시간의 크레딧으로 제한되므로 일시적 급증에 최적화됩니다. 【오답 체크】 (A) EMR은 대용량 배치 처리용이며, 실시간 읽기/쓰기 처리 미지원 (B) 클래식 크기 조정은 기존 노드 재구성으로 시간 소요, 읽기/쓰기 중단 가능 (C) 탄력적 크기 조정은 수평 확장이지만, 80% 임계값 기반 수동 설정 필요 【시험 포인트】 예기치 않은 급증 + 읽기/쓰기 보장 → Concurrency Scaling. 가장 빠르고 효율적입니다.

해설

【핵심 용어】 ▸ IAM Policy + aws:username — 사용자 기반 경로 제한 ▸ CloudTrail — 객체 수준 접근 로깅 ▸ S3 Server Access Logging — S3 API 호출 기록 【정답 포인트】 ▸ 접근 제어 (A) → 경로 기반 격리로 과학자 간 데이터 보호 ▸ 감시 기록 (B) → CloudTrail은 "누가 언제 무엇을 했는가"의 증거 제공 【오답 체크】 (C) S3 Server Access Logging은 S3 API 호출만 기록, 누가 호출했는지 불명확 (D) 버킷 정책으로는 개별 경로 제한 불가능 (E) CloudWatch로 전달하면 Athena 쿼리 어려움 + 복잡도 증가 【시험 포인트】 접근 제어 + 감시 = 보안 + 규정 준수. aws:username 변수는 개별 사용자 경로 격리의 핵심.

해설

【핵심 용어】 ▸ Private ECR Repository — 조직 내 계정만 접근 ▸ aws:PrincipalOrgID — Organizations 기반 접근 제어 ▸ ECR Lifecycle Rule — 자동 이미지 정리 【정답 포인트】 ▸ Private Repo + 리소스 정책 → 조직 경계 보안 달성 ▸ Lifecycle Rule 내장 → Lambda/EventBridge 불필요 (운영 오버헤드 최소) 【오답 체크】 (B) Public Repo는 조직 외부에도 노출 위험 (C) (D) Lambda + EventBridge는 추가 코드/모니터링 필요 → 오버헤드 증가 (D) Public Repo + VPC Endpoint = 모순적 설계 【시험 포인트】 ECR Lifecycle Rule의 자동 정리 기능을 활용하면 수동 정리 불필요. Organizations 기반 정책이 가장 간단한 멀티 계정 보안.

해설

【핵심 용어】 ▸ AWS Backup — Organizations 기반 중앙 백업 관리 ▸ Cross-account Management — 모든 계정의 백업 통합 관리 ▸ Tag-based Policy — 자동 백업 적용 【정답 포인트】 ▸ AWS Backup의 Cross-account 기능 → 중앙에서 모든 계정의 백업 제어 ▸ 태그 기반 정책 → 자동 적용으로 수작업 불필요 ▸ 통합 모니터링 → AWS Backup 콘솔에서 모든 스냅샷 상태 확인 【오답 체크】 (B) RDS는 글로벌 스냅샷 정책 기능 미지원 (C) CloudFormation + EventBridge + Lambda = 과도한 복잡도 (D) 각 계정별 모니터링 → 통합 보기 불가능 【시험 포인트】 AWS Backup은 Organizations 기반 중앙 관리의 표준 솔루션. 빈도/보존/교차 계정 모두 지원.

해설

【핵심 용어】 ▸ SCP (Service Control Policy) — 조직 수준 권한 경계 ▸ Identity-based Policy — 사용자/역할의 권한 정의 ▸ Trust Policy (AssumeRole) — 역할 수임 권한 【정답 포인트】 ▸ (A) SCP — 계정 A에서 AssumeRole 작업 차단 금지 ▸ (C) Identity Policy on User A — "sts:AssumeRole on RoleB" 명시적 허용 ▸ (E) Trust Policy on RoleB — "Principal: UserA from AccountA" 명시적 허용 【오답 체크】 (B) 리소스 기반 정책은 역할의 신뢰 정책으로 충분 (D) 계정 B의 사용자가 아닌 A의 사용자가 수임 (F) 세션 정책은 역할 수임이 아닌 세션 권한 제한용 【시험 포인트】 교차 계정 역할 수임 = SCP(경계) + IdentityPolicy(허용) + TrustPolicy(신뢰). 3개 모두 필수.

해설

【핵심 용어】 ▸ Storage Gateway File Gateway — NFS/SMB 프로토콜 지원 ▸ S3 Glacier Deep Archive — 최저 비용 아카이브 ▸ Lifecycle Rule — 자동 티어링 【정답 포인트】 ▸ File Gateway → NFS 프로토콜 지원 (A, D 가능) ▸ Glacier Deep Archive → 5일 후 장기 보관 시 최저 가격 ▸ 아카이브 조회 수일 허용 → Deep Archive 사용 가능 【오답 체크】 (A) Standard-IA는 부분 비용 절감만 가능 (Deep Archive가 더 저렴) (B) Volume Gateway는 블록 스토리지로 NFS 미지원 (C) Tape Gateway도 NFS 미지원, Standard-IA 사용 【시험 포인트】 NFS + 아카이브 + 비용 최소화 = File Gateway + Glacier Deep Archive. 조회 대기 시간 허용이 핵심.

