정답 · 해설

해설

【핵심 용어】 ▸ AWS Secrets Manager: 데이터베이스 자격증명, API 키 등 보안 정보 관리 전문 서비스입니다. RDS 자격증명 자동 로테이션 기능을 기본으로 지원합니다. Lambda 함수 없이도 내장된 로테이션 기능으로 자동 처리 가능합니다. 【정답 포인트】 ▸ Secrets Manager는 RDS 자격증명 자동 로테이션을 기본으로 지원하므로 추가 개발이 불필요합니다. 설정 후 자동으로 30일마다 로테이션됩니다. Lambda를 별도로 배포할 필요가 없어 운영 오버헤드가 최소화됩니다. AWS RDS 프록시와도 자동 통합되어 로테이션 중 연결 끊김이 없습니다. 【오답 체크】 ▸ (A) Parameter Store: RDS 자동 로테이션 기능 없음, 수동 스크립트 필요. (C) S3 + Lambda: 복잡한 아키텍처, 오버헤드 증가, RDS 통합 약함. (D) Secrets Manager + Lambda: 불필요한 Lambda 개발로 오버헤드 증가. 【시험 포인트】 ▸ SysOps 시험의 자동화/운영효율 문제입니다. 'LEAST operational overhead' 키워드가 있으면 AWS 관리형 서비스의 내장 기능을 활용하는 것이 정답입니다. Secrets Manager가 RDS 로테이션 최적화되어 있다는 것이 핵심입니다.

해설

【핵심 용어】 ▸ AWS Recycle Bin: 삭제된 EBS 스냅샷과 AMI를 보존하는 AWS 서비스입니다. 보존 규칙을 설정하면 삭제 후에도 지정된 기간 동안 복구 가능한 상태로 유지됩니다. 글로벌 리전별 설정이 가능합니다. 【정답 포인트】 ▸ Recycle Bin이 가장 간단하고 효과적인 솔루션입니다. 설정 후 삭제된 스냅샷은 자동으로 Recycle Bin에 이동되어 보존 기간(1~3650일) 동안 복구 가능합니다. 추가 비용도 최소화되고 관리 오버헤드가 거의 없습니다. 우발적 삭제로부터 보호하는 전담 기능입니다. 【오답 체크】 ▸ (A) 삭제 보호: 사전 예방은 되지만 이미 삭제된 스냅샷은 복구 불가. (B) IAM 정책: 삭제 전 방지는 가능하나 복구 기능 없음, 불편함. (D) EventBridge + Lambda: 비용 증가, 복잡한 구조, 자동화 필요. 70~80자 【시험 포인트】 ▸ SysOps 재해 복구 및 데이터 보호 문제입니다. 'recover snapshots' + 'specified period' 키워드 조합이 있으면 Recycle Bin을 먼저 생각해야 합니다. AWS는 실수에 대한 복구 메커니즘을 여러 서비스에서 제공 중입니다.

해설

【핵심 용어】 ▸ S3 Cross-Region Replication (CRR): 소스 버킷의 객체를 다른 리전의 대상 버킷으로 자동 복제합니다. 기본적으로 복제 활성화 후의 신규 객체만 복제됩니다. 객체 메타데이터, 객체 태그, ACL 등도 함께 복제됩니다. 【정답 포인트】 ▸ CRR의 기본 동작은 신규 객체만 복제합니다 (기존 객체 제외). 복제되는 것: 객체 데이터, 메타데이터, 태그, ACL, 버전 정보입니다. 메타데이터는 Last-Modified, Content-Type, Object ACL 등을 포함합니다. 복제 설정 후 생성/수정된 모든 객체의 메타데이터가 함께 복제됩니다. 【오답 체크】 ▸ (A) 권한 없는 객체: 모든 신규 객체 복제 (권한 상관없음). (B) Glacier 객체: 기본 복제 대상 아님, 별도 설정 필요. (C) 기존 객체: CRR 활성화 전 객체는 자동 복제 안 됨, Batch 작업 필요. 70~90자 【시험 포인트】 ▸ SysOps 시험의 S3 관리 기본 개념입니다. CRR의 '언제부터 복제되는가'와 '무엇이 복제되는가'를 구분하는 것이 중요합니다. 메타데이터는 항상 함께 복제되는 핵심 요소입니다.

