SAA-C03 Notas de preparación
Resumen completo del temario del SAA-C03, con la extensión justa para releerlo en los 30 minutos previos al examen. Úsalo como repaso final después de recorrer los 4 dominios en el curso de aprendizaje y detectar tus puntos débiles con las preguntas de práctica. Lee primero la tabla que relaciona las pistas del enunciado con la dirección de la respuesta y los patrones de respuestas incorrectas y las trampas.
Datos del examen y enfoque
- El examen tiene 65 preguntas en 130 minutos, de las que 15 no puntúan, y no se puede saber cuáles son las que no puntúan.
- El resultado se expresa como una puntuación escalada de 100 a 1000 y la nota de aprobado es 720.
- La puntuación es compensatoria, así que no hay mínimo por dominio y basta con llegar a 720 en total.
- Hay dos formatos: opción múltiple con una sola respuesta y respuesta múltiple con dos o más respuestas.
- Las preguntas sin responder cuentan como incorrectas y responder al azar no resta puntos, así que responde a todas.
- La ponderación es: dominio 1, seguras, 30 %; dominio 2, resilientes, 26 %; dominio 3, alto rendimiento, 24 %; dominio 4, optimización de costes, 20 %.
- Casi todas las preguntas consisten en leer los requisitos en la descripción de una situación y elegir la configuración más adecuada.
- Las palabras de condición como «con la menor carga operativa» o «la más rentable» son la clave para quedarse con una sola de las opciones plausibles.
Pistas del enunciado y dirección de la respuesta
| Pista del enunciado | Dirección de la respuesta |
|---|---|
| Con la menor carga operativa | Servicios administrados o sin servidor (evitar scripts propios y la administración de EC2) |
| La más rentable | La opción más barata entre las que cumplen los requisitos (no hace falta un rendimiento superior al exigido) |
| No usar claves de acceso válidas durante largos periodos | Credenciales temporales de roles de IAM |
| Prohibir en todas las cuentas de la organización, incluidos los administradores | Políticas de control de servicios de AWS Organizations |
| Que los empleados accedan a varias cuentas con un único inicio de sesión | AWS IAM Identity Center |
| Registro e inicio de sesión en aplicaciones para el público general | Amazon Cognito |
| Llegar a S3 o DynamoDB sin pasar por Internet | Puntos de enlace de gateway |
| Mostrar a otras VPC solo el servicio propio | Servicio de punto de enlace de AWS PrivateLink |
| Que la empresa decida quién usa la clave y que se renueve automáticamente cada año | Claves administradas por el cliente de AWS KMS |
| Cambiar automática y periódicamente la contraseña de la base de datos | AWS Secrets Manager |
| Inyección de SQL o gran cantidad de solicitudes desde una sola IP | AWS WAF |
| Detectar comunicaciones o llamadas a la API sospechosas | Amazon GuardDuty |
| Conmutar automáticamente la base de datos ante un fallo de AZ | Implementación Multi-AZ de RDS |
| Ante aumentos repentinos el procesamiento no da abasto y se pierden pedidos | Cola de Amazon SQS y Auto Scaling según la acumulación de la cola |
| Que varios sistemas reciban cada uno el mismo evento | Distribución ramificada desde Amazon SNS a varias colas de SQS |
| Reanudar las escrituras en aproximadamente 1 minuto ante un fallo de región | Aurora Global Database |
| Leer y escribir en cualquiera de varias regiones | Tablas globales de DynamoDB |
| Archivos compartidos usados a la vez por instancias de varias AZ | Amazon EFS |
| Lecturas de DynamoDB en microsegundos | DynamoDB Accelerator (DAX) |
| Direcciones IP fijas y tráfico TCP o UDP | AWS Global Accelerator o Network Load Balancer |
| SQL ocasional sobre datos guardados en S3 | Amazon Athena |
| Procesos que pueden reanudarse desde donde se quedaron tras una interrupción | Instancias de spot |
| Datos de S3 cuya frecuencia de acceso no se puede prever | S3 Intelligent-Tiering |
| Conservar varios años con recuperación en 12 horas | S3 Glacier Deep Archive |
| Mantener el descuento aunque cambien la familia o la región de EC2 | Compute Savings Plans |
Patrones de respuestas incorrectas
- Descarta las opciones que incrustan claves de acceso en archivos de configuración, datos de usuario, AMI o aplicaciones.
- Descarta las opciones que escriben reglas de denegación en un grupo de seguridad. En los grupos de seguridad solo se pueden escribir reglas de permiso.
- Descarta las opciones que afirman que servicios de detección como GuardDuty, AWS Config o Inspector detienen operaciones o ataques.
- Desconfía de las opciones que intentan resolver problemas de disponibilidad o de aumentos repentinos solo con instancias más grandes.
- Si hay una condición de carga operativa, descarta las opciones que sustituyen funciones administradas por scripts periódicos o replicación propia.