해설

【핵심 용어】 ▸ EC2 Instance Savings Plan — EC2 전용 할인 ▸ Compute Savings Plan — EC2/Lambda/Fargate 통합 할인 ▸ Lambda Reserved Concurrency — Lambda 동시성 예약 (실제로는 비용 절감 아님) ▸ MemoryDB Reserved Nodes — MemoryDB 전용 할인 【정답 포인트】 ▸ EC2 안정적 로드 → Instance Savings Plan (최고 할인) ▸ Lambda 예측 불가능 → Compute Savings Plan (최소 보장만 커버) ▸ MemoryDB 일정 로드 → Reserved Nodes 【오답 체크】 (B) EC2를 Compute Plan으로 하면 Instance Plan보다 할인 낮음 (C) Lambda의 불예측 로드까지 모두 커버하면 사용하지 못하는 비용 발생 (D) Lambda Reserved Concurrency는 비용 절감 방식 아님 【시험 포인트】 부하 패턴에 따른 예약 선택: 안정적=Instance/Dedicated, 불규칙=최소치만 Compute Plan. MemoryDB는 항상 Reserved Nodes.

해설

【핵심 용어】 ▸ Auto Scaling + NLB — 각 리전별 탄력적 계산 ▸ Route 53 Latency-based Routing — 최소 지연시간 경로 선택 ▸ DynamoDB Global Table — 다중 리전 글로벌 테이블 【정답 포인트】 ▸ 리더보드/인벤토리 = 스키마 없고 글로벌 접근 필요 → DynamoDB Global Table ▸ Latency-based Routing → 자동 최적 리전 선택 ▸ Auto Scaling → 각 리전이 모든 부하 처리 가능 【오답 체크】 (A) Global Accelerator는 TCP/UDP 최적화이지만 추가 복잡도 (B) Geoproximity는 지역 기반이지 지연시간 최적화 아님 (D) EC2 Global View 미지원, 커스텀 DNS 서버는 운영 오버헤드 높음 【시험 포인트】 Multi-region 게임 = DynamoDB Global Table (쓰기 충돌 해결) + Latency-based Routing. Route 53 헬스체크 자동.

해설

【핵심 용어】 ▸ Gateway Load Balancer — L3/L4 투명 프록시 (방화벽용) ▸ GWLB Endpoint — VPC 간 트래픽 라우팅 ▸ Multi-AZ Deployment — 고가용성 【정답 포인트】 ▸ (A) 다중 AZ 배포 → 장애 조치 시간 최소화 ▸ (C) Gateway Load Balancer → 방화벽 어플라이언스 로드 분산 ▸ (F) GWLB Endpoint → 다른 VPC 트래픽 라우팅 【오답 체크】 (B) Network Load Balancer는 L4 전용, 방화벽 투명 처리 불가 (D) Interface Endpoint는 AWS 서비스용, 트래픽 라우팅 불가 (E) 단일 AZ = 장애 시 다운타임 발생 【시험 포인트】 Networking Appliance = Gateway Load Balancer + GWLB Endpoint 조합. NLB로는 투명 프록시 불가능.

해설

【핵심 용어】 ▸ ENI (Elastic Network Interface) — MAC 주소 고정 ▸ Parameter Store — 동적 구성 관리 ▸ Bootstrap Script — 인스턴스 초기화 【정답 포인트】 ▸ (A) ENI 풀 + S3 라이선스 → MAC 주소 유지 + 자동 할당 ▸ (D) Parameter Store → 정적 IP를 환경 변수화 【오답 체크】 (B) AMI에 고정 라이선스 저장 → 새 인스턴스 추가 시 새 라이선스 필요 (12시간 대기) (C) 부트스트랩으로 매번 요청 → 시작 시간 증가, 12시간 대기 (E) AMI에 고정 IP 저장 → 다중 인스턴스 배포 시 충돌 【시험 포인트】 MAC-locked License = ENI 재사용. 정적 IP = Parameter Store 참조. HA 아키텍처의 핵심.

해설

【핵심 용어】 ▸ RDS Read Replica — 동기식 복제, 일관성 보장 ▸ DMS CDC — 초기 로드 + 지속 동기화 ▸ Latency-based Routing — 최소 지연시간 경로 【정답 포인트】 ▸ 읽기 전용 90% → Read Replica로 충분 ▸ Read Replica → 기본 DB와 동기식 복제 (일관성) ▸ Latency-based → 사용자 지연시간 최소화 【오답 체크】 (A) DMS Full Load는 1회 복제, 이후 변경사항 미반영 (B) CDC는 복제된 DB도 쓰기 가능 → 필요 없음 (읽기 전용) (D) Geolocation은 지역 기반이지 지연시간 최적화 아님 【시험 포인트】 읽기 전용 + 다중 리전 = Read Replica + Latency-based Routing. DMS는 스키마 마이그레이션용.