해설

【핵심 용어】 ▸ Metric Filter: CloudWatch Logs의 로그 데이터에서 특정 패턴 또는 값을 추출하여 CloudWatch Metrics로 변환합니다. 숫자 값을 메트릭화하여 통계 (p90, p99 등) 계산이 가능합니다. 이후 대시보드와 알람 설정에 사용됩니다. 【정답 포인트】 ▸ 메트릭 필터는 로그에서 지연시간 값을 추출하여 메트릭으로 변환합니다. 변환된 메트릭에서 p90 통계를 자동으로 계산할 수 있습니다. CloudWatch 대시보드에서 시간 경과에 따른 p90 추이를 시각화할 수 있습니다. 구성이 간단하고 비용도 효율적입니다. 【오답 체크】 ▸ (A) Contributor Insights: 상위 N개 기여자 식별용, 통계 계산 아님. (C) Subscription Filter: 로그를 Lambda/Kinesis로 리라우팅만 함, 메트릭 생성 안 됨. (D) Application Insights: 애플리케이션 성능 이상 탐지용, 특정 통계 모니터링 아님. 80~100자 【시험 포인트】 ▸ CloudWatch Logs 모니터링의 핵심 문제입니다. '특정 통계 (p90, p99 등) 계산' 요구 사항이 있으면 Metric Filter를 먼저 생각해야 합니다. Metric Filter는 로그 → 메트릭 변환의 기본 도구입니다.

해설

【핵심 용어】 ▸ S3 Glacier Vault Lock: Glacier Vault의 데이터를 수정/삭제 불가능하게 락하는 기능입니다. Lock Policy를 설정한 후 24시간 이내에 Lock ID로 검증(Confirm)해야 정책이 확정됩니다. 24시간 이후에는 정책 변경이 불가능합니다 (WORM: Write Once Read Many). 【정답 포인트】 ▸ Vault Lock이 규정 준수 요구 사항을 가장 잘 충족합니다. Vault Lock Policy를 생성한 후 24시간 이내에 반드시 검증(Confirm)해야 합니다. 검증 후에는 어떤 IAM 정책도 해당 정책을 변경할 수 없게 됩니다. 규제 업계 (금융, 헬스케어)의 데이터 보호 요구사항 충족에 최적화되어 있습니다. 【오답 체크】 ▸ (A) 24시간 후 검증: 24시간 이내 검증 안 하면 정책 자동 취소됨, 보호 불완전. (C, D) Object Lock: S3 스탠다드/인텔리전트 티어링용, Glacier 직접 지원 안 함. Governance/Compliance 모드는 다른 용도. 80~100자 【시험 포인트】 ▸ SysOps 규정 준수 (Compliance) 문제입니다. Glacier WORM 보호의 핵심은 '24시간 이내 검증 필수'라는 제시간 요구사항입니다. 'no modifications allowed' + Glacier 조합이 있으면 Vault Lock을 먼저 생각해야 합니다.

해설

【핵심 용어】 ▸ Online Resizing (온라인 크기 조정): ElastiCache 클러스터를 중지하지 않고 노드 타입을 변경할 수 있는 기능입니다. Redis 클러스터는 Cluster Mode Enabled/Disabled 모두에서 지원됩니다. 변경 중 다운타임이 없어 높은 가용성을 유지합니다. 【정답 포인트】 ▸ 온라인 크기 조정이 가장 효율적이고 경제적입니다. 다운타임 없이 노드를 초대형→대형으로 다운사이징할 수 있습니다. 75% 여유 메모리이므로 대형 노드로도 충분합니다. 새 클러스터 배포 대비 시간과 비용 절감, 데이터 마이그레이션 불필요합니다. 높은 가용성 유지하면서 비용 최적화됩니다. 【오답 체크】 ▸ (A) 노드 1개로 축소: 고가용성 요구 사항 위반, 가용성 영역 분산 손실. (B, C) 새 클러스터 배포: 마이그레이션 시간 소요, 복잡도 증가, 비용 더 높음, 다운타임 위험. 80~100자 【시험 포인트】 ▸ SysOps 비용 최적화 및 가용성 문제입니다. 'resize' + '높은 가용성 유지' 조건이 함께 있으면 Online Resizing을 먼저 생각해야 합니다. ElastiCache는 이 기능으로 운영 효율성을 크게 향상시킵니다.

