CLF-C02 Mock Exam #09 — Solutions & Workflows / Giải đề chi tiết

Bilingual: 🇬🇧 English + 🇻🇳 Tiếng Việt
Theme: Cross-Service Workflows & Multi-Service Architectures / Quy trình liên dịch vụ & kiến trúc đa dịch vụ
Key: Understand service integrations and real-world production patterns / Hiểu cách các dịch vụ tích hợp và các mẫu kiến trúc thực tế
Reading guide: Each solution explains the workflow: Service A → Service B → Service C / Mỗi lời giải mô tả luồng: Dịch vụ A → Dịch vụ B → Dịch vụ C

---

Domain 1: Cloud Concepts (Q1–Q16)

Q1.

A company is designing a global content delivery system for static website assets. Which AWS services work together to achieve this architecture?

Bản dịch tiếng Việt: Một công ty đang thiết kế một hệ thống phân phối nội dung toàn cầu cho nội dung trang web tĩnh. Những dịch vụ AWS nào phối hợp với nhau để đạt được kiến ​​trúc này?

A. EC2 instances in multiple regions with manual failover B. S3 bucket in one region with CloudFront distribution C. S3 bucket with Route 53 health checks D. DynamoDB with EC2 read replicas

Correct answer: B Bản dịch đáp án đúng: B. Nhóm S3 trong một khu vực có phân phối CloudFront

Workflow: S3 (origin) → CloudFront (CDN) → User (global low latency)

🇬🇧 Explanation:

• S3 stores static website assets (HTML, CSS, JS, images)
• CloudFront is a CDN that caches content at edge locations globally (100+ locations worldwide)
• This combination delivers content with low latency to end users
• Route 53 optionally adds custom domain + health checks

User in Tokyo
      ↓ (request)
CloudFront Edge Location (Japan)
      ↓ (origin fetch if cache miss)
S3 bucket (single region)
      ↓ (response)
User (fast, cached)

🇻🇳 Giải thích:

• S3 lưu các tài nguyên tĩnh của website (HTML, CSS, JS, hình ảnh).
• CloudFront là CDN, cache nội dung tại các edge location trên toàn cầu (hơn 100 vị trí).
• Kết hợp này giúp giao nội dung với độ trễ thấp đến người dùng cuối ở khắp nơi.
• Route 53 (tùy chọn) bổ sung custom domain và health check để bạn dùng tên miền riêng.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — EC2 manual failover is not cloud-native, costly / EC2 failover thủ công không phải cloud-native, lại tốn kém.
• C — Route 53 + S3 alone doesn't cache globally / Chỉ Route 53 + S3 thì không có cache toàn cầu.
• D — DynamoDB + EC2 is for transactional, not static content / DynamoDB + EC2 dành cho dữ liệu giao dịch, không phải nội dung tĩnh.

🔑 Key Concept / Khái niệm cốt lõi: S3 origin + CloudFront CDN = low-latency global static delivery / S3 làm origin + CloudFront làm CDN = giao nội dung tĩnh toàn cầu với độ trễ thấp.

---

Q2. (Select TWO)

A startup wants to migrate its existing on-premises MySQL database to AWS with minimal downtime. Which services should work together to accomplish this? (Select TWO)

Bản dịch tiếng Việt: Một công ty khởi nghiệp muốn di chuyển cơ sở dữ liệu MySQL tại chỗ hiện có của mình sang AWS với thời gian ngừng hoạt động ở mức tối thiểu. Những dịch vụ nào nên làm việc cùng nhau để thực hiện điều này? (Chọn HAI)

A. AWS Database Migration Service (DMS) B. AWS Glue C. AWS AppSync D. Amazon RDS with Multi-AZ E. Amazon Redshift

Correct answer: A, D Bản dịch đáp án đúng: A. Dịch vụ di chuyển cơ sở dữ liệu AWS (DMS); D. Amazon RDS với Multi-AZ

Workflow: On-Premises Database → AWS DMS → Amazon RDS (Multi-AZ)

🇬🇧 Explanation:

• A: AWS Database Migration Service (DMS) provides live migration with minimal downtime
  • Captures ongoing changes from source while migrating historical data
  • Can use homogeneous (MySQL→MySQL) or heterogeneous (Oracle→PostgreSQL) migration
• D: RDS with Multi-AZ ensures high availability after migration
  • Automatic failover to standby if primary fails
  • Synchronized replication across AZs

🇻🇳 Giải thích:

• A: AWS DMS cho phép bạn migrate cơ sở dữ liệu trực tiếp (live) với downtime tối thiểu.
  • Vừa copy dữ liệu lịch sử vừa bắt các thay đổi đang diễn ra (change data capture).
  • Hỗ trợ migrate đồng nhất (MySQL→MySQL) hoặc khác loại (Oracle→PostgreSQL).
• D: RDS Multi-AZ đảm bảo tính sẵn sàng cao sau khi migrate.
  • Tự động failover sang standby nếu primary hỏng; replication đồng bộ giữa các AZ.

❌ Why others are wrong / Vì sao đáp án khác sai:

• B — Glue is for ETL/batch processing, not live database migration / Glue dùng cho ETL/xử lý batch, không phải migrate DB trực tiếp.
• C — AppSync is for GraphQL APIs, not database migration / AppSync dùng cho GraphQL API, không phải migrate DB.
• E — Redshift is for data warehousing, not transactional databases / Redshift là kho dữ liệu phân tích, không phải DB giao dịch.

🔑 Key Concept / Khái niệm cốt lõi: DMS migrates live with minimal downtime; RDS Multi-AZ gives post-migration HA / DMS migrate trực tiếp với downtime tối thiểu; RDS Multi-AZ cung cấp HA sau migrate.

---

Q3.

An organization needs to implement a disaster recovery solution where their on-premises data is backed up to AWS cloud storage. Which combination of services best describes this hybrid approach?

Bản dịch tiếng Việt: Tổ chức cần triển khai giải pháp disaster recovery trong đó dữ liệu tại chỗ của họ được sao lưu vào bộ lưu trữ đám mây AWS. Sự kết hợp dịch vụ nào mô tả đúng nhất phương pháp kết hợp này?

A. EC2 instances with EBS snapshots to S3 B. AWS Storage Gateway connected to S3 buckets C. VPN connection only to AWS CloudFront D. Direct Connect only to DynamoDB

Correct answer: B Bản dịch đáp án đúng: B. Cổng lưu trữ AWS được kết nối với bộ chứa S3

Workflow: On-Premises Data → Storage Gateway → S3 (cloud backup)

🇬🇧 Explanation:

• AWS Storage Gateway is a hybrid cloud appliance that connects on-premises to AWS cloud
• Acts as a cache/gateway: on-premises applications → Storage Gateway → S3
• Data is backed up to S3 in cloud while application sees local storage
• Common use case: disaster recovery backup of on-premises files

On-Premises File System
        ↓
Storage Gateway (iSCSI/SMB interface)
        ↓
S3 Bucket (cloud backup)

🇻🇳 Giải thích:

• AWS Storage Gateway là thiết bị lai (hybrid) kết nối hệ thống on-premises với AWS cloud.
• Hoạt động như cache/gateway: ứng dụng on-premises → Storage Gateway → S3.
• Dữ liệu được sao lưu lên S3 trong khi ứng dụng vẫn "thấy" như đang dùng storage cục bộ.
• Use case phổ biến: sao lưu phục hồi thảm họa (DR) cho file on-premises.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — EC2 + EBS doesn't connect to on-premises / EC2 + EBS không kết nối tới on-premises.
• C — VPN + CloudFront is for connectivity, not backup / VPN + CloudFront dùng cho kết nối, không phải backup.
• D — Direct Connect + DynamoDB is for connectivity, not backup / Direct Connect + DynamoDB dùng cho kết nối, không phải backup.

🔑 Key Concept / Khái niệm cốt lõi: Storage Gateway bridges on-prem storage to S3 for hybrid backup / Storage Gateway nối storage on-prem với S3 để backup lai.

---

Q4.

A financial services company processes large batches of transaction data nightly. They need to extract, transform, and load data into a data warehouse for analytics. Which AWS service combination is most appropriate?

Bản dịch tiếng Việt: Một công ty dịch vụ tài chính xử lý một lượng lớn dữ liệu giao dịch hàng đêm. Họ cần trích xuất, chuyển đổi và tải dữ liệu vào kho dữ liệu để phân tích. Sự kết hợp dịch vụ AWS nào là phù hợp nhất?

A. Lambda + CloudFormation + ElastiCache B. S3 → AWS Glue ETL → Amazon Redshift → QuickSight C. EC2 → RDS → SQS → SNS D. API Gateway → Step Functions → DynamoDB

Correct answer: B Bản dịch đáp án đúng: B. S3 → AWS Glue ETL → Amazon Redshift → QuickSight

Workflow: S3 (raw data) → AWS Glue (ETL) → Amazon Redshift (warehouse) → QuickSight (BI dashboard)

🇬🇧 Explanation:

• AWS Glue extracts data from S3, transforms it, loads into Redshift
  • Serverless ETL service
  • Discovers schema automatically
  • Supports Spark/Python for custom transformations
• Amazon Redshift is a data warehouse optimized for analytics
  • Columnar storage for fast aggregations
  • MPP (Massive Parallel Processing)
• QuickSight visualizes Redshift data in dashboards for analytics

S3 (data lake)
    ↓
Glue Job (extract, transform, load)
    ↓
Redshift (warehouse)
    ↓
QuickSight (BI dashboard)

🇻🇳 Giải thích:

• AWS Glue trích xuất dữ liệu từ S3, biến đổi, rồi nạp vào Redshift.
  • Là dịch vụ ETL serverless, tự phát hiện schema, hỗ trợ Spark/Python để biến đổi tùy chỉnh.
• Amazon Redshift là kho dữ liệu (data warehouse) tối ưu cho phân tích.
  • Lưu trữ dạng cột (columnar) giúp tổng hợp nhanh; dùng MPP (xử lý song song quy mô lớn).
• QuickSight trực quan hóa dữ liệu Redshift thành dashboard phân tích cho bạn.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Lambda + CloudFormation + ElastiCache is not an ETL pipeline / Không phải pipeline ETL.
• C — EC2 → RDS → SQS is not a data warehouse solution / Không phải giải pháp kho dữ liệu.
• D — API Gateway → Step Functions is for orchestration, not batch ETL / Dùng cho điều phối, không phải ETL batch.

🔑 Key Concept / Khái niệm cốt lõi: S3 → Glue → Redshift → QuickSight is the canonical analytics/BI pipeline / Đây là pipeline phân tích/BI chuẩn.

---

Q5. (Select TWO)

A media company wants to automatically process images uploaded to S3 and store metadata in a database. Which services should be involved? (Select TWO)

Bản dịch tiếng Việt: Một công ty truyền thông muốn tự động xử lý hình ảnh được tải lên S3 và lưu trữ siêu dữ liệu trong cơ sở dữ liệu. Những dịch vụ nào nên tham gia? (Chọn HAI)

A. S3 event notification B. Lambda function C. Amazon Rekognition for image analysis D. CloudFormation E. Kinesis Data Firehose

Correct answer: A, B Bản dịch đáp án đúng: A. Thông báo sự kiện S3; B. Hàm Lambda

Workflow: S3 (image upload) → S3 event → Lambda (trigger) → Rekognition (analysis) → DynamoDB (metadata storage)

🇬🇧 Explanation:

• A: S3 event notification automatically triggers Lambda when object is uploaded
  • S3 → SNS/SQS/Lambda notification (not pull-based polling)
• B: Lambda function processes the image
  • Calls Rekognition API to analyze image
  • Invokes DynamoDB to store metadata (labels, confidence, timestamp)

User uploads image to S3
        ↓
S3 event notification
        ↓
Lambda function triggered
        ↓
Rekognition (image labels: "dog", "outdoor")
        ↓
DynamoDB (store: image_id, labels, confidence)

🇻🇳 Giải thích:

• A: S3 event notification tự động kích hoạt Lambda khi có object được upload.
  • S3 → thông báo tới SNS/SQS/Lambda (push), không phải polling kiểu kéo.
• B: Lambda function xử lý ảnh.
  • Gọi API Rekognition để phân tích ảnh, rồi ghi metadata (nhãn, độ tin cậy, thời gian) vào DynamoDB.

❌ Why others are wrong / Vì sao đáp án khác sai:

• C — Rekognition is part of the flow but not a missing service (already invoked by Lambda) / Rekognition nằm trong luồng nhưng không phải dịch vụ còn thiếu (đã được Lambda gọi).
• D — CloudFormation is for IaC, not image processing / CloudFormation dùng cho IaC, không xử lý ảnh.
• E — Kinesis Firehose is for streaming pipelines, not image event processing / Firehose dùng cho pipeline streaming, không phải xử lý sự kiện ảnh.

🔑 Key Concept / Khái niệm cốt lõi: S3 event → Lambda is the serverless event-driven trigger pattern / S3 event → Lambda là mẫu kích hoạt serverless theo sự kiện.

---

Q6.

A company receives real-time stock price data that needs to be processed, visualized on a dashboard, and kept for compliance archives. Which workflow best describes this architecture?

Bản dịch tiếng Việt: Một công ty nhận được dữ liệu giá cổ phiếu theo thời gian thực cần được xử lý, hiển thị trên bảng điều khiển và lưu giữ để lưu trữ tuân thủ. Quy trình làm việc nào mô tả đúng nhất kiến ​​trúc này?

A. API Gateway → Lambda → DynamoDB → CloudWatch B. Kinesis Data Streams → Kinesis Data Firehose → S3 → Athena → QuickSight (real-time dashboard) C. SQS → SNS → EventBridge → S3 D. CloudTrail → CloudWatch → Route 53

Correct answer: B Bản dịch đáp án đúng: B. Kinesis Data Streams → Kinesis Data Firehose → S3 → Athena → QuickSight (bảng thông tin thời gian thực)

Workflow: Kinesis Data Streams (ingestion) → Kinesis Data Firehose (delivery) → S3 (storage) → Athena (queries) + QuickSight (real-time viz)

🇬🇧 Explanation:

• Kinesis Data Streams ingests real-time stock price data
  • Push-based (producers send data)
  • Low-latency processing for real-time consumers
• Kinesis Data Firehose batches and delivers to S3 automatically
  • Buffering (300s or 128MB, whichever first)
  • Can add Lambda transformation
• S3 stores data long-term for compliance archival
• Athena queries S3 data using SQL
• QuickSight creates real-time dashboards from Kinesis or Redshift

Stock Price Stream (real-time)
        ↓
Kinesis Data Streams
        ├─→ Lambda (real-time processing)
        │       ↓
        │   QuickSight (live dashboard)
        │
        └─→ Kinesis Firehose (batching)
                ↓
            S3 (archival)
                ↓
            Athena (historical queries)

🇻🇳 Giải thích:

• Kinesis Data Streams thu nhận dữ liệu giá cổ phiếu theo thời gian thực (push, độ trễ thấp).
• Kinesis Data Firehose gom batch và tự động giao về S3 (buffer 300s hoặc 128MB, cái nào đến trước; có thể chèn Lambda transform).
• S3 lưu trữ lâu dài để lưu trữ tuân thủ (compliance).
• Athena truy vấn dữ liệu trên S3 bằng SQL.
• QuickSight tạo dashboard thời gian thực từ Kinesis hoặc Redshift.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — API Gateway + Lambda → DynamoDB lacks stream ingestion / Thiếu khâu thu nhận luồng (stream).
• C — SQS → SNS is for queuing, not real-time streaming / Dùng cho hàng đợi, không phải streaming thời gian thực.
• D — CloudTrail → CloudWatch is for API audit, not data streaming / Dùng cho audit API, không phải streaming dữ liệu.

