AWS Certified Cloud Practitioner (CLF-C02)
CLF-C02 考试备考笔记
基于截至 2026 年 10 月 的官方考试指南的考试范围阅读约 30 分钟
把 CLF-C02 的考试范围整理成考前 30 分钟能读完一遍的篇幅。适合在学习课程中学完 4 个领域、并用练习题找出薄弱点之后，作为最后的复习。请先读从题干提示推出正确方向的表格，以及错误选项的类型和陷阱。
考试数据与答题思路
- 共 65 道题，考试时间 90 分钟，其中计分的是 50 道，不计分的 15 道无法分辨。
- 成绩以 100 至 1,000 的换算分表示，合格分为 700 分。
- 采用补偿式评分，各领域没有单独的合格线，总分达到 700 分即可。
- 题型有两种，一种是从 4 个选项中选 1 个的单选题，另一种是从 5 个以上选项中选 2 个以上的多选题。
- 未作答按错误计，猜答也不扣分，所以每道题都要作答。
- 分值比例为云技术与服务 34%、安全性与合规性 30%、云的概念 24%、计费、定价与支持 12%。
- 面向接触 AWS 约 6 个月以内的人，编码、架构设计和故障排除不在考试范围内。
- 考查的核心是把服务与用途对应起来，以及判断某项责任属于 AWS 还是客户。
- “最具成本效益”“运维工作量最少”这类最高级的表述，决定剩下的 2 个选项中哪一个正确。
题干提示与正确方向
| 题干提示 | 正确方向 |
|---|
| 想按需求自动增减实例数量 | Amazon EC2 Auto Scaling (弹性) |
| 想把流量分发到多个实例 | Elastic Load Balancing |
| 不管理服务器，由事件触发短时间运行 | AWS Lambda |
| 想运行容器但不想管理服务器 | AWS Fargate |
| 以最低成本运行可以被中断的处理 | 竞价实例 |
| 1 年或 3 年持续使用稳定的负载 | 预留实例或 Savings Plans |
| 即使实例类型或区域改变也想享受折扣 | Compute Savings Plans |
| 自带按插槽计费的许可证并独占物理服务器 | Dedicated Hosts |
| 想查清谁在何时调用了哪个 API | AWS CloudTrail |
| 记录资源配置的变化并检查是否符合规则 | AWS Config |
| 查看 CPU 使用率等指标并发出告警 | Amazon CloudWatch |
| 想获取 SOC 或 PCI DSS 等审计报告 | AWS Artifact |
| 想防御 DDoS 攻击 | AWS Shield |
| 想防御 SQL 注入等 Web 攻击 | AWS WAF |
| 想检测可疑通信或账户的异常行为 | Amazon GuardDuty |
| 想诊断 EC2 或容器镜像的漏洞 | Amazon Inspector |
| 想找出 S3 中存放的数据里的个人信息 | Amazon Macie |
| 想保管数据库密码并自动轮换 | AWS Secrets Manager |
| 想合并多个账户的账单并共享折扣 | AWS Organizations 的合并账单 |
| 支出快要超出预算时想收到通知 | AWS Budgets |
| 想按服务分析过去的支出趋势 | AWS Cost Explorer |
| 开始使用前想估算月费 | AWS Pricing Calculator |
| 想检查成本与安全方面的最佳实践 | AWS Trusted Advisor |
| 想通过专线以稳定带宽连接本地环境 | AWS Direct Connect |
| 想马上准备一条经由互联网的加密连接 | AWS Site-to-Site VPN |
| 想以低延迟向全球用户分发内容 | Amazon CloudFront |
| 想解析域名并通过运行状况检查切换 | Amazon Route 53 |
| 存放访问频率未知或会变化的数据 | S3 Intelligent-Tiering |
| 保存多年、几乎不取出的数据 | S3 Glacier Deep Archive |
| 供多个 EC2 同时挂载的共享文件 | Amazon EFS |
| 想在不停机的情况下把数据库迁移到 AWS | AWS DMS (引擎改变时还要用 AWS SCT) |
