정답 · 해설

해설

【핵심 용어】 ▸ CloudWatch 상세 모니터링(detailed monitoring) — EC2 메트릭을 1분 주기로 수집(기본 모니터링은 5분) ▸ CloudWatch 알람 + SNS — 임계값 초과 시 이메일 알림 발송 ▸ 기본 모니터링(basic) — 5분 주기라 "매분 수집" 요구 미충족 【정답 포인트】 ▸ "매 1분 메트릭 수집" → detailed monitoring 필요 ▸ "임계값 초과 시 이메일" → CloudWatch 알람 + SNS 이메일 구독 【오답 체크】 (A) Health Dashboard는 인스턴스 메트릭 소스가 아님. (B) CloudTrail은 API 로그용, 1분 메트릭 모니터링에 부적합. (C) 기본 모니터링은 5분 주기라 매분 수집 요구 불충족. 【시험 포인트】 "1분 주기 EC2 메트릭" → detailed monitoring. 기본은 5분.

해설

【핵심 용어】 ▸ CloudFront 배포 전환 — 실제 트래픽이 엣지를 거치려면 DNS가 CloudFront 도메인을 가리켜야 함 ▸ TTL 0 설정 — 캐싱 사실상 비활성화되어 모든 요청이 origin(ALB)으로 전달 ▸ DNS 레코드 — CloudFront 도입 후에도 ALB를 직접 가리키면 엣지 우회 【정답 포인트】 ▸ "요청이 여전히 ALB로, 서버 부하 변화 없음" → (B) DNS가 아직 ALB를 가리켜 CloudFront를 우회 ▸ (D) TTL(기본/최소/최대)이 0초라 캐싱 없이 전부 origin으로 전달 【오답 체크】 (A) OAI는 S3 origin 보호용, ALB origin과 무관하며 부하 증상 원인 아님. (C) SG가 CloudFront 인바운드 차단이면 요청 실패지 "ALB가 계속 서빙"은 아님. (E) 스티키 세션은 대상 고정 기능, 캐싱 우회 원인 아님. 【시험 포인트】 "CloudFront 도입해도 origin이 계속 처리" → DNS 미전환 or TTL=0.

해설

【핵심 용어】 ▸ AWS Artifact — AWS 규정 준수 보고서(PCI DSS, SOC, ISO 등) 온디맨드 다운로드 포털 ▸ PCI DSS 준수 문서 — AWS 관리 인프라의 준수 증빙은 Artifact에서 제공 ▸ CloudTrail/CloudWatch — 감사 로그·메트릭용, 규정 준수 인증 문서 아님 【정답 포인트】 ▸ "AWS 관리 인프라의 PCI DSS 준수 문서 제출" → AWS Artifact에서 해당 보고서 다운로드해 감사관에 제공 【오답 체크】 (B) CloudTrail 로그는 API 활동 기록일 뿐 PCI DSS 인증 문서 아님. (C) CloudWatch 로그도 준수 인증 증빙 아님. (D) 감사관에게 프로덕션 관리자 접근 제공은 심각한 보안 위반, 부적절. 【시험 포인트】 "AWS 규정 준수 보고서(PCI/SOC/ISO)" → AWS Artifact.

해설

【핵심 용어】 ▸ CloudFormation DeletionPolicy: Retain — 스택 삭제 시 해당 리소스는 삭제하지 않고 보존 ▸ DynamoDB 테이블 보존 — 스택 삭제 후에도 데이터 유지하려면 Retain 정책 지정 ▸ Termination protection — 스택 자체 삭제 방지용, 개별 리소스 보존과 다름 【정답 포인트】 ▸ "스택 삭제하되 DynamoDB 테이블 보존" → DynamoDB 리소스에 DeletionPolicy Retain 추가 후 스택 삭제 【오답 체크】 (B) Snapshot 정책은 스냅샷 지원 리소스(RDS/EBS 등)용, DynamoDB 테이블 자체 보존 아님. (C) 종료 방지는 스택 삭제 자체를 막음, 요구(스택은 삭제)와 배치. (D) IAM Deny는 API 차단일 뿐 CloudFormation 스택 삭제 시 리소스 보존 메커니즘 아님. 【시험 포인트】 "스택 삭제 시 특정 리소스 유지" → DeletionPolicy: Retain.