🔑 Key Concept / Khái niệm cốt lõi: Kinesis Streams ingests; Firehose delivers to S3 for Athena/QuickSight analytics / Streams thu nhận; Firehose giao về S3 cho Athena/QuickSight phân tích.

---

Q7.

A web application needs to send notifications to users via email and SMS when certain events occur. Which services work together to implement this?

Bản dịch tiếng Việt: Một ứng dụng web cần gửi thông báo cho người dùng qua email và SMS khi một số sự kiện nhất định xảy ra. Những dịch vụ nào phối hợp với nhau để thực hiện điều này?

A. SNS for notification distribution, Lambda for routing B. SQS for queuing, CloudWatch for alerts C. EventBridge to detect events, SNS to send notifications D. CloudTrail to log events, SES to send email

Correct answer: C Bản dịch đáp án đúng: C. EventBridge để phát hiện sự kiện, SNS để gửi thông báo

Workflow: Event → EventBridge (detect) → SNS (notify) → Email/SMS

🇬🇧 Explanation:

• EventBridge detects events from various sources (CloudWatch, API calls, custom apps)
  • Routes events based on rules (e.g., "order status = shipped")
• SNS (Simple Notification Service) sends notifications to endpoints
  • Email, SMS, push notifications, Lambda, SQS
  • Pub/Sub model (fanout to multiple subscribers)

Event (e.g., order status change)
        ↓
EventBridge rule matches
        ↓
SNS topic
        ├─→ Email notification
        └─→ SMS notification

🇻🇳 Giải thích:

• EventBridge phát hiện sự kiện từ nhiều nguồn (CloudWatch, API call, ứng dụng tùy chỉnh) và định tuyến theo rule (ví dụ "trạng thái đơn = shipped").
• SNS gửi thông báo tới các endpoint: email, SMS, push, Lambda, SQS — theo mô hình Pub/Sub (fanout tới nhiều subscriber).

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Lambda is for processing, not directly for notifications / Lambda dùng để xử lý, không trực tiếp gửi thông báo.
• B — SQS is for queuing, CloudWatch for metrics (not notifications alone) / SQS là hàng đợi, CloudWatch là metric — không phải thông báo.
• D — CloudTrail is for audit logs, SES is email-only (not SMS) / CloudTrail dùng cho log audit, SES chỉ gửi email (không SMS).

🔑 Key Concept / Khái niệm cốt lõi: EventBridge routes events; SNS fans out notifications to email/SMS / EventBridge định tuyến sự kiện; SNS fanout thông báo ra email/SMS.

---

Q8. (Select TWO)

A company is building a serverless REST API that accepts JSON requests and stores data. Which services form the core of this architecture? (Select TWO)

Bản dịch tiếng Việt: Một công ty đang xây dựng API REST không có máy chủ chấp nhận các yêu cầu JSON và lưu trữ dữ liệu. Những dịch vụ nào là cốt lõi của kiến ​​trúc này? (Chọn HAI)

A. API Gateway B. AWS Lambda C. DynamoDB or RDS D. EC2 clusters E. AWS CloudFormation

Correct answer: A, B Bản dịch đáp án đúng: A. API Gateway; B. AWS Lambda

Workflow: Client request → API Gateway (API frontend) → Lambda (serverless compute) → DynamoDB/RDS (data store)

🇬🇧 Explanation:

• API Gateway creates REST/WebSocket APIs
  • Handles authentication, rate limiting, request validation
  • Forwards requests to backend (Lambda, EC2, HTTP endpoints)
• Lambda executes business logic
  • No server management, auto-scales to 0
  • Executes in response to API Gateway events

REST Request
      ↓
API Gateway
      ↓
Lambda function
      ├─→ DynamoDB (NoSQL)
      └─→ RDS (SQL)
      ↓
Response

🇻🇳 Giải thích:

• API Gateway tạo REST/WebSocket API; lo việc xác thực, giới hạn tốc độ (rate limit), kiểm tra request, rồi chuyển tiếp tới backend (Lambda, EC2, HTTP endpoint).
• Lambda chạy logic nghiệp vụ; không cần quản lý server, tự co giãn về 0; chạy khi có sự kiện từ API Gateway.

❌ Why others are wrong / Vì sao đáp án khác sai:

• C — DynamoDB/RDS is needed for persistence but not sufficient alone / Cần cho lưu trữ nhưng một mình chưa đủ.
• D — EC2 clusters defeat the serverless architecture / EC2 cluster phá vỡ kiến trúc serverless.
• E — CloudFormation is for IaC, not a runtime component / CloudFormation dùng cho IaC, không phải thành phần runtime.

🔑 Key Concept / Khái niệm cốt lõi: API Gateway + Lambda + DynamoDB/RDS = serverless API stack / Bộ ba này = stack API serverless.

---

Q9.

An enterprise needs to monitor API call history, detect security anomalies, and ensure compliance audit trails. Which services work together?

Bản dịch tiếng Việt: Doanh nghiệp cần theo dõi lịch sử lệnh gọi API, phát hiện các điểm bất thường về bảo mật và đảm bảo các quy trình kiểm tra tuân thủ. Những dịch vụ nào hoạt động cùng nhau?

A. CloudWatch for metrics, CloudTrail for audit logs, GuardDuty for threat detection B. S3 for logging, RDS for audit, IAM for access control C. SNS for notifications, SQS for message handling D. CloudFront for caching, Route 53 for DNS

Correct answer: A Bản dịch đáp án đúng: A. CloudWatch để biết số liệu, CloudTrail để biết nhật ký kiểm tra, GuardDuty để phát hiện mối đe dọa

Workflow: API calls → CloudTrail (audit log) + GuardDuty (threat detection) + CloudWatch (metrics & alarms)

🇬🇧 Explanation:

• CloudTrail logs all AWS API calls
  • "Who did what, when" (user, action, resource, timestamp)
  • Compliance audit trail
  • Stored in S3, can analyze with Athena
• GuardDuty uses ML to detect threats in CloudTrail + VPC Flow Logs
  • Anomalies (unusual API patterns, unauthorized access)
  • Compromised credentials
• CloudWatch triggers alarms on metrics
  • Monitors application/infrastructure health
  • Can invoke SNS/Lambda on alarm

User API calls
      ↓
CloudTrail (logs all API calls)
      ├─→ GuardDuty (threat detection)
      │       ↓
      │   Alert if suspicious
      │
      └─→ CloudWatch (metrics on call patterns)
              ↓
          Alarms if threshold exceeded

🇻🇳 Giải thích:

• CloudTrail ghi lại mọi API call của AWS ("ai làm gì, khi nào"), tạo audit trail tuân thủ, lưu trong S3 và phân tích được bằng Athena.
• GuardDuty dùng ML để phát hiện mối đe dọa từ CloudTrail + VPC Flow Logs (bất thường, truy cập trái phép, credential bị lộ).
• CloudWatch kích hoạt alarm dựa trên metric, theo dõi sức khỏe hệ thống, gọi SNS/Lambda khi alarm.

❌ Why others are wrong / Vì sao đáp án khác sai:

• B — WAF is for DDoS/web attacks, not general monitoring / WAF dùng cho DDoS/tấn công web, không phải giám sát chung.
• C — SNS + SQS is for messaging, not API monitoring / Dùng cho messaging, không giám sát API.
• D — CloudFront + Route 53 is for CDN/DNS, not API audit / Dùng cho CDN/DNS, không phải audit API.

🔑 Key Concept / Khái niệm cốt lõi: CloudTrail + GuardDuty + CloudWatch = audit, threat detection, and metric alarms / Bộ ba = audit, phát hiện mối đe dọa và alarm theo metric.

---

Q10.

A development team wants to deploy Docker containers without managing the underlying EC2 infrastructure. Which combination of services enables this?

Bản dịch tiếng Việt: Nhóm phát triển muốn triển khai vùng chứa Docker mà không cần quản lý cơ sở hạ tầng EC2 cơ bản. Sự kết hợp dịch vụ nào cho phép điều này?

A. ECS with EC2 launch type B. ECS with Fargate launch type and ECR for image registry C. Elastic Beanstalk with RDS backend D. Lambda with VPC configuration

Correct answer: B Bản dịch đáp án đúng: B. ECS với kiểu khởi chạy Fargate và ECR cho sổ đăng ký hình ảnh

Workflow: Code → ECR (image registry) → ECS/Fargate (orchestration)

🇬🇧 Explanation:

• ECS with Fargate launch type is serverless container orchestration
  • Push Docker image to ECR (Elastic Container Registry)
  • Define task (container, CPU, memory, port)
  • Fargate launches and manages container without EC2 cluster
  • AWS handles auto-scaling, patching, underlying infrastructure

Dockerfile
    ↓
docker build → push to ECR
    ↓
ECS Task Definition
    ↓
Fargate Launch (AWS manages EC2)
    ↓
Running container (no EC2 management needed)

🇻🇳 Giải thích:

• ECS với launch type Fargate là điều phối container kiểu serverless.
  • Đẩy Docker image lên ECR; định nghĩa task (container, CPU, memory, port).
  • Fargate khởi chạy và quản lý container mà không cần EC2 cluster.
  • AWS lo auto-scaling, vá lỗi (patching) và hạ tầng bên dưới cho bạn.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — ECS + EC2 requires managing the EC2 cluster (not serverless) / Phải quản lý EC2 cluster (không serverless).
• C — Elastic Beanstalk is for traditional app deployment, not containers / Dùng triển khai ứng dụng truyền thống, không phải container.
• D — Lambda alone has no containers and limited runtimes / Lambda một mình không chạy container, runtime hạn chế.

🔑 Key Concept / Khái niệm cốt lõi: ECR + ECS/Fargate = serverless container orchestration with no EC2 to manage / ECR + ECS/Fargate = điều phối container serverless, không phải quản EC2.

---

Q11. (Select THREE)

A company implements a content delivery network for a website. Which of the following are essential parts of this architecture? (Select THREE)

Bản dịch tiếng Việt: Một công ty triển khai mạng phân phối nội dung cho một trang web. Những phần nào sau đây là những phần thiết yếu của kiến ​​trúc này? (Chọn BA)

A. S3 for origin storage B. CloudFront as the CDN C. Route 53 for DNS routing D. Direct Connect E. AWS Lambda@Edge for custom logic

Correct answer: A, B, C Bản dịch đáp án đúng: A. S3 để lưu trữ nguồn gốc; B. CloudFront dưới dạng CDN; C. Route 53 để định tuyến DNS

Workflow: S3 (origin) → CloudFront (CDN) → Route 53 (DNS) + Edge logic (Lambda@Edge)

🇬🇧 Explanation:

• A: S3 bucket stores origin content
• B: CloudFront distribution caches content at edge locations (100+ globally)
  • Reduces latency to end users
  • Supports origins: S3, HTTP servers, Application Load Balancer, Lambda
• C: Route 53 provides DNS service + routing policies
  • Latency-based routing: routes user to nearest edge
  • Health checks to verify origin availability
  • Can integrate with CloudFront for alias records
• Lambda@Edge (bonus) runs code at edge locations before caching decision

User query
    ↓
Route 53 (DNS lookup)
    ├─→ Latency routing to nearest edge
    ↓
CloudFront Edge Location
    ├─→ Cache hit? Return cached
    ├─→ Cache miss? Fetch from S3 origin
    └─→ Lambda@Edge (optional: modify request/response)
    ↓
User response

🇻🇳 Giải thích:

• A: S3 bucket lưu nội dung gốc (origin).
• B: CloudFront distribution cache nội dung tại edge location (hơn 100 trên toàn cầu), giảm độ trễ; hỗ trợ origin là S3, HTTP server, ALB, Lambda.
• C: Route 53 cung cấp DNS + chính sách định tuyến: latency-based routing đưa người dùng tới edge gần nhất, health check kiểm tra origin, tích hợp alias record với CloudFront.
• Lambda@Edge (thêm) chạy code tại edge trước khi quyết định cache.

❌ Why others are wrong / Vì sao đáp án khác sai:

• D — Direct Connect is for on-prem↔AWS, not CDN / Dùng cho on-prem↔AWS, không phải CDN.
• E — Lambda@Edge is an optional enhancement, not essential / Lambda@Edge chỉ là tùy chọn tăng cường, không bắt buộc.

🔑 Key Concept / Khái niệm cốt lõi: S3 + CloudFront + Route 53 are the three core global delivery components / S3 + CloudFront + Route 53 là ba thành phần lõi cho giao nội dung toàn cầu.

---

Q12.

A retail company wants to implement a hybrid network where on-premises systems securely connect to AWS resources. Which networking solution is most appropriate?

Bản dịch tiếng Việt: Một công ty bán lẻ muốn triển khai mạng kết hợp trong đó các hệ thống tại chỗ kết nối an toàn với tài nguyên AWS. Giải pháp mạng nào phù hợp nhất?

