AWS Certified Solutions Architect - Associate (SAA-C03)
SAA-C03 考试备考笔记
基于截至 2026 年 10 月 的官方考试指南的考试范围阅读约 30 分钟
把 SAA-C03 的考试范围整理成考前 30 分钟能读完一遍的篇幅。适合在学习课程中学完 4 个领域、并用练习题找出薄弱点之后，作为最后的复习。请先读从题干提示推出正确方向的表格，以及错误选项的类型和陷阱。
考试数据与答题思路
- 共 65 道题，考试时间 130 分钟，其中包含不计分的 15 道题，无法分辨哪些不计分。
- 成绩以 100〜1,000 的换算分表示，合格分为 720 分。
- 采用补偿型计分，各领域没有单独的合格线，整体达到 720 分即可。
- 题型有选择 1 项的单选题和选择 2 项以上的多选题 2 种。
- 未作答的题目按错误计算，凭猜测作答也不扣分，因此要回答全部题目。
- 分值比例为领域 1 安全 30%、领域 2 弹性 26%、领域 3 高性能 24%、领域 4 成本优化 20%。
- 大多数题目都是从情景说明中读出需求，选出最合适的架构。
- “运维负担最低”“最具成本效益”这类条件词，是把看似合理的选项缩小到 1 个的关键。
题干提示与正确方向
| 题干提示 | 正确方向 |
|---|
| 运维负担最低 | 托管服务或无服务器 (避免自建脚本和管理 EC2) |
| 最具成本效益 | 满足需求的选项中最便宜的一项 (不需要超出需求的性能) |
| 不使用长期有效的访问密钥 | IAM 角色的临时凭证 |
| 在组织的所有账户中禁止，包括管理员在内 | AWS Organizations 的服务控制策略 |
| 员工通过 1 次登录进入多个账户 | AWS IAM Identity Center |
| 普通用户在应用中的注册和登录 | Amazon Cognito |
| 不经过互联网访问 S3 或 DynamoDB | 网关端点 |
| 只向其他 VPC 展示本公司的服务 | AWS PrivateLink 的端点服务 |
| 由本公司决定可使用密钥的人员，每年自动更新 | AWS KMS 的客户托管密钥 |
| 自动定期更换数据库的密码 | AWS Secrets Manager |
| SQL 注入或来自单个 IP 的大量请求 | AWS WAF |
| 希望察觉可疑的通信或 API 调用 | Amazon GuardDuty |
| AZ 发生故障时自动切换数据库 | RDS 的多 AZ 部署 |
| 突然增长导致处理跟不上、订单丢失 | Amazon SQS 队列，以及根据队列积压量进行的 Auto Scaling |
| 多个系统分别接收同 1 个事件 | 从 Amazon SNS 扇出到多个 SQS 队列 |
| 即使区域发生故障，也能在 1 分钟左右恢复写入 | Aurora Global Database |
| 在多个区域的任何一处都能读写 | DynamoDB 全局表 |
| 供多个 AZ 中的实例同时使用的共享文件 | Amazon EFS |
| 将 DynamoDB 的读取加快到微秒级 | DynamoDB Accelerator (DAX) |
| 固定 IP 地址以及 TCP 或 UDP 通信 | AWS Global Accelerator 或 Network Load Balancer |
| 偶尔对放在 S3 中的数据执行 SQL | Amazon Athena |
| 中断后也能从中断处继续的处理 | 竞价型实例 |
| 访问频率无法预测的 S3 数据 | S3 Intelligent-Tiering |
| 保存数年，取回在 12 小时内即可 | S3 Glacier Deep Archive |
| 希望即使更换 EC2 的系列或区域，折扣也能持续 | Compute Savings Plans |
错误选项的类型
- 把访问密钥嵌入配置文件、用户数据、AMI 或应用的选项，排除。
- 在安全组中写拒绝规则的选项，排除。安全组只能写允许的规则。
- 声称用 GuardDuty、AWS Config、Inspector 这类发现型服务来阻止操作或攻击的选项，排除。