해설

【핵심 용어】 ▸ Service Control Policy (SCP) — Organizations에서 계정 전체 권한 상한 설정, root 사용자에게도 적용 ▸ SCP vs IAM — IAM 정책은 root 사용자에 적용 불가, SCP는 member 계정 root까지 제한 ▸ 조직 root에 SCP 적용 — 모든 member 계정에 DynamoDB Deny 상속 【정답 포인트】 ▸ "root 포함 모든 팀이 DynamoDB 사용 못 하게" + "다른 서비스는 영향 없이" → 관리 계정에서 DynamoDB 액션 Deny SCP 생성 후 조직 root에 적용 ▸ SCP는 member 계정 root 사용자에게도 강제되므로 root 자격 증명 보유 관리자도 차단 【오답 체크】 (A),(C) IAM 정책은 member 계정 root 사용자에게 적용되지 않아 root로 우회 가능. (D) 기본 SCP(FullAWSAccess) 제거 + 단일 Deny만 두면 다른 모든 서비스까지 차단되어 요구 위반. 【시험 포인트】 "root 포함 전 계정 특정 서비스 차단" → 조직 root에 Deny SCP. IAM은 root 미적용.

해설

【핵심 용어】 ▸ IAM 정책 [이미지] — 정책 JSON이 이미지로 제시된 문제, 텍스트 미제공 ▸ IAM 정책 평가 — Allow된 액션만 허용, 명시되지 않은 액션은 암묵적 거부 ▸ 최소 권한 — 정책에 나열된 특정 Allow 액션만 수행 가능 【정답 포인트】 ▸ 정답 (D) 로드 밸런서 describe, (E) Lambda 함수 invoke → 해당 정책이 이 두 액션을 허용하도록 구성됨 ▸ 정책에 명시된 Allow 액션에 대응하는 보기가 정답 【오답 체크】 (A) Storage Gateway 생성 권한은 정책에 포함되지 않음. (B) Lambda용 IAM 역할 생성(iam:CreateRole) 권한 미포함. (C) SQS 큐 삭제 권한 미포함. 【시험 포인트】 "정책이 허용하는 액션" → JSON의 Allow된 Action만 매핑. 나열 안 된 것은 암묵 거부.

해설

【핵심 용어】 ▸ EventBridge 이벤트 패턴 — JSON 구조 매칭, 비교 연산자로 필터링 ▸ anything-but — "지정 값이 아닌 모든 것"을 매칭하는 EventBridge 콘텐츠 필터 ▸ equals-ignore-case — 대소문자 무시 비교 연산자 【정답 포인트】 ▸ "state가 terminated가 아닌 이벤트 매칭" → anything-but 연산자로 terminated 제외 ▸ 정답 D는 {"anything-but": {"equals-ignore-case": "terminated"}} 구조로 올바른 EventBridge 문법 【오답 체크】 (A) "not equals-ignore-case"는 존재하지 않는 연산자 문법. (B) "! equals-ignore-case" 역시 유효하지 않은 문법. (C) equals-ignore-case는 terminated와 "일치"하는 이벤트를 매칭, 요구와 정반대. 【시험 포인트】 "특정 값 제외 매칭" → EventBridge anything-but 연산자.

해설

【핵심 용어】 ▸ Amazon VPC IP Address Manager (IPAM) — 조직 전반의 IP 주소를 계정·리전 넘어 계획·추적·감사, 할당 이력 제공 ▸ IPAM Organizations 통합 — 여러 계정/리전의 EIP 등 IP 자원을 중앙 관리 ▸ 보안 도메인별 관리 + 이력 조회 — IPAM이 풀/스코프로 분류하고 할당 기록 보존 【정답 포인트】 ▸ "여러 계정·리전의 EIP를 보안 도메인별 관리 + 할당 이력 조회" → IPAM Organizations 통합 활성화 ▸ IPAM이 IP 자원 추적·감사·이력을 중앙에서 제공 【오답 체크】 (A) AWS Config에 "IP 주소 추적 규칙" 같은 내장 관리 기능은 없음. (B) CloudWatch 커스텀 IP 메트릭은 이력·도메인 관리 기능 아님. (D) SSM Inventory 리소스 데이터 동기화는 IP 도메인 분류·할당 이력 추적 용도 아님. 【시험 포인트】 "멀티 계정·리전 IP 추적·이력·감사" → VPC IPAM.