A. Internet Gateway only B. AWS VPN or AWS Direct Connect C. CloudFront distribution D. Route 53 health checks

Correct answer: B Bản dịch đáp án đúng: B. AWS VPN hoặc AWS Direct Connect

Workflow: On-Premises Network ↔ AWS VPC (via VPN or Direct Connect)

🇬🇧 Explanation:

• AWS VPN (Site-to-Site VPN) encrypts connection over internet
  • Customer gateway (on-premises) ↔ Virtual private gateway (VPC)
  • Typical: ~100-200 Mbps throughput
  • Setup time: minutes
  • Cost: moderate per connection
• AWS Direct Connect dedicates physical connection (not internet)
  • Consistent network performance
  • Typical: 1Gbps-10Gbps+
  • Setup time: weeks (physical installation)
  • Cost: higher but predictable

On-Premises Network
        ↓
Customer Gateway
        ↓
[Internet (VPN) or Dedicated line (Direct Connect)]
        ↓
Virtual Private Gateway
        ↓
AWS VPC
        ↓
EC2, RDS, S3 (via VPC endpoint)

🇻🇳 Giải thích:

• AWS VPN (Site-to-Site VPN) mã hóa kết nối qua internet: customer gateway (on-premises) ↔ virtual private gateway (VPC); thông lượng ~100-200 Mbps; thiết lập trong vài phút; chi phí vừa phải.
• AWS Direct Connect dùng đường truyền vật lý riêng (không qua internet): hiệu năng ổn định; 1Gbps-10Gbps+; thiết lập mất vài tuần (lắp đặt vật lý); chi phí cao hơn nhưng dự đoán được.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Internet Gateway doesn't hide traffic and isn't hybrid / Internet Gateway không che giấu traffic, không phải lai (hybrid).
• C — CloudFront is for content delivery, not network connectivity / Dùng cho giao nội dung, không phải kết nối mạng.
• D — Route 53 is for DNS, not connectivity / Dùng cho DNS, không phải kết nối.

🔑 Key Concept / Khái niệm cốt lõi: VPN (encrypted over internet) or Direct Connect (dedicated line) connect on-prem to VPC / VPN (mã hóa qua internet) hoặc Direct Connect (đường riêng) nối on-prem với VPC.

---

Q13.

A healthcare provider needs to backup multiple AWS services (RDS, EBS, DynamoDB) centrally and manage retention policies. Which service handles this?

Bản dịch tiếng Việt: Nhà cung cấp dịch vụ chăm sóc sức khỏe cần sao lưu tập trung nhiều dịch vụ AWS (RDS, EBS, DynamoDB) và quản lý các chính sách lưu giữ. Dịch vụ nào xử lý việc này?

A. AWS Backup centralizes backup across services B. S3 with Glacier lifecycle policies C. CloudFormation for backup automation D. Systems Manager for patch management

Correct answer: A Bản dịch đáp án đúng: A. AWS Backup tập trung sao lưu trên các dịch vụ

Workflow: Multiple AWS services → AWS Backup (centralized backup) → S3/Glacier (long-term retention)

🇬🇧 Explanation:

• AWS Backup is a centralized backup service
  • Backs up: RDS, Aurora, DynamoDB, EBS, EFS, Storage Gateway
  • Creates consistent snapshots across services
  • Manages retention policies
  • Enables cross-region backup for disaster recovery

EC2 (EBS volumes)
RDS (databases)
DynamoDB (tables)
EFS (file systems)
    ↓
AWS Backup (centralized policy)
    ├─→ Daily snapshots
    ├─→ Retention: 30 days → delete
    └─→ Cross-region copy (optional)
    ↓
S3 / Glacier (long-term storage)

🇻🇳 Giải thích:

• AWS Backup là dịch vụ backup tập trung.
  • Sao lưu được: RDS, Aurora, DynamoDB, EBS, EFS, Storage Gateway.
  • Tạo snapshot nhất quán trên nhiều dịch vụ, quản lý chính sách lưu giữ (retention).
  • Cho phép backup cross-region để phục hồi thảm họa (DR).

❌ Why others are wrong / Vì sao đáp án khác sai:

• B — S3 lifecycle alone doesn't back up databases / Chỉ lifecycle của S3 thì không backup được database.
• C — CloudFormation is for IaC, not backup management / Dùng cho IaC, không quản lý backup.
• D — Systems Manager is for patching, not backup / Dùng cho patching, không phải backup.

🔑 Key Concept / Khái niệm cốt lõi: AWS Backup centralizes backups across services with retention and cross-region copy / AWS Backup tập trung backup nhiều dịch vụ kèm retention và copy cross-region.

---

Q14. (Select THREE)

A company building a microservices architecture on AWS needs messaging and decoupling between services. Which of these services enable asynchronous communication? (Select THREE)

Bản dịch tiếng Việt: Một công ty xây dựng kiến ​​trúc vi dịch vụ trên AWS cần nhắn tin và tách rời giữa các dịch vụ. Dịch vụ nào trong số này cho phép giao tiếp không đồng bộ? (Chọn BA)

A. SQS (Simple Queue Service) B. SNS (Simple Notification Service) C. EventBridge D. Route 53 E. CloudWatch

Correct answer: A, B, C Bản dịch đáp án đúng: A. SQS (Dịch vụ xếp hàng đơn giản); B. SNS (Dịch vụ thông báo đơn giản); C. Sự KiệnCầu

Workflow: Asynchronous communication patterns in microservices

🇬🇧 Explanation:

• SQS (Simple Queue Service)
  • Queue-based messaging (pull model)
  • Decouples producer from consumer
  • Guarantees at-least-once delivery
  • Use: buffering, batch processing
• SNS (Simple Notification Service)
  • Pub/Sub messaging (push model)
  • One message → multiple subscribers (fanout)
  • Use: notifications, alerts
• EventBridge
  • Event bus for routing events across services
  • Rule-based matching (if-then patterns)
  • Use: event-driven architecture, service decoupling

Producer → SQS (queue)
             ↓
          Consumer A
          Consumer B (async, poll independently)

Producer → SNS (fanout)
             ├─→ Subscriber A (email)
             ├─→ Subscriber B (Lambda)
             └─→ Subscriber C (SQS queue)

Event Source → EventBridge (rules engine)
                 ├─→ Route to SNS
                 ├─→ Route to Lambda
                 └─→ Route to SQS

🇻🇳 Giải thích:

• SQS — messaging dạng hàng đợi (pull), tách rời producer khỏi consumer, đảm bảo giao ít nhất một lần (at-least-once); dùng để đệm và xử lý batch.
• SNS — messaging Pub/Sub (push), một message → nhiều subscriber (fanout); dùng cho thông báo, cảnh báo.
• EventBridge — event bus định tuyến sự kiện giữa các dịch vụ, khớp theo rule (if-then); dùng cho kiến trúc hướng sự kiện và tách rời dịch vụ.

❌ Why others are wrong / Vì sao đáp án khác sai:

• D — Route 53 is for DNS, not messaging / Dùng cho DNS, không phải messaging.
• E — CloudWatch is for metrics, not messaging / Dùng cho metric, không phải messaging.

🔑 Key Concept / Khái niệm cốt lõi: SQS (queue), SNS (fanout), EventBridge (event routing) are the async messaging trio / SQS, SNS, EventBridge là bộ ba messaging bất đồng bộ.

---

Q15.

A startup wants to quickly deploy a web application without managing infrastructure. Which combination of services provides the fastest time-to-market?

Bản dịch tiếng Việt: Một công ty khởi nghiệp muốn triển khai nhanh chóng một ứng dụng web mà không cần quản lý cơ sở hạ tầng. Sự kết hợp dịch vụ nào mang lại thời gian tiếp cận thị trường nhanh nhất?

A. EC2 + ELB + RDS + CloudFormation B. AWS Elastic Beanstalk + RDS + Auto Scaling C. Lambda + API Gateway + DynamoDB D. ECS Fargate + ALB + Aurora

Correct answer: C Bản dịch đáp án đúng: C. Lambda + API Gateway + DynamoDB

Workflow: Serverless API + Serverless compute + Serverless database = fastest time-to-market

🇬🇧 Explanation:

• Lambda + API Gateway + DynamoDB is fully serverless
  • No infrastructure to provision or manage
  • Auto-scales from 0 to millions of requests
  • Pay only for what you use
  • Fastest developer iteration
  • Ideal for MVPs and startups

Client request
      ↓
API Gateway (auto-scales)
      ↓
Lambda (serverless, <15min)
      ↓
DynamoDB (serverless, single-digit ms)
      ↓
Response

🇻🇳 Giải thích:

• Lambda + API Gateway + DynamoDB là stack hoàn toàn serverless.
  • Không phải cấp phát/quản lý hạ tầng; tự co giãn từ 0 đến hàng triệu request.
  • Chỉ trả tiền theo mức dùng; lập trình viên lặp lại (iterate) nhanh nhất.
  • Lý tưởng cho MVP và startup khi cần ra thị trường nhanh.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — EC2 + ELB + RDS requires instance provisioning, slower setup / Phải cấp phát instance, thiết lập chậm hơn.
• B — Elastic Beanstalk is easier than EC2 but still infrastructure-centric / Dễ hơn EC2 nhưng vẫn xoay quanh hạ tầng.
• D — ECS Fargate + ALB + Aurora requires cluster setup / Phải thiết lập cluster.

🔑 Key Concept / Khái niệm cốt lõi: Fully serverless (Lambda + API Gateway + DynamoDB) gives the fastest time-to-market / Hoàn toàn serverless cho thời gian ra thị trường nhanh nhất.

---

Q16.

An organization needs to ensure that data encryption keys are managed centrally and audited for compliance. Which service pair accomplishes this?

Bản dịch tiếng Việt: Một tổ chức cần đảm bảo rằng các khóa mã hóa dữ liệu được quản lý tập trung và được kiểm tra để tuân thủ. Cặp dịch vụ nào thực hiện được điều này?

A. S3 encryption + IAM policies B. AWS KMS for key management + CloudTrail for audit logs C. VPN encryption + Security Groups D. CloudFront with SSL/TLS + Route 53

Correct answer: B Bản dịch đáp án đúng: B. AWS KMS để quản lý khóa + CloudTrail cho nhật ký kiểm tra

Workflow: AWS KMS (encryption) + CloudTrail (audit logs)

🇬🇧 Explanation:

• AWS KMS (Key Management Service) manages encryption keys
  • Customer master keys (CMKs) under your control
  • Automatic key rotation
  • Access controlled via IAM policies
• CloudTrail logs all API calls to KMS
  • Who accessed the key, when, what action
  • Compliance audit trail
  • Stored in S3 for long-term retention

Application needs to encrypt data
        ↓
Request to KMS (GenerateDataKey, Decrypt)
        ↓
KMS returns plaintext key (session-limited)
        ↓
Application encrypts/decrypts data
        ↓
CloudTrail logs the API call
        ↓
S3 (audit trail for compliance)

🇻🇳 Giải thích:

• AWS KMS quản lý khóa mã hóa: customer master key (CMK) do bạn kiểm soát, tự động xoay khóa (key rotation), kiểm soát truy cập bằng IAM policy.
• CloudTrail ghi lại mọi API call tới KMS (ai truy cập khóa, khi nào, hành động gì), tạo audit trail tuân thủ, lưu trong S3 lâu dài.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — S3 encryption + IAM doesn't centralize key management / Không tập trung quản lý khóa.
• C — VPN encryption + Security Groups is for network, not data key management / Dùng cho mạng, không phải quản lý khóa dữ liệu.
• D — CloudFront + Route 53 is for content delivery, not key management / Dùng cho giao nội dung, không phải quản lý khóa.

🔑 Key Concept / Khái niệm cốt lõi: KMS manages keys; CloudTrail audits every key access / KMS quản lý khóa; CloudTrail audit mọi lần truy cập khóa.

---

Domain 2: Security and Compliance (Q17–Q36)

Q17.

A company stores sensitive customer data in S3 but needs to ensure encryption keys are customer-managed (not AWS-managed). Which encryption approach should they use?

Bản dịch tiếng Việt: Một công ty lưu trữ dữ liệu nhạy cảm của khách hàng trong S3 nhưng cần đảm bảo khóa mã hóa do khách hàng quản lý (không phải do AWS quản lý). Họ nên sử dụng phương pháp mã hóa nào?

A. Enable SSE-S3 (AWS-managed) B. Use SSE-KMS with customer master keys (CMKs) C. Store keys in EC2 instance metadata D. Disable encryption for performance

Correct answer: B Bản dịch đáp án đúng: B. Sử dụng SSE-KMS với khóa chính của khách hàng (CMK)

🇬🇧 Explanation:

• SSE-S3 (S3-managed): AWS controls keys, no customer control
• SSE-KMS (customer-managed): Customer manages keys via AWS KMS
  • Requires customer master key (CMK)
  • Full audit trail via CloudTrail
  • Can enforce key rotation, access policies
  • Compliance requirement for HIPAA, PCI-DSS

Data encrypted with customer-managed CMK
         ↓
Only authorized users can decrypt
         ↓
CloudTrail logs all key access

🇻🇳 Giải thích:

• SSE-S3 (S3 quản lý): AWS kiểm soát khóa, khách hàng không kiểm soát.
• SSE-KMS (khách hàng quản lý): Bạn quản lý khóa qua AWS KMS.
  • Cần customer master key (CMK); có audit trail đầy đủ qua CloudTrail.
  • Cho phép ép xoay khóa và áp chính sách truy cập; là yêu cầu tuân thủ cho HIPAA, PCI-DSS.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — SSE-S3 gives no customer key control / SSE-S3 không cho khách hàng kiểm soát khóa.
• C — Client-side only is more operational burden, not the managed-key answer / Mã hóa phía client tốn công vận hành hơn, không phải đáp án quản lý khóa.
• D — No encryption fails compliance / Không mã hóa thì vi phạm tuân thủ.

🔑 Key Concept / Khái niệm cốt lõi: SSE-KMS gives customer-managed keys + CloudTrail audit for compliance / SSE-KMS cho khóa do khách quản lý + audit CloudTrail để tuân thủ.

---

Q18. (Select TWO)

An enterprise implements a multi-service security architecture. Which of the following pairs work together to identify and respond to threats? (Select TWO)

Bản dịch tiếng Việt: Một doanh nghiệp triển khai kiến ​​trúc bảo mật đa dịch vụ. Cặp nào sau đây phối hợp với nhau để xác định và ứng phó với các mối đe dọa? (Chọn HAI)

A. GuardDuty analyzes CloudTrail logs and VPC Flow Logs for anomalies B. AWS WAF protects against DDoS attacks on internet-facing resources C. Shield Standard provides advanced DDoS protection D. CloudWatch only tracks compute metrics E. Security Hub aggregates findings from GuardDuty, Inspector, and Config

Correct answer: A, E Bản dịch đáp án đúng: A. GuardDuty phân tích nhật ký CloudTrail và Nhật ký luồng VPC để phát hiện các điểm bất thường; E. Trung tâm bảo mật tổng hợp các phát hiện từ GuardDuty, Thanh tra và Cấu hình

🇬🇧 Explanation:

• A: GuardDuty analyzes CloudTrail logs + VPC Flow Logs for threats
  • Anomaly detection (unusual API patterns, brute force)
  • Compromised credentials detection
• E: Security Hub centralizes findings
  • Aggregates GuardDuty, Inspector, Config findings
  • Provides single dashboard for security posture
• B: WAF is for web application attacks (SQL injection, XSS), not general threat detection
• C: Shield Standard is basic DDoS protection (free); Shield Advanced is needed for advanced DDoS

🇻🇳 Giải thích:

• A: GuardDuty phân tích CloudTrail + VPC Flow Logs để phát hiện mối đe dọa (bất thường, brute force, credential bị lộ).
• E: Security Hub tập trung các phát hiện (findings), tổng hợp từ GuardDuty, Inspector, Config thành một dashboard về tư thế bảo mật.