| 想用代码反复创建相同的基础设施 | AWS CloudFormation |
| 想让处理松耦合，先存放消息稍后处理 | Amazon SQS |
| 想把一条通知同时发送给很多接收方 | Amazon SNS |
| 不想因一处故障而导致服务停止 | 分散部署到多个可用区 |
错误选项的类型
- 把数据中心的安保或物理硬件的维护说成客户责任的选项，排除。
- 把 EC2 来宾操作系统的补丁更新说成 AWS 责任的选项，排除。
- 用 CloudTrail 查看 CPU 使用率、用 CloudWatch 查找操作人这类混淆，排除。
- 用根用户执行日常工作的选项，排除。
- 先授予较宽的权限再慢慢收紧的选项违反最小权限原则，排除。
- 把访问密钥直接写在代码或配置文件里的选项，排除。
- 为不能中断的处理选择竞价实例的选项，排除。
- 为短期且无法预测的负载选择预留实例的选项，排除。
- 只部署在 1 个可用区就称为高可用的选项，排除。
- 把事先预测并预留容量当作云的优势的选项，排除。
- 被问到运维工作量最少的方法时，自己在 EC2 上安装并运维软件的选项，排除。
- 称 Basic Support 可以提交技术咨询的选项，排除。
- 把 Budgets 当作过去的分析、把 Cost Explorer 当作预算通知的颠倒组合，排除。
- 用 Shield 防 SQL 注入、以 Inspector 为 DDoS 防御核心的选项，排除。
- 称可以在安全组中写拒绝规则的选项，排除。
- 把边缘站点当成可用区的选项，排除。
- 在要求最快迁移的场景中选择重构应用程序的选项，排除。
各领域要点
- 云的 6 项优势是无需前期投资、规模经济、无需预测容量、敏捷性、摆脱数据中心运维、几分钟内实现全球部署。
- 弹性是自动跟随需求变化的特性，可扩展性是能够增减容量的能力。
- 高可用性是不容易停机的特性，容错性是即使出现故障也能继续处理的特性。
- Well-Architected 框架的 6 大支柱是卓越运营、安全性、可靠性、性能效率、成本优化和可持续性。
- 从故障中恢复属于可靠性，选择合适的资源属于性能效率，消除不必要的支出属于成本优化，减少对环境的影响属于可持续性。
- AWS CAF 的 6 个视角是业务、人员、治理、平台、安全和运营。
- AWS CAF 提出的效果是降低业务风险、改善 ESG、增加收入和提高运营效率。
- 迁移策略的 7 个 R 是重新托管、更换平台、重构、重新购买、停用、保留和迁移位置。
- 云的经济性在于把固定成本变为可变成本、按使用量合理调整规模，并通过自动化减少人工。
- 许可证可以选择自带的 BYOL，也可以选择包含在费用中的方式。
- AWS 负责云本身的安全 (物理设施、硬件、虚拟化基础)，客户负责云内的安全 (数据、IAM、操作系统、网络设置)。
- 责任边界随服务而变，EC2 从操作系统往上归客户，RDS 的操作系统和数据库补丁由 AWS 负责，Lambda 的运行环境由 AWS 管理。
- AWS 与客户共同承担的控制是补丁管理、配置管理以及意识培养和培训。
- IAM 的用户是人或应用，组是给多个用户赋予相同权限的单位，角色是临时承担的权限，策略是用 JSON 写明权限的文档。
- 根用户要设置 MFA、不创建访问密钥，只用于关闭账户、更改账户名或电子邮件地址、启用 IAM 访问账单信息等根用户专属的操作。
- IAM Identity Center 负责对多个账户的单点登录和与外部身份的联合，Amazon Cognito 负责应用用户的注册和登录。
- 加密要分静态 (AWS KMS 的密钥) 和传输中 (TLS) 来考虑并由客户启用，凭证放在 Secrets Manager 或 Systems Manager 的 Parameter Store 中。
- 记录和审计使用 CloudTrail (API 记录)、Config (配置记录与合规)、CloudWatch (监控) 和 IAM 访问报告。
- GuardDuty 负责威胁，Inspector 负责漏洞，Security Hub 负责汇总结果，Shield 负责 DDoS，WAF 负责 Web 攻击，Firewall Manager 负责统一应用规则。