해설

【핵심 용어】 ▸ CloudWatch Agent Configuration — JSON 형식의 구성 파일로 수집할 로그 및 메트릭 정의. ▸ append-config 옵션 — 기존 구성에 새 구성을 추가하는 Systems Manager Run Command 옵션, 기존 설정 유지. 【정답 포인트】 ▸ "추가 구성 파일 생성" — 새로운 DHCP 로그만 캡처하는 별도 파일로 최소한의 변경. ▸ "append-config로 적용" — 50개 인스턴스에만 선택적으로 적용, 나머지 50개는 유지. ▸ "Systems Manager Run Command" — 대규모 인스턴스에 한번에 명령 실행, 운영 효율성 최대화. 【오답 체크】 (B) 수동 로그인과 PowerShell은 확장성 없음, 50개 인스턴스마다 반복 필요. (C) 마법사를 50번 실행하는 것은 비효율적, 기존 기본 로그 설정 손실 위험. (D) 마법사는 개별 인스턴스용이며 고급 수준은 모든 OS 로그를 수집하므로 정확하지 않음. 【시험 포인트】 ▸ CloudWatch Agent 구성 관리 — 구성 파일 기반 중앙 관리가 가장 효율적. ▸ append-config — 기존 구성 유지하며 새 설정 추가.

해설

【핵심 용어】 ▸ EventBridge — AWS 서비스와 SaaS 애플리케이션의 이벤트를 라우팅하는 서비스, 특정 이벤트 패턴에 기반한 규칙 정의. ▸ SNS — 여러 프로토콜(이메일, SMS, HTTP 등)로 메시지를 전송하는 메시징 서비스, 이메일 구독 지원. 【정답 포인트】 ▸ "EventBridge 규칙" — EC2 상태 변경 이벤트를 감지하는 가장 표준적인 방법, CloudTrail과 달리 API 호출이 아닌 인프라 이벤트 감지. ▸ "SNS 주제" — 이메일 구독자에게 직접 알림 전송 가능, 간편한 구독 관리. 【오답 체크】 (A) Route 53은 DNS 라우팅 서비스이며, 이벤트 기반 트리거를 지원하지 않음. (B) SQS는 메시지 큐 서비스로 이메일 구독자에게 직접 전송 불가, pull 기반 메커니즘. (D) SQS는 SNS처럼 푸시 방식 알림을 지원하지 않음, 이메일 구독 기능 없음. 【시험 포인트】 ▸ EventBridge — EC2 상태 변경 같은 네이티브 AWS 이벤트용 표준 서비스. ▸ SNS + EventBridge — 이메일 알림의 표준 조합.

해설

【핵심 용어】 ▸ Scheduled Scaling — 특정 시간에 Auto Scaling 그룹의 용량을 미리 조정하는 기능, 예측 가능한 트래픽 패턴 대응. ▸ Auto Scaling Policy — 반응적(reactive) 또는 예측적(predictive) 스케일링 규칙. 【정답 포인트】 ▸ "매일 같은 4시간" — 패턴이 예측 가능하므로 예약된 스케일링이 최적. ▸ "트래픽 증가 직전에" — 미리 인스턴스 추가로 지연 없이 대응, 성능 저하 최소화. 【오답 체크】 (A) 두 번째 로드 밸런서는 병렬 처리가 아니며, 성능 개선과 무관. (B) 더 큰 인스턴스로 전환하면 비용 증가하고, 4시간만 필요한 용량을 하루 종일 유지 — 비효율적. (D) 수동 추가는 반응 시간이 길고, 자동화 없이 반복 필요. 【시험 포인트】 ▸ Scheduled Scaling — 시간 기반 예측 가능 트래픽 패턴용 최적 솔루션. ▸ Target Tracking 또는 Simple Scaling과의 차이 — 반응적이 아닌 예측적 접근.