❌ Why others are wrong / Vì sao đáp án khác sai:

• B — WAF is for web attacks (SQLi, XSS), not general threat detection / WAF dùng cho tấn công web, không phải phát hiện mối đe dọa chung.
• C — Shield Standard is basic DDoS protection, not threat detection / Là chống DDoS cơ bản, không phải phát hiện mối đe dọa.
• D — Not a threat-detection service for this scenario / Không phải dịch vụ phát hiện mối đe dọa phù hợp.

🔑 Key Concept / Khái niệm cốt lõi: GuardDuty detects threats; Security Hub centralizes all security findings / GuardDuty phát hiện mối đe dọa; Security Hub tập trung các findings bảo mật.

---

Q19.

A Lambda function needs to access a DynamoDB table securely. Which approach follows AWS best practices?

Bản dịch tiếng Việt: Hàm Lambda cần truy cập vào bảng DynamoDB một cách an toàn. Cách tiếp cận nào tuân theo các biện pháp thực hành tốt nhất của AWS?

A. Store AWS Access Keys in Lambda environment variables B. Attach an IAM role to the Lambda function with DynamoDB permissions C. Use root account credentials embedded in the function code D. Configure S3 bucket policies to allow Lambda access

Correct answer: B Bản dịch đáp án đúng: B. Đính kèm vai trò IAM vào hàm Lambda bằng quyền DynamoDB

🇬🇧 Explanation:

• Storing AWS credentials (access keys, secrets) in code/environment is HIGH RISK
  • Exposed in git history, container images, logs
• IAM Role attached to Lambda provides temporary security credentials
  • Expires automatically (default 1 hour)
  • Rotated by AWS automatically
  • Auditable via CloudTrail
  • No hardcoding needed

Lambda function execution
        ↓
AWS STS (Security Token Service)
        ↓
Temporary credentials (valid 1 hour)
        ↓
DynamoDB access (no stored secrets)

🇻🇳 Giải thích:

• Lưu credential (access key, secret) trong code/biến môi trường là RỦI RO CAO — dễ lộ trong git history, image container, log.
• IAM Role gắn vào Lambda cấp credential tạm thời: tự hết hạn (mặc định 1 giờ), AWS tự xoay, audit được qua CloudTrail, không cần hardcode.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Hardcoding keys in code is the insecure anti-pattern / Hardcode khóa trong code là phản mẫu không an toàn.
• C — Environment variables still expose secrets in logs/config / Biến môi trường vẫn lộ secret trong log/config.
• D — Sharing a root key is the worst practice / Dùng chung khóa root là thực hành tệ nhất.

🔑 Key Concept / Khái niệm cốt lõi: Use IAM roles (temporary STS credentials), never hardcoded keys / Dùng IAM role (credential tạm STS), không bao giờ hardcode khóa.

---

Q20.

A company wants to detect unauthorized configuration changes to cloud resources in real-time. Which service provides this capability?

Bản dịch tiếng Việt: Một công ty muốn phát hiện các thay đổi cấu hình trái phép đối với tài nguyên đám mây trong thời gian thực. Dịch vụ nào cung cấp khả năng này?

A. CloudWatch Metrics B. AWS Config C. CloudTrail (API audit logs only) D. AWS Trusted Advisor

Correct answer: B Bản dịch đáp án đúng: B. Cấu hình AWS

🇬🇧 Explanation:

• AWS Config tracks configuration changes to AWS resources
  • Records: EC2 security groups changes, S3 bucket policy modifications, etc.
  • Rule-based compliance checking
  • Timeline view of all changes (who, when, what)
• CloudTrail logs API calls (not configuration state)
• CloudWatch tracks metrics, not configuration changes
• Trusted Advisor provides recommendations, not real-time detection

🇻🇳 Giải thích:

• AWS Config theo dõi thay đổi cấu hình của tài nguyên AWS: ghi lại thay đổi security group EC2, sửa bucket policy S3...; kiểm tra tuân thủ theo rule; có timeline mọi thay đổi (ai, khi nào, cái gì).

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — CloudTrail logs API calls, not configuration state over time / Ghi API call, không phải trạng thái cấu hình theo thời gian.
• C — CloudWatch tracks metrics, not configuration changes / Theo dõi metric, không phải thay đổi cấu hình.
• D — Trusted Advisor gives recommendations, not real-time change tracking / Đưa khuyến nghị, không theo dõi thay đổi thời gian thực.

🔑 Key Concept / Khái niệm cốt lõi: AWS Config = resource configuration history and compliance / AWS Config = lịch sử cấu hình tài nguyên và tuân thủ.

---

Q21. (Select TWO)

In a serverless application using Lambda + API Gateway + DynamoDB, where are security responsibilities distributed according to Shared Responsibility Model? (Select TWO)

Bản dịch tiếng Việt: Trong ứng dụng serverless sử dụng Lambda + API Gateway + DynamoDB, trách nhiệm bảo mật được phân bổ theo Mô hình trách nhiệm chung ở đâu? (Chọn HAI)

A. AWS manages Lambda runtime security and DynamoDB infrastructure B. Customer manages API authentication/authorization and application code C. AWS responsible for all application data protection D. Customer responsible for patching Lambda function dependencies E. AWS patches DynamoDB vulnerabilities but customer patches application

Correct answer: A, B Bản dịch đáp án đúng: A. AWS quản lý bảo mật thời gian chạy Lambda và cơ sở hạ tầng DynamoDB; B. Khách hàng quản lý việc xác thực/ủy quyền API và mã ứng dụng

🇬🇧 Explanation:

• A: AWS manages Lambda runtime + DynamoDB infrastructure
  • Lambda runtime patching, scaling, availability
  • DynamoDB durability, replication, backup
• B: Customer manages application security + IAM roles
  • Lambda code vulnerabilities, dependencies
  • API Gateway authentication/authorization (not AWS)
  • DynamoDB access control (who can call it)

Shared Responsibility in Serverless:
AWS handles:
├─ Lambda execution environment
├─ DynamoDB infrastructure
└─ Auto-scaling

Customer handles:
├─ Function code (vulnerabilities)
├─ IAM roles (permissions)
└─ API authentication

🇻🇳 Giải thích:

• A: AWS quản lý runtime Lambda + hạ tầng DynamoDB — vá runtime, scaling, sẵn sàng của Lambda; độ bền, replication, backup của DynamoDB.
• B: Khách hàng quản lý bảo mật ứng dụng + IAM role — lỗ hổng code và dependency của Lambda, xác thực/ủy quyền ở API Gateway, kiểm soát truy cập DynamoDB.

❌ Why others are wrong / Vì sao đáp án khác sai:

• C — AWS doesn't manage application data (customer does) / AWS không quản lý dữ liệu ứng dụng (khách hàng làm).
• D — Lambda dependencies are the customer's responsibility / Dependency của Lambda là trách nhiệm khách hàng.
• E — DynamoDB patching is AWS, but application patching is the customer / Vá DynamoDB là AWS, vá ứng dụng là khách hàng.

🔑 Key Concept / Khái niệm cốt lõi: Serverless: AWS owns runtime/infra; customer owns code, IAM, and auth / Serverless: AWS lo runtime/hạ tầng; khách hàng lo code, IAM và xác thực.

---

Q22.

An organization implements a CI/CD pipeline with CodeCommit (source) → CodeBuild (compile) → CodeDeploy (deploy). Which security practice is critical?

Bản dịch tiếng Việt: Một tổ chức triển khai quy trình CI/CD với CodeCommit (nguồn) → CodeBuild (biên dịch) → CodeDeploy (triển khai). Thực hành bảo mật nào là quan trọng?

A. Store database passwords in CodeBuild environment variables B. Use IAM roles for CodeBuild to access resources, avoid access keys C. Disable CloudTrail logging during deployments D. Skip security scanning to speed up builds

Correct answer: B Bản dịch đáp án đúng: B. Sử dụng vai trò IAM cho CodeBuild để truy cập tài nguyên, tránh khóa truy cập

🇬🇧 Explanation:

• CodeBuild compiles and tests code (often runs in Docker containers)
• Storing secrets in environment variables = exposed in build logs
• IAM roles provide temporary credentials, auditable
  • CodeBuild assumes role, gets temporary credentials
  • No secrets stored anywhere
• For sensitive data: use AWS Secrets Manager or Parameter Store

CodeBuild job
      ↓
Assume IAM role (temporary credentials)
      ↓
Access S3, RDS, secrets manager
      ↓
No hardcoded credentials in build logs

🇻🇳 Giải thích:

• CodeBuild biên dịch và test code (thường chạy trong container Docker).
• Lưu secret trong biến môi trường = lộ trong build log.
• IAM role cấp credential tạm thời, audit được: CodeBuild assume role, lấy credential tạm, không lưu secret ở đâu cả.
• Với dữ liệu nhạy cảm: dùng AWS Secrets Manager hoặc Parameter Store.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Hardcoded keys in the buildspec leak into logs / Khóa hardcode trong buildspec lộ vào log.
• C — Plaintext env variables are exposed in build output / Biến môi trường dạng plaintext lộ trong output build.
• D — A shared static key violates least privilege / Khóa tĩnh dùng chung vi phạm least privilege.

🔑 Key Concept / Khái niệm cốt lõi: Give CodeBuild an IAM role; store secrets in Secrets Manager/Parameter Store / Cấp IAM role cho CodeBuild; để secret trong Secrets Manager/Parameter Store.

---

Q23.

A company stores sensitive backup data in S3 and Glacier. How should they ensure least privilege access?

Bản dịch tiếng Việt: Một công ty lưu trữ dữ liệu sao lưu nhạy cảm trong S3 và Glacier. Làm thế nào họ nên đảm bảo quyền truy cập ít đặc quyền nhất?

A. Make all buckets public for convenience B. Use IAM policies restricting access to specific users/roles C. Rely only on Security Groups (they don't apply to S3) D. Encrypt everything but allow unrestricted IAM permissions

Correct answer: B Bản dịch đáp án đúng: B. Sử dụng chính sách IAM hạn chế quyền truy cập đối với người dùng/vai trò cụ thể

🇬🇧 Explanation:

• Bucket policies + IAM policies restrict who can access S3/Glacier
  • Specify users, roles, AWS accounts
  • Deny public access explicitly
• Encryption + unrestricted IAM = anyone with IAM permissions can decrypt
• Security Groups don't apply to S3 (S3 is not EC2)

Least privilege for S3/Glacier:
├─ Bucket Policy: Allow only specific IAM roles
├─ IAM Policy: Grant specific users/roles GetObject, ListBucket
├─ Encryption: Enable SSE-KMS with restricted key access
└─ Block Public Access: Enable (prevents accidental public exposure)

🇻🇳 Giải thích:

• Bucket policy + IAM policy giới hạn ai được truy cập S3/Glacier (chỉ định user, role, account; chặn public rõ ràng).
• Mã hóa nhưng IAM mở toang = ai có quyền IAM cũng giải mã được.
• Security Group không áp dụng cho S3 (S3 không phải EC2).

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Encryption alone with open IAM still allows broad access / Chỉ mã hóa mà IAM mở vẫn cho truy cập rộng.
• C — Security Groups don't control S3 access / Security Group không kiểm soát truy cập S3.
• D — Public bucket settings violate least privilege / Cấu hình bucket public vi phạm least privilege.

🔑 Key Concept / Khái niệm cốt lõi: Restrict S3/Glacier via bucket + IAM policies and Block Public Access / Hạn chế S3/Glacier bằng bucket + IAM policy và Block Public Access.

---

Q24. (Select TWO)

A multi-account AWS organization uses AWS Organizations and wants to enforce security policies. Which mechanisms work together? (Select TWO)

Bản dịch tiếng Việt: Tổ chức AWS có nhiều tài khoản sử dụng AWS Organizations và muốn thực thi các chính sách bảo mật. Những cơ chế nào phối hợp với nhau? (Chọn HAI)

A. Service Control Policies (SCPs) restrict which services can be used B. CloudFormation templates in each account for enforcement C. AWS Config Rules check compliance of configurations D. Direct Connect for physical network security E. Consolidated Billing for security monitoring

Correct answer: A, C Bản dịch đáp án đúng: A. Chính sách kiểm soát dịch vụ (SCP) hạn chế những dịch vụ nào có thể được sử dụng; C. Quy tắc cấu hình AWS kiểm tra sự tuân thủ của cấu hình

🇬🇧 Explanation:

• A: Service Control Policies (SCPs) are organization-wide restrictions
  • Prevents member accounts from using certain services
  • Example: Deny all actions except EC2, RDS (block expensive services)
  • Applied at organization root or OU
• C: AWS Config Rules check compliance state of resources
  • Rule: "All S3 buckets must have encryption enabled"
  • Triggers remediation or alerts
• B: CloudFormation templates enforce resource creation, not account-wide policy
• D: Direct Connect is for network, not security policy
• E: Consolidated Billing = cost aggregation, not security

🇻🇳 Giải thích:

• A: Service Control Policies (SCPs) là hạn chế ở cấp toàn tổ chức, ngăn account thành viên dùng một số dịch vụ (ví dụ chỉ cho EC2, RDS); áp ở root tổ chức hoặc OU.
• C: AWS Config Rules kiểm tra trạng thái tuân thủ của tài nguyên (ví dụ "mọi bucket S3 phải bật mã hóa"), kích hoạt remediation hoặc cảnh báo.

❌ Why others are wrong / Vì sao đáp án khác sai:

• B — CloudFormation enforces resource creation, not account-wide policy / Ép tạo tài nguyên, không phải chính sách toàn account.
• D — Direct Connect is network, not a security policy / Là mạng, không phải chính sách bảo mật.
• E — Consolidated Billing is cost aggregation, not security / Là gộp chi phí, không phải bảo mật.

🔑 Key Concept / Khái niệm cốt lõi: SCPs restrict org accounts; Config Rules enforce resource compliance / SCP hạn chế account tổ chức; Config Rules ép tuân thủ tài nguyên.

---

Q25.

A developer accidentally commits AWS access keys to a GitHub repository. What is the appropriate immediate response?