해설

【핵심 용어】 ▸ AWS OpsWorks: Chef를 기반으로 한 구성 관리 서비스입니다. 스택(Stack) → 레이어(Layer) → 인스턴스 구조로 Chef 레시피를 중앙 집중식으로 관리할 수 있습니다. 기존 Chef 레시피와 완벽한 호환성을 제공합니다. 【정답 포인트】 ▸ OpsWorks가 Chef 기반 구성 관리 서비스로 기존 Chef 레시피 마이그레이션에 최적화되어 있습니다. 스택 생성 후 레이어에 Chef 레시피를 추가하면 자동으로 관리됩니다. 중앙에서 모든 인스턴스의 구성을 일관성 있게 관리할 수 있습니다. 운영 오버헤드 최소, Chef 레시피 수정 불필요합니다. 【오답 체크】 ▸ (A) CloudFormation + 수동 Chef: Chef 레시피 관리가 분산되고 자동화 불완전. (B) CloudFormation 레이어: Chef 레시피 관리 전담이 아님. (C) Elastic Beanstalk Docker: 컨테이너화 필요, Chef 시스템 아님, 기존 레시피 활용 어려움. 80~100자 【시험 포인트】 ▸ SysOps 구성 관리 및 마이그레이션 문제입니다. 'Chef recipes' + '기존 레시피 계속 사용' 키워드 조합이 있으면 OpsWorks를 먼저 생각해야 합니다. OpsWorks는 Chef 마이그레이션 전담 서비스입니다.

해설

【핵심 용어】 ▸ AWS Backup: 여러 AWS 서비스 (EC2, RDS, EBS, S3 등)의 중앙 집중식 백업 관리 서비스입니다. Organizations 통합으로 관리 계정에서 모든 멤버 계정의 백업 정책을 한 번에 배포할 수 있습니다. 복잡한 구성 없이 정책 기반 자동 백업이 가능합니다. 【정답 포인트】 ▸ AWS Backup이 Multi-Account 백업 관리에 최적화되어 있습니다. 관리 계정에서 백업 정책을 한 번 정의하면 모든 멤버 계정에 자동 배포됩니다. Organizations와 통합되어 새 계정도 자동으로 정책 적용을 받습니다. 계정별 관리 비용 없음, 중앙 집중식 관리로 운영 효율성 극대화됩니다. 【오답 체크】 ▸ (A) 계정별 Lambda: 각 계정마다 배포/관리 필요, 운영 오버헤드 증가. (B) StackSets + 태그: 태그만 추가, 자동 백업 미실행, 백업 전략 아님. (D) SCP: 백업 실행 불가, 정책 제어용 (액세스 거부만 가능). 80~100자 【시험 포인트】 ▸ SysOps Multi-Account 백업 관리의 핵심 문제입니다. 'Multi-Account' + 'Organizations' + 'Backup Strategy' 키워드 조합이 있으면 AWS Backup을 먼저 생각해야 합니다. AWS Backup이 이 시나리오에 전문화된 유일한 서비스입니다.

해설

【핵심 용어】 ▸ VPC Flow Logs: 네트워크 인터페이스 간의 IP 트래픽을 모니터링 및 기록합니다. 기본 필터는 수락된(ACCEPT) 트래픽만 로깅합니다. 거부된(REJECT) 트래픽도 포함하려면 필터를 'ALL'로 설정해야 합니다. 【정답 포인트】 ▸ 모든 트래픽 로깅을 위해서는 새 Flow Log를 생성하고 필터를 'ALL'로 설정해야 합니다. 기존 Flow Log는 필터 변경 불가능하므로 새로 생성이 필수입니다. 'ALL' 필터는 ACCEPT와 REJECT 트래픽 모두를 로깅합니다. 거부된 트래픽까지 포함하면 연결 문제 진단이 훨씬 용이해집니다. 【오답 체크】 ▸ (B) 사용자 정의 형식: 필터 변경 없으면 거부된 트래픽 여전히 누락. (C) 기존 로그 편집: VPC Flow Logs는 생성 후 필터 변경 불가능. (D) 편집 + 사용자 정의 형식: 편집 불가능하므로 불가능. 70~100자 【시험 포인트】 ▸ SysOps VPC 네트워크 모니터링 문제입니다. 'Flow Logs' + 'rejected traffic not listed' 증상이 있으면 필터를 'ALL'로 설정해야 한다는 것이 핵심입니다. VPC Flow Logs의 필터 설정이 기본값이므로 주의가 필요합니다.