해설

【핵심 용어】 ▸ Network Load Balancer(NLB) — Layer 4(전송 계층) 로드 밸런싱으로 TCP/UDP 포함 모든 프로토콜 지원, 초저지연 처리. ▸ Application Load Balancer(ALB) — Layer 7(애플리케이션 계층) 로드 밸런싱으로 HTTP/HTTPS만 지원. ▸ Global Accelerator — 고정 IP와 AWS 글로벌 네트워크를 사용한 성능 최적화. 【정답 포인트】 ▸ "비-HTTP TCP 트래픽" — ALB로는 불가능, NLB 필수. ▸ "AWS 네트워크를 활용" — CloudFront는 CDN으로 콘텐츠 캐싱 중심, Global Accelerator는 트래픽 라우팅 최적화. ▸ "낮은 지연 시간" — Global Accelerator가 AWS 글로벌 네트워크 활용으로 최적 경로 제공. 【오답 체크】 (A) ALB는 HTTP/HTTPS만 지원, TCP 트래픽 불가. (B) ALB는 여전히 HTTP/HTTPS만 지원. (C) CloudFront는 CDN이므로 캐싱 불가능한 동적 콘텐츠나 비-HTTP에는 부적합. 【시험 포인트】 ▸ NLB — 모든 프로토콜 지원, Global Accelerator와 조합 권장. ▸ CloudFront — 콘텐츠 캐싱용, Global Accelerator — 트래픽 라우팅 최적화용.

해설

【핵심 용어】 ▸ KMS Key — AWS Key Management Service 키로, 암호화된 AMI는 해당 KMS 키의 권한으로만 복호화 가능. ▸ Cross-Account AMI — 한 계정의 AMI를 다른 계정으로 복사할 때, 원본 KMS 키 접근 불가능. 【정답 포인트】 ▸ "암호화된 AMI 복사" — 원본 계정의 KMS 키로 암호화되어 있음. ▸ "대상 계정에서 실패" — 대상 계정이 원본 KMS 키 접근 권한 없음. ▸ "대상 KMS 키로 다시 암호화" — 대상 계정이 소유한 KMS 키로 재암호화하면 CloudFormation이 해당 AMI 사용 가능. 【오답 체크】 (A) 공개 권한은 암호화 문제 해결 안 됨. (B) 소스 계정에서 등록 해제하면 대상 계정의 AMI도 무효화. (D) AMI ID 업데이트는 근본 원인(KMS 접근 불가) 해결 안 됨. 【시험 포인트】 ▸ Cross-Account Encrypted AMI — 대상 KMS 키로 재암호화 필수. ▸ KMS 권한 — 암호화된 리소스는 해당 키의 권한에 의존.

해설

【핵심 용어】 ▸ IAM Instance Profile — EC2 인스턴스에 IAM 권한을 부여하는 메커니즘, Systems Manager가 인스턴스를 관리하려면 필수. ▸ AmazonSSMManagedInstanceCore — Systems Manager 기본 권한 정책으로 Systems Manager에 필요한 모든 권한 포함. 【정답 포인트】 ▸ "Systems Manager 콘솔에 나타나지 않음" — 인스턴스가 Systems Manager의 Managed Instances 목록에 없음, IAM 권한 부족이 원인. ▸ "IAM 인스턴스 프로필" — 표준 Amazon Linux 2 AMI는 SSM Agent가 사전 설치되어 있지만, IAM 권한 없으면 Systems Manager에 등록 불가. ▸ "AmazonSSMManagedInstanceCore" — 필요한 최소 권한 정책. 【오답 체크】 (A) SSM Agent 설치는 불필요(이미 설치됨), IAM 권한이 실제 문제. (B) TLS 인증서는 Systems Manager 통신에 필수 아님, 이미 암호화됨. (C) ssm-user는 System Manager를 위한 필수 사용자 아님, IAM 권한이 문제. 【시험 포인트】 ▸ Amazon Linux 2 — SSM Agent 기본 설치, IAM 권한만 추가하면 Systems Manager 지원. ▸ IAM 권한 — Systems Manager 사용의 필수 전제조건.