해설

【핵심 용어】 ▸ Single VPC — 테스트 환경 집중화 ▸ CloudFormation — 자동 프로비저닝 ▸ Transit Gateway Attachment — 온프레미스 연결 【정답 포인트】 ▸ 단일 VPC → 네트워킹 간소화 ▸ CloudFormation으로 자동 배포/삭제 → 수동 개입 불필요 ▸ Transit Gateway는 이미 존재 → 추가 구성 최소 【오답 체크】 (A) VPC 당 스택 → 복잡도 증가, 테스트 환경마다 VPC 필요 없음 (C) OU별 계정 생성 → 계정 수 폭증, 관리 오버헤드 극대 (D) EKS 도입 → Kubernetes 학습곡선, 오버헤드 증가 【시험 포인트】 단기 임시 환경 = 단일 공유 VPC + CloudFormation. 계정 분리는 필요 없음.

해설

【핵심 용어】 ▸ KMS Multi-Region Primary Key — 모든 리전 공유 ▸ Secrets Manager Replication — 비밀 자동 동기화 ▸ API Gateway Multi-region — 활성-활성 배포 【정답 포인트】 ▸ (A) 다중 리전 배포 + Route 53 Multivalue → DNS 레벨 로드밸런싱 ▸ (B) Multi-Region KMS Key → 모든 리전에서 암호/복호화 ▸ (C) Secrets 복제 + 로컬 KMS → 각 리전 자체 해독 【오답 체크】 (D) AWS 관리형 키 + 기존 키 변환 = 중복, 다중 리전 키 단독으로 충분 (E) 수동 복제 → 운영 오버헤드 증가 (F) API Gateway 다중 리전 미지원 기능 (Regional API만 가능) 【시험 포인트】 Active-Active 활성화 = Regional 배포 + KMS Multi-Region + Secrets Replication. Route 53 Multivalue로 모든 리전 응답.

해설

【핵심 용어】 ▸ Aurora MySQL — 고가용성 + 자동 페일오버 ▸ ElastiCache Redis — 세션 저장, 빌트인 복제 ▸ ALB — 세션 처리, 헬스 체크 【정답 포인트】 ▸ Aurora > RDS → 자동 페일오버 + 다중 AZ 복제 (신뢰성 최고) ▸ ElastiCache Redis → 세션 데이터 고가용성 + 자동 백업 ▸ ALB → 상태 저장 세션 처리 최적 【오답 체크】 (A) RDS는 자동 페일오버 느림, Neptune은 그래프 DB (부적합) (C) DocumentDB는 신뢰성 좋지만 Kinesis Firehose는 세션 저장 부적합 (D) MariaDB는 RDS 기반, ElastiCache Memcached는 복제 미지원 【시험 포인트】 높은 신뢰성 = Aurora(자동 복제) + Redis(고가용성 세션). Memcached는 클러스터 미지원.

해설

【핵심 용어】 ▸ IAM Identity Center — 중앙 사용자 관리 ▸ AD Connector — 온프레미스 AD 연동 ▸ Systems Manager Fleet Manager — 브라우저 기반 RDP 【정답 포인트】 ▸ IAM Identity Center → 중앙 집중식 인증 + 온프레미스 AD 연동 ▸ AD Connector → 온프레미스 AD와 네이티브 통합 (비용 최저) ▸ Fleet Manager → 추가 인프라 없이 RDP 접근 (VPN 불필요) 【오답 체크】 (A) AWS Managed AD 구축 → 추가 비용, 신뢰 설정 필요 (C) VPN + 온프레미스 도메인 조인 → 인터넷 연결이면 VPN 불필요 (D) AWS Managed AD + Remote Desktop Gateway → (A) 보다 더 복잡/비용 【시험 포인트】 온프레미스 AD 연동 + 비용 최저 = IAM Identity Center + AD Connector. Fleet Manager는 별도 VPN 불필요.

해설

【핵심 용어】 ▸ EBS Encryption by Default — 정책 기반 강제 암호화 ▸ EventBridge/Config/Lambda — 사후 대응식 수정 【정답 포인트】 ▸ EBS 암호화 기본값 활성화 → 모든 신규 볼륨 자동 암호화 ▸ 설정 변경만으로 충분 → 자동화 코드 불필요 ▸ 최소 운영 오버헤드 → "설정 후 방치" 패턴 【오답 체크】 (A) EventBridge → 비준수 볼륨을 감지했으나 삭제는 과함 (B) Audit Manager는 감시만 가능, 강제화 불가 (C) Config + Lambda → 사후 암호화는 기존 데이터 미보호 【시험 포인트】 암호화 강제 = 정책 수준 설정 (기본값). 사후 대응보다 사전 예방이 최소 오버헤드.