- 合规报告通过 AWS Artifact 获取，第三方安全产品在 AWS Marketplace 中寻找。
- AWS 通过管理控制台、CLI、SDK、API 和基础设施即代码来使用，部署模型有云、混合和本地 3 种。
- 区域内有多个不共享单点故障的可用区，边缘站点在靠近用户的地方分发内容。
- 使用多个区域的理由是灾难恢复、业务连续性、对用户的低延迟和数据主权。
- 计算要区分使用 EC2 (按用途划分的实例类型)、Lambda、ECS 和 EKS (容器)、Fargate (无需管理服务器的容器)。
- 数据库有 RDS 和 Aurora (关系型)、DynamoDB (NoSQL)、ElastiCache (内存型)，只有想自己管理操作系统或引擎时才在 EC2 上自行安装。
- VPC 由子网和网关构成，安全组以实例为单位且有状态，网络 ACL 以子网为单位且无状态。
- 存储有 S3 (对象)、EBS (单个可用区内的块存储)、实例存储 (临时空间)、EFS 和 FSx (文件)、Storage Gateway (与本地环境的连接)。
- S3 按 Standard、Standard-IA、Glacier Flexible Retrieval、Glacier Deep Archive 的顺序越来越便宜、取出越来越慢，可用生命周期策略自动转移。
- AI 与分析要按用途选择 SageMaker AI、Lex、Textract (提取文档中的文字)、Translate (翻译)、Athena、Kinesis、Glue、Amazon Quick Sight。
- 集成使用 SQS (存放消息)、SNS (通知多个接收方)、EventBridge (按条件分发事件)，备份由 AWS Backup 统一管理。
- 购买选项有按需、预留实例、Savings Plans、竞价实例、Dedicated Hosts、Dedicated Instances 和容量预留 7 种。
- Savings Plans 是承诺 1 年或 3 年每小时支出金额的方式，比预留实例更灵活，两者的折扣都会通过合并账单在组织内共享。
- 从互联网传入 AWS 的数据传输免费，从 AWS 传出、区域之间的传输，以及同一区域内跨可用区的传输都要收费。
- Budgets 用于预算通知，Cost Explorer 用于过去的分析，Pricing Calculator 用于事前估算。
- 成本分配标签有 AWS 生成的标签和客户自定义的标签，启用后可以在 AWS Cost and Usage Report 等报告中分别汇总费用。
- 支持计划有免费的 Basic Support，以及付费的 Business Support+、Enterprise Support 和 Unified Operations (截至 2026 年 10 月)。
- Trusted Advisor 从成本优化、性能、安全性、容错、服务配额和卓越运营的角度进行检查。
- 技术信息可以在白皮书、博客、文档、AWS Prescriptive Guidance、AWS Knowledge Center 和 AWS re:Post 中查找。
- AWS Health Dashboard 和 AWS Health API 会告知 AWS 方面的故障或计划内维护对自己环境的影响。
- AWS 资源被滥用时向 Trust and Safety 团队报告，导入方面的支持可以求助于 AWS Partner Network、Marketplace 和 Professional Services。
服务名一句话
| 名称 | 一句话 |
|---|
| Amazon Q | 回答业务和开发问题的生成式 AI 助手 |
| AWS Config | 资源配置的历史记录与合规评估 |
| AWS CloudTrail | API 操作的记录 (谁、何时、做了什么) |
| Amazon CloudWatch | 通过指标、日志和告警进行监控 |
| AWS Trusted Advisor | 检查是否符合最佳实践并提出改进建议 |
| AWS Security Hub | 把安全检测结果汇总到一处 |
| Amazon Inspector | 自动诊断 EC2 和容器镜像的漏洞 |
| AWS Firewall Manager | 向多个账户统一应用 WAF 等规则 |