해설

【핵심 용어】 ▸ HTTP Layer 7 Status Code — 애플리케이션 계층의 HTTP 상태 코드(200, 404, 500 등). ▸ ALB Access Logs — ALB가 처리한 요청의 상세 정보, HTTP 상태 코드 포함. ▸ CloudFront Access Logs — CloudFront가 처리한 엣지 요청 정보, HTTP 상태 코드 포함. 【정답 포인트】 ▸ "ALB access logs" — ALB 뒤의 웹 서버가 반환한 HTTP 응답 상태 코드 기록. ▸ "CloudFront access logs" — 클라이언트에 반환되는 CloudFront의 HTTP 상태 코드(캐시 히트, 미스, 원본 오류 등) 포함. 【오답 체크】 (A) VPC Flow Logs — Layer 3/4(IP, TCP/UDP 포트) 정보만 포함, HTTP 상태 코드 없음. (B) CloudTrail — AWS API 호출 기록, HTTP 상태 코드와 무관. (E) RDS Logs — 데이터베이스 쿼리/오류 로그, HTTP 상태 코드 없음. 【시험 포인트】 ▸ HTTP 상태 코드 추적 — ALB와 CloudFront 로그만 해당. ▸ 여러 로그 소스 — 특정 정보 유형별로 적절한 로그 선택.

해설

【핵심 용어】 ▸ CloudTrail Integration with EventBridge — CloudTrail이 기록한 AWS API 이벤트를 EventBridge 규칙의 소스로 사용하여 특정 API 호출 감지. ▸ SNS as Target — EventBridge 규칙의 대상으로 SNS를 지정하면 이메일 구독자에게 알림 전송. 【정답 포인트】 ▸ "AWS CloudTrail을 이벤트 소스" — CreateUser는 IAM API 호출이므로 CloudTrail이 기록, CloudTrail 통합 EventBridge 규칙으로 감지 가능. ▸ "SNS 주제를 대상" — 이메일 구독을 통해 자동 알림 전송, 확인된 표준 방법. 【오답 체크】 (B) CloudSearch는 검색 서비스이며 API 이벤트 소스 아님. (C) IAM Access Analyzer는 정책 분석 서비스, API 호출 감지 기능 없음. (E) SES는 이메일 발신 서비스로, EventBridge 대상으로 직접 사용 불가능(SNS와 달리 자동 구독 기능 없음). 【시험 포인트】 ▸ CloudTrail + EventBridge — API 이벤트 감지의 표준 조합. ▸ SNS — EventBridge와의 자연스러운 통합, 이메일 구독 지원.

해설

【핵심 용어】 ▸ RDS Encryption at Rest — 데이터베이스 저장소 암호화, KMS 키 사용. ▸ RDS Snapshot — 데이터베이스의 완전한 백업으로, 스냅샷을 복사할 때 암호화 설정 변경 가능. 【정답 포인트】 ▸ "기존 암호화되지 않은 인스턴스" — 실행 중인 인스턴스에서 직접 암호화 활성화 불가능. ▸ "스냅샷 생성 및 암호화" — 스냅샷 복사 시 KMS 키로 암호화 지정, 새 인스턴스로 복원하면 암호화된 인스턴스 생성됨. 【오답 체크】 (A) RDS 콘솔에서 직접 암호화 활성화 불가능, 이미 생성된 인스턴스는 수정 불가. (B) EBS 볼륨은 RDS 인스턴스와 무관, RDS는 데이터베이스 수준 암호화 필요. (C) Multi-AZ 대기 복제본은 기본과 동일한 암호화 상태, 부분 암호화 불가능. 【시험 포인트】 ▸ RDS 암호화 활성화 — 스냅샷 기반 복원이 유일한 방법. ▸ Snapshot Copy — 암호화 설정 변경 가능한 유일한 시점.