Bản dịch tiếng Việt: Nhà phát triển vô tình đưa khóa truy cập AWS vào kho lưu trữ GitHub. Phản ứng ngay lập tức thích hợp là gì?

A. Notify the security team only after investigation B. Delete the access keys from the IAM console and rotate them C. Create a new AWS account to avoid the compromised keys D. Change the password but keep the access keys active

Correct answer: B Bản dịch đáp án đúng: B. Xóa các khóa truy cập khỏi bảng điều khiển IAM và xoay chúng

🇬🇧 Explanation:

• If AWS credentials are exposed publicly (GitHub, logs):
  1. Delete the access keys immediately from IAM console
  2. Create new access keys for the application
  3. Rotate other credentials
• Do NOT wait for investigation
• Do NOT create a new account (expensive, complicated)
• Exposed keys can be used for unauthorized API calls

Exposed key detected
      ↓
DELETE the key (revoke permissions)
      ↓
CREATE new key
      ↓
UPDATE application with new key
      ↓
MONITOR CloudTrail for suspicious activity during exposure window

🇻🇳 Giải thích:

• Nếu credential AWS bị lộ công khai (GitHub, log):
  1. Xóa access key ngay trong IAM console.
  2. Tạo access key mới cho ứng dụng.
  3. Xoay các credential khác.
• ĐỪNG chờ điều tra; ĐỪNG tạo account mới (tốn kém, phức tạp). Key bị lộ có thể bị dùng để gọi API trái phép.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Waiting to investigate leaves keys active and exploitable / Chờ điều tra để key còn hoạt động, bị khai thác.
• C — Creating a new account doesn't revoke the leaked key / Tạo account mới không thu hồi key đã lộ.
• D — Ignoring it leaves an open security hole / Bỏ qua để lỗ hổng bảo mật mở.

🔑 Key Concept / Khái niệm cốt lõi: Immediately revoke and rotate exposed keys, then monitor CloudTrail / Lập tức thu hồi và xoay key bị lộ, rồi giám sát CloudTrail.

---

Q26.

An organization needs to monitor and audit all API calls made by users and services. Which service is designed for this?

Bản dịch tiếng Việt: Một tổ chức cần giám sát và kiểm tra tất cả các lệnh gọi API do người dùng và dịch vụ thực hiện. Dịch vụ nào được thiết kế cho việc này?

A. CloudWatch metrics and dashboards B. AWS CloudTrail C. AWS Config D. GuardDuty for threat detection

Correct answer: B Bản dịch đáp án đúng: B. Đường mòn đám mây AWS

🇬🇧 Explanation:

• CloudTrail is designed specifically for API audit logging
  • Records: IAM authentication, API calls, source IP, timestamp, response
  • Stored in S3 bucket (can be analyzed with Athena)
  • Can filter by user, resource, event name
• CloudWatch = metrics/performance monitoring, not API calls
• AWS Config = resource configuration changes, not API calls
• GuardDuty = threat detection ML, not raw audit logs

🇻🇳 Giải thích:

• CloudTrail được thiết kế riêng cho audit log API: ghi xác thực IAM, API call, IP nguồn, thời gian, kết quả; lưu trong S3 (phân tích bằng Athena); lọc theo user, tài nguyên, tên sự kiện.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — CloudWatch is metrics/performance, not API audit / Là metric/hiệu năng, không phải audit API.
• C — AWS Config tracks configuration changes, not API calls / Theo dõi thay đổi cấu hình, không phải API call.
• D — GuardDuty is ML threat detection, not raw audit logs / Là phát hiện mối đe dọa bằng ML, không phải log audit thô.

🔑 Key Concept / Khái niệm cốt lõi: CloudTrail is the service for recording who-did-what API activity / CloudTrail là dịch vụ ghi lại hoạt động API "ai làm gì".

---

Q27. (Select TWO)

A company implements encryption for data at-rest and in-transit. Which combinations are valid? (Select TWO)

Bản dịch tiếng Việt: Một công ty thực hiện mã hóa dữ liệu ở trạng thái nghỉ và đang truyền. Những sự kết hợp nào là hợp lệ? (Chọn HAI)

A. S3 with SSE-KMS (at-rest) + HTTPS CloudFront (in-transit) B. RDS with encrypted storage + SSL/TLS for database connections C. EBS volumes without encryption for performance D. DynamoDB with point-in-time recovery (not encryption) E. API Gateway with WAF for API protection (encryption auxiliary)

Correct answer: A, B Bản dịch đáp án đúng: A. S3 với SSE-KMS (ở trạng thái lưu trữ) + HTTPS CloudFront (đang chuyển tiếp); B. RDS với bộ lưu trữ được mã hóa + SSL/TLS cho kết nối cơ sở dữ liệu

🇬🇧 Explanation:

• A: S3 + SSE-KMS (at-rest) + CloudFront HTTPS (in-transit)
  • Data encrypted at rest in S3 buckets
  • CloudFront to end-user communication: HTTPS only
  • Custom SSL certificate for domain
• B: RDS encrypted storage + SSL/TLS database connections
  • RDS: enable encryption at rest (EBS volumes encrypted)
  • Database connections: enforce SSL/TLS (prevent plaintext queries)
  • Parameter group: require_secure_transport=true
• C: EBS without encryption = security gap
• D: DynamoDB point-in-time recovery = backup, not encryption
• E: WAF is for DDoS/web attacks, auxiliary to encryption

🇻🇳 Giải thích:

• A: S3 + SSE-KMS (at-rest) + CloudFront HTTPS (in-transit) — dữ liệu mã hóa khi nghỉ trong S3; CloudFront tới người dùng cuối chỉ qua HTTPS; dùng SSL cert riêng cho domain.
• B: RDS bật mã hóa storage + kết nối DB qua SSL/TLS — RDS bật encryption at rest (EBS mã hóa); ép kết nối SSL/TLS (chặn query plaintext); parameter group đặt require_secure_transport=true.

❌ Why others are wrong / Vì sao đáp án khác sai:

• C — EBS without encryption is a security gap / EBS không mã hóa là lỗ hổng bảo mật.
• D — DynamoDB point-in-time recovery is backup, not encryption / PITR của DynamoDB là backup, không phải mã hóa.
• E — WAF defends against web/DDoS attacks, not encryption / WAF chống tấn công web/DDoS, không phải mã hóa.

🔑 Key Concept / Khái niệm cốt lõi: Encrypt at-rest (SSE-KMS, RDS) and in-transit (HTTPS, SSL/TLS) / Mã hóa khi nghỉ (SSE-KMS, RDS) và khi truyền (HTTPS, SSL/TLS).

---

Q28.

An employee leaves the company. What is the first action to secure AWS account access?

Bản dịch tiếng Việt: Một nhân viên rời khỏi công ty. Hành động đầu tiên để bảo mật quyền truy cập tài khoản AWS là gì?

A. Disable their IAM user account immediately B. Remove MFA device from their account C. Delete their access keys D. Rotate their password

Correct answer: A Bản dịch đáp án đúng: A. Vô hiệu hóa tài khoản người dùng IAM của họ ngay lập tức

🇬🇧 Explanation:

• When employee leaves: DISABLE IAM user immediately
  • Prevents any further access
  • Disable login credentials (password)
  • Deactivate access keys
  • Remove from IAM groups
• Then optionally:
  • Delete access keys
  • Review CloudTrail for suspicious activity during notice period
  • Revoke temporary credentials

Employee departing
      ↓
DISABLE IAM user
      ↓
Remove from groups
      ↓
Deactivate access keys
      ↓
Delete access keys (optional, post-audit)

🇻🇳 Giải thích:

• Khi nhân viên nghỉ: vô hiệu hóa IAM user ngay để chặn truy cập tiếp — tắt mật khẩu đăng nhập, deactivate access key, gỡ khỏi IAM group.
• Sau đó (tùy chọn): xóa access key, rà CloudTrail xem hoạt động bất thường trong thời gian báo nghỉ, thu hồi credential tạm.

❌ Why others are wrong / Vì sao đáp án khác sai:

• B — Deleting only the password leaves access keys active / Chỉ xóa mật khẩu thì access key vẫn hoạt động.
• C — Waiting leaves a window for misuse / Chờ đợi để lại khoảng thời gian bị lạm dụng.
• D — Doing nothing leaves the account exploitable / Không làm gì khiến account bị khai thác.

🔑 Key Concept / Khái niệm cốt lõi: Disable the IAM user immediately, then clean up keys and groups / Vô hiệu hóa IAM user ngay, rồi dọn key và group.

---

Q29.

A company wants to prevent accidental public exposure of sensitive S3 data. Which AWS service automatically blocks public access?

Bản dịch tiếng Việt: Một công ty muốn ngăn chặn việc vô tình để lộ dữ liệu nhạy cảm của S3 ra công chúng. Dịch vụ AWS nào tự động chặn quyền truy cập công cộng?

A. CloudFront B. Route 53 C. S3 Block Public Access setting D. Security Group

Correct answer: C Bản dịch đáp án đúng: C. Cài đặt chặn quyền truy cập công cộng của S3

🇬🇧 Explanation:

• S3 Block Public Access is a setting that:
  • Blocks public bucket policies
  • Blocks public object ACLs
  • Prevents accidental exposure
  • Applied at account or bucket level
• Enabled by default for new AWS accounts (since 2019)
• CloudFront, Route 53 = delivery, not access control
• Security Groups don't apply to S3

🇻🇳 Giải thích:

• S3 Block Public Access là thiết lập: chặn bucket policy public, chặn object ACL public, ngăn lộ dữ liệu vô tình; áp ở cấp account hoặc bucket.
• Mặc định bật cho account AWS mới (từ 2019). CloudFront, Route 53 là giao nội dung, không kiểm soát truy cập; Security Group không áp dụng cho S3.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — CloudFront delivers content, doesn't block public access / Giao nội dung, không chặn truy cập public.
• B — Security Groups don't apply to S3 / Không áp dụng cho S3.
• D — Route 53 is DNS, not access control / Là DNS, không kiểm soát truy cập.

🔑 Key Concept / Khái niệm cốt lõi: S3 Block Public Access prevents accidental public exposure / S3 Block Public Access ngăn lộ public vô tình.

---

Q30. (Select TWO)

A multi-tier application spans EC2, RDS, and Lambda. Security responsibilities are distributed as follows: (Select TWO)

Bản dịch tiếng Việt: Ứng dụng nhiều tầng trải rộng trên EC2, RDS và Lambda. Trách nhiệm bảo mật được phân bổ như sau: (Chọn HAI)

A. AWS patches the RDS database engine B. Customer must manually patch EC2 operating system C. AWS automatically updates Lambda function dependencies D. Customer manages IAM roles for EC2 to access RDS E. AWS controls all network traffic between EC2 and RDS

Correct answer: A, B Bản dịch đáp án đúng: A. AWS vá công cụ cơ sở dữ liệu RDS; B. Khách hàng phải vá hệ điều hành EC2 theo cách thủ công

🇬🇧 Explanation:

• A: AWS patches RDS database engine (database engine = managed service)
  • AWS responsibility: PostgreSQL/MySQL versions, patches
• B: Customer must patch EC2 operating system
  • Windows Server, Linux kernel updates = customer responsibility
  • EC2 = Infrastructure as a Service (you manage OS)
• C: Lambda dependencies = customer responsibility (AWS manages runtime only)
• D: Correct, but answer wants the pair about patching responsibility
• E: Network traffic = AWS manages connectivity, but not all security

Shared Responsibility - Patching:
RDS (Managed) → AWS patches engine
EC2 (IaaS) → Customer patches OS
Lambda (Serverless) → AWS patches runtime, customer patches code deps

🇻🇳 Giải thích:

• A: AWS vá database engine của RDS (engine là dịch vụ được quản lý) — AWS lo phiên bản và bản vá PostgreSQL/MySQL.
• B: Khách hàng phải vá hệ điều hành EC2 — cập nhật Windows Server, kernel Linux là trách nhiệm khách hàng; EC2 là IaaS (bạn quản OS).

❌ Why others are wrong / Vì sao đáp án khác sai:

• C — Lambda code dependencies are the customer's, not the patching pair asked / Dependency code Lambda là của khách, không phải cặp patching được hỏi.
• D — True but not the patching-responsibility pair requested / Đúng nhưng không phải cặp trách nhiệm vá được hỏi.
• E — Network connectivity is AWS-managed but not the patching focus / Kết nối mạng do AWS quản, không phải trọng tâm vá.

🔑 Key Concept / Khái niệm cốt lõi: AWS patches managed engines (RDS); customer patches EC2 OS / AWS vá engine được quản lý (RDS); khách hàng vá OS của EC2.

---

Q31.

A company integrates third-party APIs with AWS services using Lambda. How should they secure API keys?

Bản dịch tiếng Việt: Một công ty tích hợp API của bên thứ ba với các dịch vụ AWS bằng Lambda. Họ nên bảo mật khóa API như thế nào?

A. Store keys in plain text in code B. Use AWS Secrets Manager to store and rotate keys C. Store keys in S3 unencrypted D. Print keys in CloudWatch logs for debugging

Correct answer: B Bản dịch đáp án đúng: B. Sử dụng AWS Secrets Manager để lưu trữ và xoay khóa

🇬🇧 Explanation:

• AWS Secrets Manager stores, rotates, retrieves secrets
  • API keys, database passwords, OAuth tokens
  • Automatic rotation (configurable)
  • Audited via CloudTrail
  • Encrypted with KMS
• Parameter Store (alternative in Systems Manager)
  • Free tier, fewer features
  • No automatic rotation in free version
• Never store secrets in:
  • Code (git history)
  • Environment variables (build logs)
  • Unencrypted files

🇻🇳 Giải thích:

• AWS Secrets Manager lưu, xoay và lấy secret (API key, mật khẩu DB, OAuth token); tự động xoay (cấu hình được); audit qua CloudTrail; mã hóa bằng KMS.
• Parameter Store (trong Systems Manager) là lựa chọn thay thế: có free tier, ít tính năng hơn, bản free không tự xoay.
• Đừng bao giờ để secret trong: code (git history), biến môi trường (build log), file không mã hóa.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Hardcoding in code leaks via git history / Hardcode trong code lộ qua git history.
• C — Plaintext config files are insecure / File config dạng plaintext không an toàn.
• D — Environment variables expose secrets in logs / Biến môi trường lộ secret trong log.

🔑 Key Concept / Khái niệm cốt lõi: Secrets Manager stores, encrypts, and auto-rotates secrets / Secrets Manager lưu, mã hóa và tự xoay secret.

---

Q32.

An organization uses EventBridge to trigger Lambda functions on CloudWatch alarms. Which security aspect is critical?