- 只靠加大实例来解决可用性或突然增长问题的选项，要怀疑。
- 把已有托管功能的处理换成定期执行的脚本或自建复制的选项，若有运维负担的条件，排除。
- 声称将读取分配给多 AZ 部署备用实例的选项，排除。分散读取用的是只读副本。
- 声称只读副本会在故障时自动切换的选项，排除。切换需要提升操作。
- 声称多个系统共享 1 个 SQS 队列就能让消息送达全部系统的选项，排除。
- 声称用 CloudFront 处理 UDP 通信的选项，排除。
- 为只在夜间运行的处理购买预留实例的选项，排除。
- 对于需要立即取回的需求选择 Glacier Flexible Retrieval 或 Glacier Deep Archive 的选项，排除。
各领域要点
- 人员登录用 IAM Identity Center，应用程序用 IAM 角色，其他账户用通过信任策略允许代入的角色。
- 服务控制策略决定组织中账户权限的上限，即使是管理员也无法执行被拒绝的操作。
- 安全组是以实例为单位、只有允许的规则，返回的通信会被自动允许；网络 ACL 以子网为单位，按编号顺序评估允许和拒绝。
- 静态加密用 AWS KMS，要决定可使用密钥的人员就用客户托管密钥，通信加密用 TLS 和 aws:SecureTransport 条件。
- 阻止 S3 公开用屏蔽公共访问，只让 CloudFront 读取用源访问控制，有期限地提供用预签名 URL。
- 在处理之间放置 SQS 队列实现松耦合，处理端根据队列的积压量增减实例数量。
- 将 Auto Scaling 组和 ALB 扩展到 2 个以上的 AZ，通过运行状况检查替换异常实例。
- RDS 的多 AZ 部署是同步复制和自动切换，只读副本是异步复制和分散读取。
- 针对区域的故障，用 Aurora Global Database、DynamoDB 全局表、S3 跨区域复制、Route 53 故障转移路由来应对。
- 灾难恢复按备份和还原、指示灯、温备用、多站点的顺序，RTO 和 RPO 越来越短，费用越来越高。
- 单台实例的块存储用 EBS，共享文件用 EFS，计算密集型处理的高速读取用 FSx for Lustre，对象用 S3。
- gp3 可以独立于容量指定 IOPS，io2 用于需要高 IOPS 和高耐久性的场合。
- 反复执行的查询用 ElastiCache，DynamoDB 的读取用 DAX，繁重的读取用 Aurora 副本与写入分离。
- Web 内容的分发用 CloudFront，固定 IP 地址以及 TCP 或 UDP 用 Global Accelerator，超低延迟的 TCP 用 Network Load Balancer。
- 保持顺序地摄取大量数据用 Kinesis Data Streams，对 S3 上的数据执行 SQL 用 Athena，大规模汇总用 Redshift。
- 稳定的使用选 Savings Plans 或预留实例，可中断的处理选竞价型实例，短期或无法预测的使用选按需实例。
- Compute Savings Plans 无论 EC2 的系列、大小、区域和操作系统如何都会适用折扣，对 Fargate 和 Lambda 也有效。
- S3 对无法预测的访问用 Intelligent-Tiering，对很少读取但需要立即读取的用 Glacier Instant Retrieval，对长期保存用 Glacier Deep Archive，并通过生命周期规则转移。
- 不定期且少量的调用用 API Gateway 和 Lambda，难以预测的数据库负载用 Aurora Serverless v2，按使用量付费。
- 费用趋势用 Cost Explorer，预算和预测的通知用 Budgets，类型和大小的调整用 Compute Optimizer。
服务名一句话
| 名称 | 一句话 |
|---|
| AWS IAM Identity Center | 员工对多个账户的单点登录 |
| Amazon Cognito | 普通用户在应用中的注册和登录 |
| AWS Secrets Manager | 密码等的保存与自动轮换 |
| AWS WAF | Web 请求的检查与阻断 |
| AWS Shield Advanced | 防御大规模 DDoS 攻击并可向专门团队咨询 |