| AWS Control Tower | 自动准备规则完备的多账户环境 |
| AWS Global Accelerator | 经由 AWS 网络优化通信路径 (不缓存) |
| AWS Application Migration Service | 把服务器原样迁移到 AWS (重新托管) |
| AWS Outposts | 把 AWS 的基础设施放在自己的数据中心 |
| AWS Elastic Beanstalk | 只需上传代码即可准备好运行环境 |
| AWS IAM Identity Center | 对多个账户的单点登录 |
| Amazon Rekognition | 图像和视频的分析 |
| Amazon Comprehend | 从文本中提取情感和实体 |
| Amazon Polly | 把文字转换为语音 |
| Amazon Transcribe | 把语音转换为文字 |
陷阱前 15 名
- 可用区不是 1 个数据中心，而是 1 个或多个数据中心的集合。
- 启用 IAM 访问账单信息不能由拥有管理员权限的 IAM 用户完成，只能由根用户完成。
- Config 记录的不是操作人，而是资源配置的变化和合规状况。
- 安全组有状态且只有允许规则，网络 ACL 无状态，可以同时写允许和拒绝规则。
- RDS 的操作系统补丁更新不是客户的责任，而是 AWS 的责任。
- S3 存储桶是否公开不是 AWS 的责任，而是客户的责任。
- Savings Plans 承诺的不是实例数量，而是每小时的支出金额。
- 收费的是从 AWS 传出的数据传输，称从互联网传入 AWS 收费的选项是错误选项。
- Basic Support 免费，但不能提交技术咨询。
- AWS Artifact 是获取报告的地方，不是保存审计日志的地方 (那是 CloudTrail)。
- EBS 是单个可用区内的块存储，多个实例共享的文件要用 EFS。
- 实例存储在停止或终止时会丢失，把它选为持久存储是错误选项。
- CloudFront 缓存并分发内容，Global Accelerator 不缓存，而是优化通信路径。
- 区域不能只看价格来选，而要根据法规合规、与用户的距离和可用的服务来选。
- 合并账单是汇总账单的功能，限制账户权限的是服务控制策略 (SCP)。
考前检查
- 能说出题目数量、考试时间、计分题数量和合格分。
- 能说出 4 个领域的名称和分值比例。
- 能说出云的 6 项优势。
- 能说出 Well-Architected 框架的 6 大支柱。
- 能说出 AWS CAF 的 6 个视角。
- 能说出迁移策略的 7 个 R。
- 能用 1 句话说出弹性和可扩展性的区别。
- 能用 1 句话说出高可用性和容错性的区别。
- 能在责任共担模型中各说出 AWS 的责任和客户的责任 3 项。
- 能说出 EC2、RDS、Lambda 中客户责任的范围如何变化。
- 能说出 2 项只有根用户才能执行的操作。
- 能说出 3 种保护根用户的方法。
- 能说出 IAM 的用户、组、角色和策略的区别。
- 能各用 1 句话说出 CloudWatch、CloudTrail 和 Config 的区别。
- 能各用 1 个词说出 GuardDuty、Inspector、Macie、Shield 和 WAF 的作用。
- 能说出安全组和网络 ACL 的 2 点区别。
- 能说出区域、可用区和边缘站点之间的关系。
- 能说出使用多个区域的 3 个理由。
- 能说出 S3、EBS、EFS 和实例存储的区别。
- 能按取出频率从高到低说出 4 种 S3 存储类别。
- 能说出 RDS、Aurora、DynamoDB 和 ElastiCache 的区分使用。
- 能说出 SQS、SNS 和 EventBridge 的区别。
- 能列举 EC2 的 7 种购买选项，并说出主要选项适合的场景。
- 能说出 Budgets、Cost Explorer 和 Pricing Calculator 的区分使用。
- 能说出 4 种支持计划的名称。
- 能说出 Trusted Advisor 检查的 3 个角度。
- 能说出 Direct Connect 和 Site-to-Site VPN 的区别。
- 能说出 AWS 资源被滥用时的报告对象。