Bản dịch tiếng Việt: Một tổ chức sử dụng EventBridge để kích hoạt các chức năng Lambda trên cảnh báo CloudWatch. Khía cạnh bảo mật nào là quan trọng?

A. Enable public access to Lambda functions B. Ensure Lambda has IAM permissions only for required actions C. Store event payloads unencrypted in SQS D. Use EventBridge without authentication

Correct answer: B Bản dịch đáp án đúng: B. Đảm bảo Lambda chỉ có quyền IAM cho các hành động bắt buộc

🇬🇧 Explanation:

• When EventBridge triggers Lambda:
  • Lambda must have IAM role with invocation permission
  • Event payload = data passed to Lambda
  • Lambda can only access resources it has IAM permissions for
• Public access to Lambda = allows anyone to invoke (bad)
• SQS unencrypted = exposes messages in transit
• EventBridge without auth = allows public events (usually OK for internal)

EventBridge rule
      ↓
Assumes IAM role
      ↓
Invokes Lambda with event payload
      ↓
Lambda reads/modifies data based on IAM role

🇻🇳 Giải thích:

• Khi EventBridge kích hoạt Lambda: Lambda phải có IAM role với quyền invoke; event payload là dữ liệu truyền vào Lambda; Lambda chỉ truy cập được tài nguyên mà IAM cho phép.
• Mở public cho Lambda = ai cũng invoke được (xấu); SQS không mã hóa = lộ message khi truyền.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Making Lambda public lets anyone invoke it / Mở public cho phép bất kỳ ai invoke.
• C — Leaving SQS unencrypted exposes messages / Không mã hóa SQS làm lộ message.
• D — Disabling IAM auth weakens the trust boundary / Tắt xác thực IAM làm yếu ranh giới tin cậy.

🔑 Key Concept / Khái niệm cốt lõi: Use a scoped IAM role for the EventBridge→Lambda flow, not public access / Dùng IAM role giới hạn cho luồng EventBridge→Lambda, không mở public.

---

Q33. (Select TWO)

A healthcare provider stores HIPAA-regulated data in AWS. Which security practices are mandatory? (Select TWO)

Bản dịch tiếng Việt: Nhà cung cấp dịch vụ chăm sóc sức khỏe lưu trữ dữ liệu do HIPAA quản lý trong AWS. Những thực hành bảo mật nào là bắt buộc? (Chọn HAI)

A. Enable S3 encryption with SSE-KMS B. Enable AWS CloudTrail to log all API calls C. Allow public internet access for compliance visibility D. Implement IAM access controls and least privilege E. Disable MFA for administrator accounts for faster access

Correct answer: A, B Bản dịch đáp án đúng: A. Kích hoạt mã hóa S3 với SSE-KMS; B. Kích hoạt AWS CloudTrail để ghi nhật ký tất cả lệnh gọi API

🇬🇧 Explanation:

• A: S3 encryption with SSE-KMS required for HIPAA
  • Data at rest must be encrypted
  • Customer-managed keys for audit compliance
• B: CloudTrail logging required for HIPAA
  • Records all data access (API calls)
  • Tamper-proof audit trail in S3
  • Required for compliance audits
• C: Public internet access = HIPAA violation (data must be private)
• D: Correct but implied by SSE-KMS
• E: No MFA = major security gap, violates compliance

🇻🇳 Giải thích:

• A: Mã hóa S3 bằng SSE-KMS là bắt buộc cho HIPAA — dữ liệu khi nghỉ phải mã hóa; dùng khóa do khách quản lý để audit tuân thủ.
• B: Bật CloudTrail logging là bắt buộc cho HIPAA — ghi mọi truy cập dữ liệu (API call); audit trail chống giả mạo trong S3; cần cho audit tuân thủ.

❌ Why others are wrong / Vì sao đáp án khác sai:

• C — Public internet access violates HIPAA (data must be private) / Truy cập internet công khai vi phạm HIPAA.
• D — Correct but already implied by SSE-KMS encryption / Đúng nhưng đã ngụ ý trong SSE-KMS.
• E — No MFA is a major gap that violates compliance / Không MFA là lỗ hổng lớn, vi phạm tuân thủ.

🔑 Key Concept / Khái niệm cốt lõi: HIPAA needs SSE-KMS encryption + CloudTrail audit logging / HIPAA cần mã hóa SSE-KMS + audit log CloudTrail.

---

Q34.

A company wants to monitor database activity for compliance. Which service logs database queries and access?

Bản dịch tiếng Việt: Một công ty muốn giám sát hoạt động cơ sở dữ liệu để đảm bảo tuân thủ. Dịch vụ nào ghi lại các truy vấn và truy cập cơ sở dữ liệu?

A. CloudWatch (general metrics only) B. CloudTrail (API calls only) C. Enhanced Monitoring in RDS or DynamoDB D. S3 access logs

Correct answer: C Bản dịch đáp án đúng: C. Giám sát nâng cao trong RDS hoặc DynamoDB

🇬🇧 Explanation:

• Enhanced Monitoring in RDS logs database activity
  • Query logs (for MySQL, PostgreSQL)
  • Slow query logs
  • Connection logs
• CloudWatch = metrics only (CPU, memory)
• CloudTrail = AWS API calls, not database queries
• S3 access logs = S3 API calls, not database

🇻🇳 Giải thích:

• Enhanced Monitoring / log của RDS ghi hoạt động database: query log (MySQL, PostgreSQL), slow query log, connection log.
• CloudWatch chỉ là metric (CPU, memory); CloudTrail là API call AWS chứ không phải query DB; S3 access log là API call S3 chứ không phải database.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — CloudWatch shows metrics, not actual queries / Chỉ hiện metric, không phải query thực.
• B — CloudTrail logs AWS API calls, not DB queries / Ghi API call AWS, không phải query DB.
• D — S3 access logs cover S3, not the database / Bao phủ S3, không phải database.

🔑 Key Concept / Khái niệm cốt lõi: RDS logging/Enhanced Monitoring captures DB-level query activity / Log/Enhanced Monitoring của RDS bắt hoạt động query cấp database.

---

Q35.

An organization deploys resources across multiple regions and needs to ensure compliance configurations are consistent. Which service helps?

Bản dịch tiếng Việt: Một tổ chức triển khai các tài nguyên trên nhiều khu vực và cần đảm bảo cấu hình tuân thủ nhất quán. Dịch vụ nào giúp ích?

A. AWS Trusted Advisor (best practices only) B. AWS Config for multi-region configuration tracking C. VPC Flow Logs (network traffic only) D. CloudFormation StackSets (partially)

Correct answer: B Bản dịch đáp án đúng: B. AWS Config để theo dõi cấu hình đa vùng

🇬🇧 Explanation:

• AWS Config tracks resource configuration across regions
  • Config Rules run queries: "List all S3 buckets without encryption"
  • Aggregator = multi-region compliance check
  • Audit multi-region compliance posture
• Trusted Advisor = recommendations, not continuous compliance
• VPC Flow Logs = network traffic, not configurations
• CloudFormation StackSets = deployment, not audit

🇻🇳 Giải thích:

• AWS Config theo dõi cấu hình tài nguyên trên nhiều region: Config Rules chạy truy vấn (ví dụ "liệt kê mọi bucket S3 chưa mã hóa"); Aggregator gom kiểm tra tuân thủ đa region; audit tư thế tuân thủ đa region.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Trusted Advisor gives recommendations, not continuous compliance / Đưa khuyến nghị, không tuân thủ liên tục.
• C — VPC Flow Logs cover network traffic, not configurations / Bao phủ traffic mạng, không phải cấu hình.
• D — CloudFormation StackSets deploy, they don't audit / Để triển khai, không phải audit.

🔑 Key Concept / Khái niệm cốt lõi: AWS Config (with aggregator) audits configuration compliance across regions / AWS Config (kèm aggregator) audit tuân thủ cấu hình đa region.

---

Q36. (Select TWO)

In a Kinesis Data Streams → Lambda → DynamoDB architecture, where are security responsibilities? (Select TWO)

Bản dịch tiếng Việt: Trong Kiến trúc Kinesis Data Streams → Lambda → DynamoDB, trách nhiệm bảo mật nằm ở đâu? (Chọn HAI)

A. AWS secures Kinesis infrastructure and DynamoDB durability B. Customer implements Lambda IAM role with DynamoDB permissions C. Customer manages data encryption in application code D. AWS automatically encrypts all data in transit E. Customer responsible for Kinesis partition key design for security

Correct answer: A, B Bản dịch đáp án đúng: A. AWS bảo đảm cơ sở hạ tầng Kinesis và độ bền của DynamoDB; B. Khách hàng triển khai vai trò Lambda IAM với quyền DynamoDB

🇬🇧 Explanation:

• A: AWS secures Kinesis + DynamoDB infrastructure
  • Stream durability, replication
  • DynamoDB availability, backup
• B: Customer implements Lambda IAM role
  • Role must permit: GetRecords on Kinesis, PutItem on DynamoDB
  • Least privilege (specific stream ARN, table name)
• C: Encryption in Lambda code = customer responsibility
• D: Data encryption in transit = AWS manages Kinesis → Lambda → DynamoDB (TLS)
• E: Partition key is application design, not security

🇻🇳 Giải thích:

• A: AWS bảo vệ hạ tầng Kinesis + DynamoDB — độ bền và replication của stream; sẵn sàng và backup của DynamoDB.
• B: Khách hàng cấu hình IAM role cho Lambda — role phải cho phép GetRecords trên Kinesis, PutItem trên DynamoDB; theo least privilege (ARN stream, tên table cụ thể).

❌ Why others are wrong / Vì sao đáp án khác sai:

• C — Encryption inside Lambda code is the customer's, but not the responsibility pair asked / Mã hóa trong code Lambda là của khách, không phải cặp được hỏi.
• D — In-transit TLS across the pipeline is AWS-managed / TLS khi truyền trong pipeline do AWS quản.
• E — Partition key is application design, not a security control / Partition key là thiết kế ứng dụng, không phải kiểm soát bảo mật.

🔑 Key Concept / Khái niệm cốt lõi: AWS secures the streaming infra; customer sets least-privilege Lambda IAM roles / AWS bảo vệ hạ tầng streaming; khách hàng đặt IAM role Lambda theo least privilege.

---

Domain 3: Cloud Technology and Services (Q37–Q58)

Q37.

A company wants to process millions of image uploads automatically. Which architecture is most cost-effective and scalable?

Bản dịch tiếng Việt: Một công ty muốn tự động xử lý hàng triệu hình ảnh được tải lên. Kiến trúc nào tiết kiệm chi phí và có khả năng mở rộng nhất?

A. EC2 instances polling S3 for new objects B. S3 event notifications → Lambda → Rekognition → DynamoDB C. API Gateway → ECS → RDS D. Batch jobs on EC2 reserved instances

Correct answer: B Bản dịch đáp án đúng: B. Thông báo sự kiện S3 → Lambda → Rekognition → DynamoDB

Workflow: User uploads image → S3 → Event → Lambda → Rekognition → DynamoDB

🇬🇧 Explanation:

1. User uploads image to S3
         ↓
2. S3 event notification → Lambda (automatic, no polling)
         ↓
3. Lambda calls Rekognition API
         ↓
4. Rekognition returns labels (dog, grass, person)
         ↓
5. Lambda stores metadata in DynamoDB
         ↓
6. Response to user

Why this wins:

• Serverless (Lambda + DynamoDB = auto-scale)
• Event-driven (S3 events trigger, no polling)
• Fully managed (no EC2 to manage)
• Cost-effective (pay per invocation)

🇻🇳 Giải thích:

• Luồng: người dùng upload ảnh → S3 → S3 event → Lambda (tự động, không polling) → gọi Rekognition (trả về nhãn: dog, grass, person) → ghi metadata vào DynamoDB → trả kết quả.
• Vì sao tốt nhất: serverless (Lambda + DynamoDB tự co giãn), hướng sự kiện (S3 event kích hoạt), được quản lý hoàn toàn (không quản EC2), tiết kiệm chi phí (trả theo lần invoke).

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Polling/EC2-based designs aren't event-driven or serverless / Thiết kế polling/EC2 không hướng sự kiện, không serverless.
• C — Adds unnecessary servers to manage / Thêm server phải quản lý không cần thiết.
• D — Misses the automatic S3-event trigger / Bỏ lỡ trigger tự động từ S3 event.

🔑 Key Concept / Khái niệm cốt lõi: S3 event → Lambda → Rekognition → DynamoDB is the serverless image pipeline / Đây là pipeline xử lý ảnh serverless.

---

Q38. (Select TWO)

A real-time analytics platform needs to ingest streaming data from IoT sensors, process it, and display on a dashboard. Which services are essential? (Select TWO)

Bản dịch tiếng Việt: Nền tảng phân tích thời gian thực cần nhập dữ liệu phát trực tuyến từ các cảm biến IoT, xử lý dữ liệu đó và hiển thị trên trang tổng quan. Những dịch vụ nào là thiết yếu? (Chọn HAI)

A. Amazon Kinesis Data Streams for ingestion B. Amazon Kinesis Data Firehose to deliver to S3 / Redshift C. Amazon QuickSight to ingest the raw IoT sensor stream D. AWS Lambda Layer for storage E. Amazon Athena for batch queries

Correct answer: A, B Bản dịch đáp án đúng: A. Luồng dữ liệu Amazon Kinesis để nhập; B. Amazon Kinesis Data Firehose sẽ phân phối tới S3 / Redshift

🇬🇧 Explanation:

• A: Kinesis Data Streams ingests IoT sensor data in real-time
  • Producers publish sensor readings (temperature, humidity)
  • Consumers pull records (Lambda, analytics applications)
• B: Kinesis Data Firehose buffers stream data → S3/Redshift
  • Batching for efficient storage
  • Optional Lambda transformation
  • Automatic delivery (no consumer code)

IoT sensors
    ↓
Kinesis Data Streams (real-time ingestion)
    ↓
Kinesis Data Firehose (buffer + deliver)
    ↓
S3 / Redshift (then visualize downstream)

🇻🇳 Giải thích:

• A: Kinesis Data Streams thu nhận dữ liệu cảm biến IoT theo thời gian thực — producer gửi số đo (nhiệt độ, độ ẩm); consumer kéo record (Lambda, ứng dụng phân tích).
• B: Kinesis Data Firehose đệm dữ liệu stream rồi giao về S3/Redshift — gom batch để lưu hiệu quả, có thể transform bằng Lambda, tự động giao (không cần code consumer).