해설

【핵심 용어】 ▸ AWS Control Tower: Organizations, SCPs, GuardRails를 통해 Multi-Account 거버넌스를 자동화하는 서비스입니다. Account Factory는 새 계정의 자동 생성 및 기준선 설정을 담당합니다. 템플릿 기반으로 일관된 계정 환경을 보장합니다. 【정답 포인트】 ▸ Control Tower의 Account Factory가 이 시나리오에 최적화된 솔루션입니다. 템플릿을 생성하면 새 계정 자동 생성, VPC 설정, 거버넌스 가드레일 자동 적용이 한 번에 이루어집니다. 정의된 기준선 (baseline)과 거버넌스 가드레일 자동 배포로 인한 일관성 확보됩니다. 확장성 높음, 운영 오버헤드 최소화됩니다. 【오답 체크】 ▸ (A) Elastic Beanstalk: 애플리케이션 배포용, 계정 프로비저닝 전담 아님. (B) OpsWorks + CloudFormation: 계정 자동 생성 기능 없음, 복잡도 증가. (C) AWS Config: 규정 준수 감시용, 계정 프로비저닝 기능 없음. 80~100자 【시험 포인트】 ▸ SysOps Multi-Account 거버넌스의 핵심 문제입니다. 'Account provisioning' + 'baseline' + 'guardrails' 키워드 조합이 있으면 Control Tower를 먼저 생각해야 합니다. Control Tower의 Account Factory가 이 기능에 전문화되어 있습니다.

해설

【핵심 용어】 ▸ Cache Hit Ratio: CloudFront가 캐시에서 제공한 요청 비율입니다. 캐시를 높이려면 캐시 키(쿠키, 쿼리 문자열, 헤더)를 최소화하고 TTL을 증가시켜야 합니다. 캐시 키가 많을수록 동일 콘텐츠의 캐시 미스 확률이 높아집니다. 【정답 포인트】 ▸ (A) 필요한 캐시 키만 포함: 불필요한 쿠키/쿼리 제외로 캐시 히트율 증가. 같은 콘텐츠가 다양한 쿼리로 요청되면 캐시 미스 발생하므로 필수 항목만 포함하면 히트율 향상. (E) TTL 증가: 캐시 유효 시간이 길어져 재요청 시 캐시에서 제공 가능성 증가. 두 변경 모두 캐시 효율 직접 증가시킵니다. 【오답 체크】 ▸ (B) HTTPS 전용: 캐시 히트율과 무관, 프로토콜 선택일 뿐. (C) 사전 서명 쿠키/URL: 액세스 제한만, 캐시 히트율 감소 가능. (D) 자동 압축: 데이터 크기 감소일 뿐, 캐시 히트율과 무관. 70~100자 【시험 포인트】 ▸ SysOps CloudFront 성능 최적화 문제입니다. 'Cache Hit Ratio' + '증가 방법' 요구사항이 있으면 캐시 키 최소화와 TTL 증가를 먼저 생각해야 합니다. 다중 선택 문제에서 두 개 정답을 정확히 식별하는 것이 중요합니다.

해설

【핵심 용어】 ▸ NAT Gateway: 프라이빗 서브넷의 인스턴스가 아웃바운드 인터넷 통신을 할 수 있게 해주는 관리형 서비스입니다. 공개 인터넷에서 프라이빗 서브넷으로의 인바운드 연결은 차단합니다. 0.0.0.0/0 (모든 외부 트래픽)을 NAT 게이트웨이로 라우팅합니다. 【정답 포인트】 ▸ 프라이빗 서브넷에서 인터넷 접속을 위해서는 0.0.0.0/0을 NAT 게이트웨이로 라우팅해야 합니다. NAT 게이트웨이는 퍼블릭 서브넷 (10.0.1.0/24)에 있으므로 아웃바운드 트래픽이 IGW를 통해 인터넷으로 나갑니다. 인스턴스는 인터넷으로부터 직접 접근 불가능하므로 보안 요구사항도 충족됩니다. 【오답 체크】 ▸ (A) 0.0.0.0/0 - IGW: 인스턴스가 공개 인터넷에서 직접 접근 가능, 보안 위반. (C, D) 10.0.1.0/24 라우팅: 다른 서브넷 내부 통신이고, 인터넷 (0.0.0.0/0) 접속과 무관. 70~90자 【시험 포인트】 ▸ SysOps VPC 라우팅의 핵심 개념입니다. 'Outbound Internet' + 'Private Subnet' + 'Secure' 요구사항 조합이 있으면 NAT Gateway 라우팅이 정답입니다. 0.0.0.0/0을 어디로 라우팅하는가가 중요한 결정입니다.