| Amazon GuardDuty | 从日志中发现可疑的通信和操作 |
| Amazon Macie | 发现 S3 中个人信息等机密数据 |
| AWS PrivateLink | 与其他 VPC 中服务的私有连接 |
| Amazon SQS | 保管消息的队列 |
| Amazon SNS | 将消息分发给所有已订阅的目标 |
| AWS Step Functions | 将多个步骤连同重试和分支连接起来 |
| AWS Backup | 以 1 个方针管理多个服务的备份 |
| AWS Global Accelerator | 通过固定的任播 IP 送达最近的区域 |
| Amazon RDS Proxy | 集中管理与数据库的连接并使其共享 |
| Amazon EFS | 从多个 AZ 同时使用的共享文件系统 |
| Amazon FSx for Lustre | 面向计算密集型处理的高速文件系统 |
| DynamoDB Accelerator (DAX) | DynamoDB 专用的内存缓存 |
| Amazon Kinesis Data Streams | 保持顺序地接收大量数据并供多方读取 |
| AWS Compute Optimizer | 根据使用记录提出类型和大小的调整建议 |
| AWS Budgets | 预算和预测金额的通知 |
陷阱前 15 名
- 服务控制策略不授予权限。它只决定上限，还需要通过 IAM 策略允许。
- AWS 托管密钥的密钥策略用户无法改写。
- 导入 ACM 的证书不会由 ACM 自动更新。会自动更新的是 ACM 签发的证书。
- 网关端点只能用于 S3 和 DynamoDB。
- IP 地址范围重叠时无法建立 VPC 对等连接，并且无法经由对等连接到达更远的 VPC。
- EBS 卷是 1 个 AZ 内的资源，无法附加到其他 AZ 的实例上。
- 实例存储的数据在实例停止后就会消失。
- CloudWatch 警报的恢复操作是在同一 AZ 的其他硬件上恢复，对 AZ 的故障无效。
- S3 复制需要源存储桶和目标存储桶都启用版本控制。
- Lambda 单次执行时间的上限是 15 分钟。
- SQS 标准队列不保证顺序，同一条消息可能送达 2 次。如果需要保证顺序和去除重复，就使用 FIFO 队列。
- gp2 的基准 IOPS 与容量成正比，gp3 则可以独立于容量指定。
- 向 Shield Advanced 的专门团队咨询，还需要 Business 及以上的支持计划。
- 专用主机和专用实例是用于自带许可证或满足监管与合规要求的选择，不会仅仅为了降低费用而选择它们。
- Amazon Data Lifecycle Manager 处理的是 EBS 快照和 AMI，RDS 和 DynamoDB 则由 AWS Backup 处理。
考前检查
- 能说出题目数量、考试时间、不计分题数量和合格分。
- 能说出 4 个领域的名称和分值比例。
- 能说出 IAM 角色、服务控制策略、IAM Identity Center、Cognito 的区分使用。
- 能说出安全组与网络 ACL 的 3 个区别。
- 能说出网关端点与接口端点的区别。
- 能说出 KMS 客户托管密钥与 AWS 托管密钥的区别。
- 能用 1 句话分别说出 WAF、Shield、GuardDuty 的作用。
- 能说出 RDS 多 AZ 部署与只读副本的区别。
- 能说出 SQS、SNS、Kinesis Data Streams 的区分使用。
- 能将灾难恢复的 4 种策略按 RTO 从短到长排列。
- 能区分 Route 53 的故障转移、加权、延迟、地理位置路由。
- 能说出 EBS、EFS、FSx for Lustre、S3 的区分使用。
- 能说出 ElastiCache 与 DAX 的区别。
- 能说出 CloudFront 与 Global Accelerator 的区别。
- 能说出按需实例、Savings Plans、预留实例、竞价型实例的区分使用。
- 能将 S3 的存储类别按取回速度从快到慢排列。
- 能说出 Cost Explorer、Budgets、Compute Optimizer 的作用。