❌ Why others are wrong / Vì sao đáp án khác sai:

• C — QuickSight is a BI/visualization service; it cannot ingest a raw IoT stream / QuickSight là dịch vụ BI/trực quan hóa, không thể trực tiếp thu nhận luồng IoT thô.
• D — Lambda Layer is a code library, not storage / Lambda Layer là thư viện code, không phải lưu trữ.
• E — Athena runs batch queries on S3, not real-time ingestion / Athena chạy truy vấn batch trên S3, không phải thu nhận thời gian thực.

🔑 Key Concept / Khái niệm cốt lõi: Kinesis Streams ingests; Firehose buffers and delivers to S3/Redshift / Streams thu nhận; Firehose đệm và giao về S3/Redshift.

---

Q39.

A startup deploys a web application using API Gateway, Lambda, and DynamoDB. How should they troubleshoot slow API responses?

Bản dịch tiếng Việt: Một công ty khởi nghiệp triển khai ứng dụng web bằng API Gateway, Lambda và DynamoDB. Họ nên khắc phục sự cố phản hồi API chậm như thế nào?

A. Increase EC2 instance size B. Enable CloudWatch Logs for Lambda and check metrics (duration, throttles, errors) C. Add more DynamoDB provisioned capacity without investigation D. Switch to RDS for better performance

Correct answer: B Bản dịch đáp án đúng: B. Bật Nhật ký CloudWatch cho Lambda và kiểm tra số liệu (thời lượng, mức điều tiết, lỗi)

🇬🇧 Explanation:

• CloudWatch Logs tracks Lambda execution
  • Duration (how long each invocation takes)
  • Errors (exceptions, timeouts)
  • Throttles (concurrent execution limits)
• CloudWatch Metrics shows:
  • Invocations per second
  • Error rate
  • Duration percentiles (p50, p99)
• X-Ray tracing (bonus) shows service dependencies:
  • API Gateway → Lambda → DynamoDB latency breakdown

Slow API response detected
      ↓
Enable CloudWatch Logs for Lambda
      ↓
Check:
├─ Duration (is Lambda slow?)
├─ Errors (is DynamoDB throwing errors?)
├─ Throttles (is concurrent limit hit?)
└─ DynamoDB throttles (read/write capacity exceeded?)
      ↓
Optimize:
├─ Increase Lambda timeout/memory
├─ Increase DynamoDB provisioned capacity
└─ Add API Gateway caching

🇻🇳 Giải thích:

• CloudWatch Logs theo dõi việc chạy Lambda: duration (mỗi lần invoke mất bao lâu), lỗi (exception, timeout), throttle (giới hạn chạy đồng thời).
• CloudWatch Metrics hiển thị: số invoke/giây, tỉ lệ lỗi, percentile duration (p50, p99).
• X-Ray tracing (thêm) hiện phụ thuộc dịch vụ: phân rã độ trễ API Gateway → Lambda → DynamoDB.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — CloudTrail audits API calls, it doesn't profile latency / CloudTrail audit API call, không đo độ trễ.
• C — VPC Flow Logs are network-level, not app latency / Là cấp mạng, không phải độ trễ ứng dụng.
• D — Config tracks configuration, not performance / Theo dõi cấu hình, không phải hiệu năng.

🔑 Key Concept / Khái niệm cốt lõi: Use CloudWatch Logs/Metrics (and X-Ray) to find serverless latency bottlenecks / Dùng CloudWatch Logs/Metrics (và X-Ray) tìm nút thắt độ trễ serverless.

---

Q40.

A company wants to migrate a 50 TB database from Oracle on-premises to AWS with minimal downtime. Which service is most suitable?

Bản dịch tiếng Việt: Một công ty muốn di chuyển cơ sở dữ liệu 50 TB từ Oracle tại chỗ sang AWS với thời gian ngừng hoạt động ở mức tối thiểu. Dịch vụ nào phù hợp nhất?

A. AWS Snowball for one-time data transfer B. AWS Database Migration Service (DMS) for live migration C. AWS DataSync for incremental sync D. Manual EC2 import with SQL files

Correct answer: B Bản dịch đáp án đúng: B. Dịch vụ di chuyển cơ sở dữ liệu AWS (DMS) để di chuyển trực tiếp

🇬🇧 Explanation:

• AWS Database Migration Service (DMS) is designed for live database migration
  • Handles heterogeneous migrations (Oracle → PostgreSQL, MySQL → Aurora)
  • Minimal downtime (change data capture)
  • Continuous replication during cutover
• AWS Snowball = one-time bulk data transfer (not for live DB)
• AWS DataSync = incremental file sync (not databases)
• Manual import = time-consuming, error-prone

Oracle (on-premises, 50 TB)
    ↓
DMS migration task
├─ Full load (copy data)
└─ CDC (capture ongoing changes)
    ↓
AWS RDS (PostgreSQL)
    ↓
Verify data, cutover

🇻🇳 Giải thích:

• AWS DMS được thiết kế cho migrate database trực tiếp: xử lý migrate khác loại (Oracle → PostgreSQL, MySQL → Aurora); downtime tối thiểu nhờ change data capture (CDC); replicate liên tục trong lúc cutover.
• Snowball là chuyển dữ liệu khối một lần (không cho DB live); DataSync là đồng bộ file gia tăng (không phải database); import thủ công thì chậm và dễ lỗi.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Snowball is bulk one-time transfer, not live DB migration / Là chuyển khối một lần, không phải migrate DB live.
• C — DataSync syncs files, not databases / Đồng bộ file, không phải database.
• D — Manual import is slow and error-prone / Import thủ công chậm và dễ lỗi.

🔑 Key Concept / Khái niệm cốt lõi: DMS does live heterogeneous DB migration with CDC and minimal downtime / DMS migrate DB khác loại trực tiếp với CDC và downtime tối thiểu.

---

Q41. (Select THREE)

An organization runs containerized microservices and needs orchestration, load balancing, and auto-scaling. Which components are essential? (Select THREE)

Bản dịch tiếng Việt: Một tổ chức chạy các dịch vụ vi mô được đóng gói và cần điều phối, cân bằng tải và tự động thay đổi quy mô. Những thành phần nào là thiết yếu? (Chọn BA)

A. Amazon ECR for image storage B. Amazon ECS / EKS for orchestration C. Application Load Balancer (ALB) for traffic distribution D. AWS Lambda for container management E. Amazon S3 for code storage

Correct answer: A, B, C Bản dịch đáp án đúng: A. Amazon ECR để lưu trữ hình ảnh; B. Amazon ECS / EKS để điều phối; C. Cân bằng tải ứng dụng (ALB) để phân phối lưu lượng truy cập

🇬🇧 Explanation:

• A: ECR (Elastic Container Registry) stores Docker images
  • Private image registry
  • Integrates with ECS/EKS
  • Encryption, access control
• B: ECS/EKS orchestrates containers
  • ECS = AWS-native orchestration
  • EKS = Kubernetes (portable, complex)
• C: ALB (Application Load Balancer) distributes traffic
  • Routes to ECS tasks/pods
  • Health checks
  • Auto-scaling based on metrics

Docker image
    ↓
ECR (registry)
    ↓
ECS Task Definition (image, CPU, memory, port)
    ↓
ECS Service (running tasks, auto-scaling)
    ↓
ALB (distributes traffic to tasks)
    ↓
Consumers

🇻🇳 Giải thích:

• A: ECR lưu Docker image — registry riêng tư, tích hợp ECS/EKS, có mã hóa và kiểm soát truy cập.
• B: ECS/EKS điều phối container — ECS là điều phối AWS-native; EKS là Kubernetes (di động, phức tạp hơn).
• C: ALB phân phối traffic — định tuyến tới task/pod của ECS, health check, auto-scaling theo metric.

❌ Why others are wrong / Vì sao đáp án khác sai:

• D — Lambda is not container orchestration / Lambda không phải điều phối container.
• E — S3 is object storage, not a container code/image repository / S3 là lưu trữ object, không phải repository image container.

🔑 Key Concept / Khái niệm cốt lõi: ECR (registry) + ECS/EKS (orchestration) + ALB (traffic) form the container stack / ECR + ECS/EKS + ALB tạo nên stack container.

---

Q42.

A company processes financial transactions and needs a low-latency, NoSQL database with strong consistency. Which AWS database is best?

Bản dịch tiếng Việt: Một công ty xử lý các giao dịch tài chính và cần cơ sở dữ liệu NoSQL có độ trễ thấp với tính nhất quán cao. Cơ sở dữ liệu AWS nào tốt nhất?

A. Amazon Redshift (slow, analytical) B. Amazon DynamoDB with strong consistency (eventually consistent by default, but DynamoDB has strong consistency option) C. Amazon RDS PostgreSQL with foreign keys D. Amazon ElastiCache (in-memory cache, not primary database)

Correct answer: B Bản dịch đáp án đúng: B. Amazon DynamoDB có tính nhất quán cao (cuối cùng nhất quán theo mặc định, nhưng DynamoDB có tùy chọn tính nhất quán mạnh)

🇬🇧 Explanation:

• Low-latency NoSQL with strong consistency = DynamoDB with strong consistency option
  • Single-digit millisecond response time
  • Eventual consistency (default) vs Strong consistency (higher latency)
  • Financial transactions = need strong consistency
  • ACID transactions via TransactWriteItems API
• Redshift = analytical (slow, batch queries)
• RDS = relational (good, but network latency between app and RDS)
• ElastiCache = cache, not primary database

Financial transaction
    ↓
DynamoDB with strong consistency read
    ├─ Read latest value (single digit ms)
    ├─ Not stale data from eventual consistency
    └─ ACID transaction semantics
    ↓
Update balance (atomic)

🇻🇳 Giải thích:

• NoSQL độ trễ thấp + nhất quán mạnh = DynamoDB bật strong consistency — phản hồi mili-giây một chữ số; eventual consistency (mặc định) so với strong consistency (độ trễ cao hơn); giao dịch tài chính cần strong consistency; ACID qua API TransactWriteItems.
• Redshift là phân tích (chậm, query batch); RDS là quan hệ (tốt nhưng có độ trễ mạng giữa app và RDS); ElastiCache là cache, không phải DB chính.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Redshift is for analytics, not low-latency transactions / Dùng cho phân tích, không phải giao dịch độ trễ thấp.
• C — RDS adds relational/network latency vs DynamoDB / Có độ trễ quan hệ/mạng so với DynamoDB.
• D — ElastiCache is a cache, not a durable primary store / Là cache, không phải kho chính bền.

🔑 Key Concept / Khái niệm cốt lõi: DynamoDB with strongly consistent reads gives single-digit-ms NoSQL with ACID / DynamoDB với strong consistency cho NoSQL mili-giây kèm ACID.

---

Q43.

A startup needs to deliver video content globally with minimal latency. Which combination optimizes this?

Bản dịch tiếng Việt: Một công ty khởi nghiệp cần cung cấp nội dung video trên toàn cầu với độ trễ tối thiểu. Sự kết hợp nào tối ưu hóa điều này?

A. S3 bucket in us-east-1 only B. S3 + CloudFront + Route 53 with latency-based routing C. EC2 instances in every region D. RDS Multi-Master across regions

Correct answer: B Bản dịch đáp án đúng: B. S3 + CloudFront + Route 53 với định tuyến dựa trên độ trễ

🇬🇧 Explanation:

• S3 + CloudFront + Route 53 = global content delivery

User in Sydney requests video
    ↓
Route 53 (DNS) → latency-based routing
    ↓
Nearest CloudFront edge (Sydney)
    ├─ Cache hit? → serve from edge (fast)
    └─ Cache miss? → fetch from S3 origin
    ↓
User gets video (low latency, cached)

• CloudFront = 200+ edge locations globally
• Route 53 latency routing = users routed to nearest edge
• S3 = single origin bucket (can be any region)

🇻🇳 Giải thích:

• S3 + CloudFront + Route 53 = giao nội dung toàn cầu.
• Người dùng ở Sydney yêu cầu video → Route 53 (DNS) latency-based routing → edge CloudFront gần nhất (Sydney) → cache hit thì phục vụ từ edge (nhanh), cache miss thì lấy từ origin S3 → người dùng nhận video độ trễ thấp.
• CloudFront có hơn 200 edge location; Route 53 latency routing đưa người dùng tới edge gần nhất; S3 là origin bucket duy nhất (region nào cũng được).

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — A single server/region has no global edge caching / Một server/region đơn không có cache edge toàn cầu.
• C — Lacks the CDN edge layer for low latency / Thiếu lớp edge CDN cho độ trễ thấp.
• D — Doesn't use CloudFront for global delivery / Không dùng CloudFront cho giao toàn cầu.

🔑 Key Concept / Khái niệm cốt lõi: S3 origin + CloudFront edges + Route 53 latency routing = low-latency global video / S3 origin + edge CloudFront + Route 53 latency routing = video toàn cầu độ trễ thấp.

---

Q44. (Select TWO)

A company implements a three-tier architecture: ELB (load balancer) → EC2 ASG (application) → RDS Multi-AZ (database). Which capabilities does this provide? (Select TWO)

Bản dịch tiếng Việt: Một công ty triển khai kiến ​​trúc ba tầng: ELB (bộ cân bằng tải) → EC2 ASG (ứng dụng) → RDS Multi-AZ (cơ sở dữ liệu). Điều này cung cấp những khả năng nào? (Chọn HAI)

A. Auto-scaling based on CPU utilization B. High availability across multiple Availability Zones C. Automatic database failover to standby D. Guaranteed zero-second recovery time E. Cross-region disaster recovery automatic failover

Correct answer: A, B Bản dịch đáp án đúng: A. Tự động mở rộng quy mô dựa trên việc sử dụng CPU; B. Tính sẵn sàng cao trên nhiều Availability Zone

🇬🇧 Explanation:

• ELB (Elastic Load Balancer) distributes traffic
  • Health checks to EC2 instances
  • Automatically removes unhealthy instances
• EC2 ASG (Auto Scaling Group) adds/removes instances
  • Scales based on CPU utilization, request count
  • Maintains minimum/maximum instances
• RDS Multi-AZ provides high availability
  • Synchronous replication to standby
  • Automatic failover (~2 minutes)

Multiple AZs:
┌─ AZ-A ─────────┐
│ ELB             │
│ ↓              │
│ EC2 instances  │
│ (ASG)          │
└─────────────────┘

┌─ AZ-B ─────────┐
│ EC2 instances  │
│ (ASG)          │
└─────────────────┘

    RDS (Primary)
         ↓ (sync replication)
    RDS (Standby, different AZ)
         ↓ (failover if primary fails)
    RDS (new Primary)

🇻🇳 Giải thích:

• ELB phân phối traffic — health check tới EC2, tự gỡ instance không khỏe.
• EC2 ASG (Auto Scaling Group) thêm/bớt instance — co giãn theo CPU, số request; giữ số instance min/max.
• RDS Multi-AZ cung cấp HA — replication đồng bộ tới standby, tự failover (~2 phút).