- Descarta las opciones que reparten las lecturas a la instancia en espera de una implementación Multi-AZ. El reparto de lecturas corresponde a las réplicas de lectura.
- Descarta las opciones que afirman que una réplica de lectura conmuta automáticamente en caso de fallo. Para conmutar hace falta la operación de promoción.
- Descarta las opciones que afirman que una sola cola de SQS compartida por varios sistemas entrega los mensajes a todos.
- Descarta las opciones que gestionan tráfico UDP con CloudFront.
- Descarta las opciones que compran instancias reservadas para procesos que solo se ejecutan de noche.
- Descarta las opciones que eligen Glacier Flexible Retrieval o Glacier Deep Archive para un requisito de recuperación inmediata.
Puntos clave por dominio
Dominio 1 Diseño de arquitecturas seguras (30 %)
- Para el inicio de sesión de las personas, IAM Identity Center; para las aplicaciones, roles de IAM; y para otra cuenta, un rol cuya asunción se permite mediante la política de confianza.
- Las políticas de control de servicios fijan el límite máximo de permisos de las cuentas de la organización, y ni siquiera los administradores pueden realizar las operaciones denegadas.
- Los grupos de seguridad son reglas solo de permiso a nivel de instancia y permiten automáticamente el tráfico de retorno; las ACL de red evalúan, a nivel de subred, permisos y denegaciones por orden de número.
- El cifrado en reposo es con AWS KMS; si hay que decidir quién usa la clave, claves administradas por el cliente; y el cifrado de las comunicaciones es TLS con la condición aws:SecureTransport.
- Para impedir la exposición pública de S3, el Bloqueo de acceso público; para que solo lea CloudFront, el control de acceso de origen; y para entregar con caducidad, las URL prefirmadas.
Dominio 2 Diseño de arquitecturas resilientes (26 %)
- Coloca colas de SQS entre los procesos para lograr bajo acoplamiento, y aumenta o reduce las instancias consumidoras según la acumulación de la cola.
- Extiende los grupos de Auto Scaling y el ALB a 2 o más AZ, y sustituye las instancias en mal estado mediante las comprobaciones de estado.
- La implementación Multi-AZ de RDS es replicación síncrona con conmutación automática, y las réplicas de lectura son replicación asíncrona con reparto de lecturas.
- Ante fallos de región, prepárate con Aurora Global Database, tablas globales de DynamoDB, replicación entre regiones de S3 y enrutamiento de conmutación por error de Route 53.
- En recuperación ante desastres, en el orden copia de seguridad y restauración, luz piloto, espera semiactiva y multisitio, se acortan el RTO y el RPO y aumentan los costes.
Dominio 3 Diseño de arquitecturas de alto rendimiento (24 %)
- Bloques para una instancia, EBS; archivos compartidos, EFS; lecturas rápidas para procesos de cálculo intensivos, FSx for Lustre; objetos, S3.
- gp3 permite especificar las IOPS independientemente de la capacidad, e io2 se usa cuando se necesitan IOPS y durabilidad altas.
- Las consultas repetidas, con ElastiCache; las lecturas de DynamoDB, con DAX; y las lecturas pesadas se separan de las escrituras con réplicas de Aurora.
- La distribución de contenido web es CloudFront; las direcciones IP fijas con TCP o UDP, Global Accelerator; y el TCP de latencia ultrabaja, Network Load Balancer.
- La ingesta ordenada de grandes volúmenes de datos es Kinesis Data Streams; el SQL sobre S3, Athena; y las agregaciones a gran escala, Redshift.
Dominio 4 Diseño de arquitecturas optimizadas en costos (20 %)
- Para el uso estable, Savings Plans o instancias reservadas; para procesos interrumpibles, instancias de spot; y para el uso a corto plazo o imprevisible, bajo demanda.
- Compute Savings Plans aplica el descuento independientemente de la familia, el tamaño, la región y el sistema operativo de EC2, y también sirve para Fargate y Lambda.
- En S3, usa Intelligent-Tiering para el acceso imprevisible, Glacier Instant Retrieval para lo que se lee rara vez pero de inmediato y Glacier Deep Archive para la conservación a largo plazo, y muévelos con reglas de ciclo de vida.
- Las invocaciones pocas e irregulares, con API Gateway y Lambda, y las cargas de base de datos difíciles de prever, con Aurora Serverless v2, pagando solo por lo usado.
- Las tendencias de costes se analizan con Cost Explorer; las notificaciones de presupuesto y previsión, con Budgets; y la revisión de tipo y tamaño, con Compute Optimizer.