해설

【핵심 용어】 ▸ AWS Artifact: AWS의 규정 준수 보고서, 인증서, 공식 계약을 한 곳에서 관리하는 포털입니다. PCI DSS, ISO, SOC 2, FedRAMP 등 다양한 규정 준수 보고서를 다운로드할 수 있습니다. 감사 및 규정 준수 검증에 공식적으로 사용됩니다. 【정답 포인트】 ▸ AWS Artifact이 규정 준수 보고서의 공식 출처입니다. PCI DSS 규정 준수는 AWS 관리 부분 (인프라)과 고객 관리 부분으로 나뉘는데, Artifact 보고서는 AWS 관리 부분을 공식적으로 인증합니다. 감사자가 신뢰하는 공식 문서이며, 개인 정보 보호 (CloudTrail, CloudWatch는 민감 데이터 포함 가능)도 우수합니다. 【오답 체크】 ▸ (B) CloudTrail 로그: 감사 기록이지, 규정 준수 증거 아님. 민감 정보 포함 가능. (C) CloudWatch 로그: 애플리케이션 로그, 규정 준수 증거 아님. (D) 관리 액세스 제공: 보안 위험, 감사자 실수 가능성, 권장되지 않음. 80~100자 【시험 포인트】 ▸ SysOps 규정 준수 및 감사 문제입니다. 'PCI DSS compliance' + '감사자에게 제공' 요구사항이 있으면 AWS Artifact를 먼저 생각해야 합니다. Artifact는 규정 준수 보고서의 유일한 공식 출처입니다.

해설

【핵심 용어】 ▸ AWS Compute Optimizer: 기계 학습을 통해 EC2 인스턴스, RDS, Lambda 함수의 최적 크기를 분석하고 권장합니다. 언더유틸라이즈된 리소스를 식별하여 비용 절감 및 성능 개선 방안을 제시합니다. 실시간으로 권장 사항을 생성합니다. 【정답 포인트】 ▸ Compute Optimizer가 가장 효과적인 비용 절감 도구입니다. EC2 인스턴스 우른사이징, Lambda 메모리 최적화 등 구체적인 권장 사항을 제공하여 즉시 비용 절감 가능합니다. 과거 성능 데이터 기반으로 정확한 권장치를 계산합니다. 실행 권장 사항 클릭으로 즉시 비용 절감 효과 볼 수 있습니다. 【오답 체크】 ▸ (A) Athena 분석: 과거 비용 분석만 가능, 미래 절감 액션 제시 불충분. (B) Budgets 알람: 모니터링만, 실제 절감 조치 아님. (C) Reserved Instances: 수동 구매, 최적화 기준 불명확, 오버프로비저닝 위험. 80~100자 【시험 포인트】 ▸ SysOps 비용 최적화의 핵심 문제입니다. 'Cost reduction' + 'EC2 and Lambda' 요구사항이 있으면 Compute Optimizer를 먼저 생각해야 합니다. 자동 분석과 권장 제시라는 'Action oriented' 특징이 중요합니다.