해설

【핵심 용어】 ▸ Service Control Policies(SCPs) — AWS Organizations에서 조직의 계정에 대한 권한을 중앙 집중식으로 제어하는 정책, IAM 정책과 함께 작동하며 IAM 정책보다 우선 적용. ▸ Deny Explicit — 명시적 거부가 모든 Allow를 무효화. 【정답 포인트】 ▸ "조직(Organizations) 기반" — SCP가 조직 계정 전체에 적용되는 중앙 집중식 방법. ▸ "모든 IAM 사용자/역할에 적용" — SCP의 거부는 관리자 권한도 포함하여 우회 불가능. ▸ "가장 간단" — 중앙에서 단 하나의 정책으로 모든 프로덕션 계정 제어. 【오답 체크】 (A) MFA Delete는 버전 관리 기능의 일부로, 버킷 삭제 방지 기능 없음(객체 삭제만 보호). (C) IAM 그룹은 단일 계정 내 정책만 가능, 여러 계정에 적용 불가능. (D) AWS Shield는 DDoS 방어 서비스로 버킷 삭제와 무관. 【시험 포인트】 ▸ Organizations + SCP — 다중 계정 중앙 제어의 표준 방법. ▸ SCP의 우선순위 — IAM 정책보다 상위에서 작동.

해설

【핵심 용어】 ▸ NAT Gateway — 프라이빗 서브넷의 인스턴스가 아웃바운드 인터넷 접근을 할 수 있게 하는 AWS 관리형 서비스, 공개 서브넷에 배치. ▸ Internet Gateway — VPC와 인터넷 간의 양방향 통신, 공개 리소스용. 【정답 포인트】 ▸ "프라이빗 서브넷의 EC2" — 인터넷 직접 접근 불가능, 아웃바운드만 필요. ▸ "NAT Gateway를 공개 서브넷에" — NAT Gateway 자체는 고정 공개 IP를 사용하며 공개 서브넷에 위치. ▸ "프라이빗 라우팅 테이블에서 NAT Gateway로" — 프라이빗 인스턴스의 0.0.0.0/0 트래픽을 NAT Gateway로 라우팅. 【오답 체크】 (A) Internet Gateway는 양방향 통신이므로, 프라이빗 서브넷에서 직접 연결하면 인바운드 접근 노출됨. (B) NAT Gateway를 프라이빗 서브넷에 배치하면 자체가 인터넷 접근 불가능. (D) 2개의 Internet Gateway는 VPC당 1개만 가능, 불가능한 구성. 【시험 포인트】 ▸ NAT Gateway 위치 — 항상 공개 서브넷. ▸ 프라이빗 서브넷의 아웃바운드 — NAT Gateway를 통해서만 안전하게 가능.

해설

【핵심 용어】 ▸ Cross-Site Scripting(XSS) — 웹 애플리케이션의 취약점으로, 악의적인 스크립트를 사용자 브라우저에서 실행하게 하는 공격. ▸ AWS WAF(Web Application Firewall) — Layer 7 공격(XSS, SQL Injection 등) 방어, 커스텀 규칙으로 악의적 요청 차단. 【정답 포인트】 ▸ "교차 사이트 스크립팅 취약점" — WAF가 정규식 기반 규칙으로 XSS 페이로드 탐지 및 차단. ▸ "웹 애플리케이션 레벨" — WAF는 ALB/CloudFront/API Gateway에 연결되어 요청 검사. 【오답 체크】 (A) AWS Shield Standard — DDoS 기본 보호, XSS 방어 불가. (C) Elastic Load Balancing — 로드 분산만, 보안 위협 완화 기능 없음. (D) Amazon Cognito — 사용자 인증/인가 서비스, XSS 완화와 무관. 【시험 포인트】 ▸ WAF — Layer 7 웹 공격 방어의 표준 솔루션. ▸ XSS/SQL Injection 같은 웹 취약점 — 항상 WAF 고려.