Servicios en una línea
| Nombre | En una línea |
|---|---|
| AWS IAM Identity Center | Inicio de sesión único de los empleados en varias cuentas |
| Amazon Cognito | Registro e inicio de sesión en aplicaciones para el público general |
| AWS Secrets Manager | Almacenamiento de contraseñas y otros secretos con rotación automática |
| AWS WAF | Inspección y bloqueo de solicitudes web |
| AWS Shield Advanced | Preparación ante ataques DDoS a gran escala y consultas a un equipo especializado |
| Amazon GuardDuty | Detecta comunicaciones y operaciones sospechosas a partir de los registros |
| Amazon Macie | Detecta datos confidenciales, como información personal, dentro de S3 |
| AWS PrivateLink | Conexión privada a servicios de otras VPC |
| Amazon SQS | Cola que retiene los mensajes |
| Amazon SNS | Entrega los mensajes a todos los destinos suscritos |
| AWS Step Functions | Conecta varios pasos con reintentos y ramas |
| AWS Backup | Administra con una sola política las copias de seguridad de varios servicios |
| AWS Global Accelerator | Lleva el tráfico a la región más cercana con IP anycast fijas |
| Amazon RDS Proxy | Agrupa y comparte las conexiones a la base de datos |
| Amazon EFS | Sistema de archivos compartido usado a la vez desde varias AZ |
| Amazon FSx for Lustre | Sistema de archivos rápido para procesos de cálculo intensivos |
| DynamoDB Accelerator (DAX) | Caché en memoria dedicada a DynamoDB |
| Amazon Kinesis Data Streams | Recibe grandes volúmenes de datos manteniendo el orden para que varios los lean |
| AWS Compute Optimizer | Recomienda revisar tipo y tamaño a partir del historial de uso |
| AWS Budgets | Notificaciones de presupuesto e importe previsto |
Las 15 trampas principales
- Las políticas de control de servicios no conceden permisos. Solo fijan el límite máximo, y también hace falta el permiso de una política de IAM.
- El usuario no puede reescribir la política de claves de una clave administrada por AWS.
- ACM no renueva automáticamente los certificados importados en ACM. Los que se renuevan automáticamente son los certificados emitidos por ACM.
- Los puntos de enlace de gateway solo pueden usarse con S3 y DynamoDB.
- La interconexión de VPC no puede establecerse si los rangos de direcciones IP se solapan, y no llega a las VPC situadas más allá de la interconexión.
- Un volumen EBS es un recurso dentro de una sola AZ y no puede asociarse a instancias de otra AZ.
- Los datos del almacén de instancias se borran al detener la instancia.
- La acción de recuperación de una alarma de CloudWatch recupera la instancia en otro hardware de la misma AZ y no sirve ante un fallo de AZ.
- La replicación de S3 requiere el control de versiones tanto en el bucket de origen como en el de destino.
- El tiempo máximo de cada ejecución de Lambda es de 15 minutos.
- Las colas estándar de SQS no garantizan el orden y el mismo mensaje puede llegar 2 veces. Si se necesitan orden y eliminación de duplicados, se usan colas FIFO.
- La base de IOPS de gp2 es proporcional a la capacidad, y en gp3 se pueden especificar independientemente de la capacidad.
- Para consultar al equipo especializado de Shield Advanced también hace falta un plan de soporte de nivel Business o superior.
- Los Dedicated Hosts y las Dedicated Instances son opciones para usar licencias propias o cumplir requisitos normativos y de cumplimiento; no se eligen solo para reducir costes.
- Amazon Data Lifecycle Manager gestiona las instantáneas de EBS y las AMI; RDS y DynamoDB se gestionan con AWS Backup.
Comprobación de última hora
- Sé decir el número de preguntas, la duración, el número de preguntas que no puntúan y la nota de aprobado.
- Sé nombrar los 4 dominios y su ponderación.
- Sé explicar cuándo usar roles de IAM, políticas de control de servicios, IAM Identity Center y Cognito.
- Sé decir 3 diferencias entre los grupos de seguridad y las ACL de red.
- Sé explicar la diferencia entre los puntos de enlace de gateway y los de interfaz.
- Sé explicar la diferencia entre las claves administradas por el cliente de KMS y las claves administradas por AWS.
- Sé explicar en una frase cada una la función de WAF, Shield y GuardDuty.
- Sé explicar la diferencia entre la implementación Multi-AZ de RDS y las réplicas de lectura.
- Sé explicar cuándo usar SQS, SNS y Kinesis Data Streams.
- Sé ordenar las 4 estrategias de recuperación ante desastres de menor a mayor RTO.
- Sé distinguir el enrutamiento de conmutación por error, ponderado, de latencia y de geolocalización de Route 53.
- Sé explicar cuándo usar EBS, EFS, FSx for Lustre y S3.
- Sé explicar la diferencia entre ElastiCache y DAX.
- Sé explicar la diferencia entre CloudFront y Global Accelerator.
- Sé explicar cuándo usar instancias bajo demanda, Savings Plans, instancias reservadas e instancias de spot.
- Sé ordenar las clases de almacenamiento de S3 de la recuperación más rápida a la más lenta.
- Sé explicar la función de Cost Explorer, Budgets y Compute Optimizer.