해설

【핵심 용어】 ▸ Egress-Only Internet Gateway: IPv6 전용 환경에서 NAT의 역할을 수행합니다. 아웃바운드 IPv6 트래픽만 인터넷으로 전송하고, 인바운드 IPv6 연결은 차단합니다. IPv4의 NAT와 동일한 보안 이점을 IPv6에 제공합니다. 【정답 포인트】 ▸ Egress-Only Internet Gateway가 IPv6 전용 환경에서 필수입니다. 아웃바운드 인터넷 액세스를 제공하면서 인터넷에서의 직접 접근은 차단합니다. IPv6는 NAT를 지원하지 않으므로 Egress-Only 게이트웨이가 유일한 솔루션입니다. 요구사항 '인터넷 액세스 가능' + '인터넷에서 접근 불가'를 완벽히 충족합니다. 【오답 체크】 ▸ (A) NAT 게이트웨이: IPv6 미지원, IPv4만 지원. (B) Internet Gateway: 양방향 통신 가능하므로 보안 요구 미충족. (D) IGW + NAT: IPv6는 NAT 미지원, 불가능한 조합. 80~100자 【시험 포인트】 ▸ SysOps IPv6 네트워킹의 핵심 개념입니다. 'IPv6 only' + 'Internet access' + 'Not accessible from internet' 요구사항 조합이 있으면 Egress-Only Internet Gateway를 먼저 생각해야 합니다. IPv6의 NAT 대체 메커니즘입니다.

해설

【핵심 용어】 ▸ CloudFront: 전 세계 엣지 로케이션에 콘텐츠를 캐싱하여 사용자에게 가깝게 전달합니다. 지연 시간 감소, 대역폭 절감, 서버 부하 감소. Auto Scaling: 트래픽 증가에 따라 인스턴스 수를 자동 조정하여 성능 유지합니다. 【정답 포인트】 ▸ (A) CloudFront 추가: 정적 콘텐츠 로딩 시간 크게 단축, 전역 성능 개선. S3에서 사용자까지의 거리 단축으로 지연 시간 최소화. (D) Auto Scaling: 동적 콘텐츠 처리 용량 증대, 동시 사용자 증가에 대응. 웹 서버 부하 분산으로 응답 시간 개선. 두 조치 모두 성능 개선의 핵심입니다. 【오답 체크】 ▸ (B) TCP로 변경: 보안 감소, 성능 향상 안 됨. (C) 지연 기반 라우팅: 이미 Multi-AZ 배포되어 있으므로 추가 이점 제한적. (E) S3에서 웹 서버로 이동: 정적 콘텐츠를 로컬 저장, CloudFront 이점 상실, 성능 악화. 80~100자 【시험 포인트】 ▸ SysOps 웹 성능 최적화의 핵심 문제입니다. '긴 로딩 시간' + 'Static + Dynamic Content' 시나리오에서 CloudFront와 Auto Scaling의 조합이 최선입니다. 두 개 선택 문제에서 성능 개선의 본질을 파악하는 것이 중요합니다.

해설

【핵심 용어】 ▸ AWS Storage Gateway Gateway-Stored Volumes: 모든 데이터를 로컬에 저장하고 비동기적으로 AWS에 백업합니다. POSIX 호환 블록 스토리지 인터페이스 제공. 로컬 데이터 접근성과 AWS 클라우드 백업을 동시에 제공합니다. 【정답 포인트】 ▸ Gateway-Stored Volumes이 요구사항을 완벽히 충족합니다. 데이터가 항상 로컬에 저장되므로 로컬 가용성 확보. POSIX 호환 블록 스토리지로 기존 백업 애플리케이션과 호환성 완벽. 비동기 AWS 백업으로 클라우드 보호 제공. 온프레미스 백업 인프라의 최적 확장 솔루션입니다. 【오답 체크】 ▸ (A, B) S3/Glacier: 객체 스토리지, POSIX 블록 인터페이스 아님. (C) Gateway-Cached Volumes: 자주 사용 데이터만 로컬, 모든 데이터 로컬 가용성 미충족 (원본은 AWS). 80~100자 【시험 포인트】 ▸ SysOps 하이브리드 스토리지의 핵심 개념입니다. 'On-premises' + 'Block storage' + 'POSIX compatible' + 'Data locally available' 요구사항 조합이 있으면 Gateway-Stored Volumes을 먼저 생각해야 합니다. Storage Gateway의 두 가지 볼륨 타입 구분이 중요합니다.

해설

【핵심 용어】 ▸ Interface VPC Endpoint (AWS PrivateLink): VPC 내부에서 AWS 서비스에 직접 연결할 수 있는 프라이빗 네트워크 인터페이스입니다. Direct Connect + VPC Endpoint 조합으로 온프레미스에서 S3까지 인터넷을 거치지 않고 연결됩니다. 【정답 포인트】 ▸ Interface VPC Endpoint + PrivateLink 조합이 규정 준수를 완벽히 충족합니다. Direct Connect 연결에서 시작한 트래픽이 VPC Endpoint를 통해 S3에 도달하므로 공개 인터넷을 전혀 거치지 않습니다. 애플리케이션이 Endpoint를 사용하도록 수정하면 되므로 인프라 변경 최소화. PII 보호와 규정 준수를 동시에 확보합니다. 【오답 체크】 ▸ (B) Network Firewall: 트래픽 필터링만, S3 프라이빗 액세스 미제공. (C) 경로 스타일 엔드포인트: 공개 인터넷 사용, 규정 미충족. (D) Network ACL: 리다이렉트 기능 없음, 필터링만 가능. 80~100자 【시험 포인트】 ▸ SysOps 하이브리드 네트워크 및 규정 준수 문제입니다. 'PII' + 'Not traverse internet' + 'Direct Connect' 요구사항 조합이 있으면 Interface VPC Endpoint를 먼저 생각해야 합니다. PrivateLink는 프라이빗 AWS 서비스 액세스의 핵심 메커니즘입니다.

해설

【핵심 용어】 ▸ Elastic Load Balancer(ELB) 접근 로그: 로드 밸런서로 전송된 요청에 대한 상세 정보(클라이언트 IP, 포트, 응답 코드 등) 기록 ▸ RequestCount 메트릭: 일정 기간 동안 로드 밸런서가 수신한 요청의 총 개수 ▸ Auto Scaling 로그: 인스턴스 추가/제거 같은 스케일링 활동 기록(IP 정보 미포함) 【정답 포인트】 ▸ ELB 접근 로그는 클라이언트 IP 주소, 포트, 프로토콜, 응답 코드, 처리 시간 등 모든 요청 세부 정보를 기록합니다. CloudTrail은 AWS API 호출만 기록하고, EC2 로그는 애플리케이션 레벨이므로 소스 IP 추적에 적합하지 않습니다. 【오답 체크】 (A) Auto Scaling 로그는 인스턴스 시작/종료 이벤트만 기록하며 소스 요청 IP 정보를 포함하지 않습니다. (B) CloudTrail은 AWS API 호출(콘솔 로그인, API 호출 등)을 기록하며, 엔드 유저의 HTTP 요청 IP는 기록하지 않습니다. (C) EC2 인스턴스 로그는 애플리케이션 내부 로그이며, 요청 소스의 전체 IP 추적에는 불충분합니다. 【시험 포인트】 ▸ ELB 접근 로그는 모든 Layer 7 요청의 소스 정보를 기록하는 핵심 도구입니다. 트래픽 소스 분석, 성능 모니터링, 보안 감시에 필수적입니다. S3에 저장되며 쿼리 분석이 가능합니다.

해설

【핵심 용어】 ▸ Route 53 별칭 레코드: AWS 리소스(ELB, CloudFront, S3 등)로의 무료 매핑, 자동 헬스 체크 지원 ▸ CNAME 레코드: 도메인을 다른 도메인으로 매핑(표준 DNS), 추가 비용 발생 가능 ▸ AAAA/CAA: IPv6 주소/인증서 기관 승인 레코드로 NLB 라우팅에 부적절 【정답 포인트】 ▸ Route 53 별칭 레코드는 AWS 리소스(NLB 포함)를 대상으로 할 때 가장 비용 효율적입니다. 추가 비용 없이 자동 헬스 체크 기능을 제공하며, CNAME보다 성능이 우수합니다. NLB DNS 이름 변경 시 자동으로 업데이트됩니다. 【오답 체크】 (A) AAAA 레코드는 IPv6 주소 매핑용이며 NLB의 일반 DNS 이름(IPv4)에는 부적절합니다. (C) CAA 레코드는 인증서 발급 권한 지정용으로 트래픽 라우팅 목적에 맞지 않습니다. (D) CNAME은 가능하지만 Route 53 별칭에 비해 비용이 높고 헬스 체크 미지원으로 덜 효율적입니다. 【시험 포인트】 ▸ Route 53 별칭은 AWS 관련 서비스(ALB, NLB, CloudFront, S3) 대상의 최우선 선택입니다. 표준 DNS 쿼리와 달리 별칭 쿼리는 Route 53에서 무료 제공되므로 대규모 트래픽 환경에서 TCO를 크게 절감합니다.