❌ Why others are wrong / Vì sao đáp án khác sai:

• C — Zero-second recovery is impossible; failover takes ~2 min / Phục hồi 0 giây là bất khả thi; failover mất ~2 phút.
• D — Cross-region failover needs extra setup (not automatic with Multi-AZ) / Failover cross-region cần thiết lập thêm, không tự động với Multi-AZ.

🔑 Key Concept / Khái niệm cốt lõi: ELB + EC2 ASG (multi-AZ) + RDS Multi-AZ = highly available three-tier app / ELB + EC2 ASG (đa AZ) + RDS Multi-AZ = ứng dụng ba lớp HA.

---

Q45.

An organization wants to store relational data with automatic backups, failover, and read replicas. Which service is ideal?

Bản dịch tiếng Việt: Một tổ chức muốn lưu trữ dữ liệu quan hệ bằng các bản sao lưu tự động, chuyển đổi dự phòng và bản sao đọc. Dịch vụ nào là lý tưởng?

A. Amazon S3 (object storage, not relational) B. Amazon RDS with Multi-AZ and read replicas C. Amazon DynamoDB (NoSQL) D. Amazon Redshift (data warehouse, not OLTP)

Correct answer: B Bản dịch đáp án đúng: B. Amazon RDS với Multi-AZ và bản sao đọc

🇬🇧 Explanation:

• RDS with Multi-AZ and Read Replicas
  • Multi-AZ = high availability (synchronous replication + auto-failover)
  • Read replicas = scale read performance (replicate to another AZ/region)
  • Automatic backups (daily snapshots)
  • Point-in-time recovery (PITR)
• S3 = object storage (not relational, not ACID transactions)
• DynamoDB = NoSQL (different query model, eventual consistency by default)
• Redshift = data warehouse (not for transactional OLTP)

🇻🇳 Giải thích:

• RDS với Multi-AZ và Read Replica — Multi-AZ cho HA (replication đồng bộ + tự failover); read replica để mở rộng đọc (sao chép tới AZ/region khác); backup tự động (snapshot hàng ngày); point-in-time recovery (PITR).
• S3 là lưu trữ object (không quan hệ, không ACID); DynamoDB là NoSQL (mô hình query khác, mặc định eventual consistency); Redshift là data warehouse (không cho OLTP giao dịch).

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — S3 isn't a relational, transactional database / Không phải database quan hệ, giao dịch.
• C — DynamoDB is NoSQL, not relational / Là NoSQL, không phải quan hệ.
• D — Redshift is a warehouse for analytics, not OLTP / Là kho phân tích, không phải OLTP.

🔑 Key Concept / Khái niệm cốt lõi: RDS Multi-AZ (HA) + Read Replicas (read scaling) for managed relational workloads / RDS Multi-AZ (HA) + Read Replica (mở rộng đọc) cho workload quan hệ được quản lý.

---

Q46.

A data science team wants to query historical data in S3 using SQL without setting up a data warehouse. Which service fits best?

Bản dịch tiếng Việt: Nhóm khoa học dữ liệu muốn truy vấn dữ liệu lịch sử trong S3 bằng SQL mà không cần thiết lập kho dữ liệu. Dịch vụ nào phù hợp nhất?

A. Amazon Redshift (requires provisioning) B. Amazon Athena (serverless SQL on S3) C. RDS (requires database setup) D. DynamoDB (NoSQL, not SQL)

Correct answer: B Bản dịch đáp án đúng: B. Amazon Athena (SQL không có máy chủ trên S3)

🇬🇧 Explanation:

• Amazon Athena = serverless SQL engine
  • Query S3 data using standard SQL
  • No data warehouse to provision
  • Pay per byte scanned
  • Results cached in S3 for cost optimization

Historical data in S3 (CSV, JSON, Parquet)
    ↓
Athena (serverless SQL)
    ↓
SELECT * FROM s3://bucket/data WHERE year = 2023
    ↓
Results (can export to CSV, visualize in QuickSight)

• Redshift = requires cluster provisioning (even with auto-scaling)
• RDS = relational but requires database setup
• DynamoDB = NoSQL (not SQL queries)

🇻🇳 Giải thích:

• Amazon Athena = engine SQL serverless — truy vấn dữ liệu S3 bằng SQL chuẩn, không cần dựng data warehouse, trả tiền theo byte quét, kết quả cache trong S3 để tối ưu chi phí.
• Redshift cần dựng cluster (kể cả có auto-scaling); RDS là quan hệ nhưng phải dựng database; DynamoDB là NoSQL (không phải SQL query).

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Redshift requires cluster provisioning / Cần dựng cluster.
• C — RDS requires database setup and management / Cần dựng và quản lý database.
• D — DynamoDB uses NoSQL queries, not ad-hoc SQL on S3 / Dùng query NoSQL, không phải SQL tùy biến trên S3.

🔑 Key Concept / Khái niệm cốt lõi: Athena runs serverless ad-hoc SQL directly on S3 data / Athena chạy SQL tùy biến serverless trực tiếp trên dữ liệu S3.

---

Q47. (Select THREE)

A company wants to implement a message-driven architecture where SNS distributes events and SQS decouples downstream consumers. Which benefits does this provide? (Select THREE)

Bản dịch tiếng Việt: Một công ty muốn triển khai kiến ​​trúc hướng thông điệp trong đó SNS phân phối các sự kiện và SQS tách riêng người tiêu dùng ở hạ nguồn. Điều này mang lại những lợi ích gì? (Chọn BA)

A. Loose coupling between services B. Guaranteed exactly-once message delivery C. Automatic message retry and dead-letter queues D. Synchronous request-response pattern E. Serverless scaling with no provisioning

Correct answer: A, C, E Bản dịch đáp án đúng: A. Khớp nối lỏng lẻo giữa các dịch vụ; C. Tự động thử lại tin nhắn và xếp hàng thư chết; E. Mở rộng quy mô không có máy chủ mà không cần cung cấp

🇬🇧 Explanation:

• SNS (Pub/Sub) + SQS (Queue) = decoupled architecture

Event Source
    ↓
SNS topic (fanout)
    ├─→ SQS queue-1 (consumer A polls)
    ├─→ SQS queue-2 (consumer B polls)
    └─→ Email (direct subscriber)

• A: Loose coupling
  • Consumers don't know about each other
  • Can scale independently
  • Failure in one consumer doesn't affect others
• C: Automatic retry + dead-letter queues
  • SQS retries failed messages (configurable visibility timeout)
  • Dead-letter queue captures failed messages (after max retries)
  • Manual investigation of poisoned messages
• E: Serverless scaling
  • No provisioning needed
  • Auto-scales to millions of messages
  • Pay per message
• B: Exactly-once = impossible in distributed systems (at-least-once is guaranteed)
• D: Async pattern, not sync request-response

🇻🇳 Giải thích:

• SNS (Pub/Sub) + SQS (Queue) = kiến trúc tách rời.
• A: Loose coupling — các consumer không biết về nhau, co giãn độc lập, một consumer hỏng không ảnh hưởng cái khác.
• C: Tự động retry + dead-letter queue — SQS thử lại message lỗi (visibility timeout cấu hình được); DLQ giữ message lỗi sau số lần thử tối đa để điều tra.
• E: Co giãn serverless — không cần cấp phát, tự co giãn tới hàng triệu message, trả tiền theo message.

❌ Why others are wrong / Vì sao đáp án khác sai:

• B — Exactly-once is impossible in distributed systems; only at-least-once is guaranteed / Exactly-once bất khả thi trong hệ phân tán; chỉ đảm bảo at-least-once.
• D — This is an async pattern, not synchronous request-response / Đây là mẫu bất đồng bộ, không phải request-response đồng bộ.

🔑 Key Concept / Khái niệm cốt lõi: SNS+SQS give loose coupling, retries/DLQ, and serverless scaling / SNS+SQS cho loose coupling, retry/DLQ và co giãn serverless.

---

Q48.

An application stores large amounts of infrequently accessed data. Which S3 storage class minimizes costs?

Bản dịch tiếng Việt: Một ứng dụng lưu trữ một lượng lớn dữ liệu được truy cập không thường xuyên. Lớp lưu trữ S3 nào giảm thiểu chi phí?

A. S3 Standard B. S3 Standard-IA C. S3 Glacier Flexible Retrieval (for archival, retrieval in minutes to hours) D. S3 Glacier Deep Archive (for compliance, retrieval up to 12-48 hours)

Correct answer: C Bản dịch đáp án đúng: C. Truy xuất linh hoạt S3 Glacier (để lưu trữ, truy xuất trong vài phút đến vài giờ)

🇬🇧 Explanation:

• S3 Glacier Flexible Retrieval balances cost + retrieval time
  • Infrequent access (months between retrievals)
  • Retrieval time: minutes to hours (Expedited 1–5 min, Standard 3–5 hours, Bulk 5–12 hours)
  • Cost: very low (much cheaper than Standard)
  • Best fit for infrequently accessed data that minimizes cost while still allowing reasonably fast retrieval
• S3 Standard = expensive for archived data
• S3 Standard-IA = millisecond retrieval, but higher per-GB storage than Glacier
• Glacier Deep Archive = lowest storage cost but slowest (Standard up to 12 hours, Bulk up to 48 hours) — suited for rarely-accessed long-term compliance archives

Data lifecycle:
Days 0-30: S3 Standard (active access)
Days 31-90: S3 Standard-IA (infrequent)
Days 91+: S3 Glacier Flexible Retrieval (archive, minimal cost, retrieval in minutes to hours)

🇻🇳 Giải thích:

• S3 Glacier Flexible Retrieval cân bằng chi phí và thời gian truy xuất — truy cập không thường xuyên (hàng tháng); thời gian truy xuất vài phút đến vài giờ (Expedited 1–5 phút, Standard 3–5 giờ, Bulk 5–12 giờ); chi phí rất thấp (rẻ hơn nhiều so với Standard); phù hợp dữ liệu ít truy cập, tối thiểu chi phí mà vẫn truy xuất khá nhanh.
• S3 Standard đắt cho dữ liệu lưu trữ; S3 Standard-IA truy xuất tức thì (mili-giây) nhưng lưu trữ đắt hơn Glacier; Glacier Deep Archive chi phí lưu trữ thấp nhất nhưng truy xuất chậm nhất (Standard tới 12 giờ, Bulk tới 48 giờ), hợp với lưu trữ tuân thủ dài hạn ít truy cập.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — S3 Standard is expensive for rarely accessed archives / Đắt cho dữ liệu lưu trữ ít truy cập.
• B — Standard-IA costs more per-GB to store than Glacier / Lưu trữ đắt hơn Glacier mỗi GB.
• D — Glacier Deep Archive is cheapest but retrieval is slowest (hours to ~48h) / Rẻ nhất nhưng truy xuất chậm nhất (vài giờ đến ~48 giờ).

🔑 Key Concept / Khái niệm cốt lõi: Glacier Flexible Retrieval balances low cost with minutes-to-hours retrieval / Glacier Flexible Retrieval cân bằng chi phí thấp với truy xuất vài phút đến vài giờ.

---

Q49.

A company runs batch processing jobs nightly that take 2 hours and can tolerate interruptions. Which EC2 pricing model minimizes cost?

Bản dịch tiếng Việt: Một công ty thực hiện các công việc xử lý hàng loạt hàng đêm, mất 2 giờ và có thể chịu đựng được sự gián đoạn. Mô hình định giá EC2 nào giúp giảm thiểu chi phí?

A. On-Demand instances B. Reserved Instances (long-term commitment) C. Spot Instances (up to 90% discount, can be interrupted) D. Dedicated Hosts

Correct answer: C Bản dịch đáp án đúng: C. Phiên bản Spot (giảm giá tới 90%, có thể bị gián đoạn)

🇬🇧 Explanation:

• Spot Instances = up to 90% discount
  • AWS can reclaim anytime (2-min notice)
  • Batch processing = fault-tolerant (can retry if interrupted)
  • Nightly job that can be interrupted & restarted = ideal
• On-Demand = expensive ($0.10/hr → $1/hr)
• Reserved Instances = for steady, long-term workloads
• Dedicated Hosts = most expensive (license compliance)

Nightly batch job
    ↓
Launch Spot instance
    ├─ 90% discount ($0.03/hr instead of $0.30/hr)
    └─ If interrupted, restart (automatic retry via ASG)
    ↓
Job completes in 2 hours, instance terminated
    ↓
Next night, repeat

🇻🇳 Giải thích:

• Spot Instances = giảm tới 90% — AWS có thể thu hồi bất cứ lúc nào (báo trước 2 phút); xử lý batch chịu lỗi tốt (interrupt thì retry); job chạy đêm có thể bị ngắt và khởi động lại = lý tưởng.
• On-Demand đắt; Reserved Instances cho workload ổn định, dài hạn; Dedicated Hosts đắt nhất (tuân thủ license).

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — On-Demand is the most expensive option here / Là lựa chọn đắt nhất ở đây.
• B — Reserved Instances suit steady, always-on workloads / Hợp workload ổn định, luôn chạy.
• D — Dedicated Hosts are the most expensive (license use cases) / Đắt nhất (dùng cho tuân thủ license).

🔑 Key Concept / Khái niệm cốt lõi: Spot Instances are cheapest for fault-tolerant, interruptible batch jobs / Spot rẻ nhất cho job batch chịu lỗi, có thể bị ngắt.

---

Q50. (Select TWO)

A web application needs session management and high-speed data access. Which services work together? (Select TWO)

Bản dịch tiếng Việt: Một ứng dụng web cần quản lý phiên và truy cập dữ liệu tốc độ cao. Những dịch vụ nào hoạt động cùng nhau? (Chọn HAI)

A. API Gateway for session routing B. ElastiCache for storing session data C. DynamoDB for session storage D. RDS only (slower than cache) E. CloudFront for session management

Correct answer: B, C Bản dịch đáp án đúng: B. ElastiCache để lưu trữ dữ liệu phiên; C. DynamoDB để lưu trữ phiên

🇬🇧 Explanation:

• Session management needs fast, temporary storage
• B: ElastiCache (Redis)
  • In-memory cache (microseconds)
  • Session data: user_id → session_token, shopping_cart
  • Automatic expiration (TTL)
  • Sub-millisecond response
• C: DynamoDB
  • NoSQL (alternative)
  • Single-digit ms
  • Can store session as key-value
  • TTL attribute for automatic cleanup
• A: API Gateway = routing, not session storage
• D: RDS = network latency, slower than cache
• E: CloudFront = CDN (not session storage)

User login
    ↓
Generate session token
    ↓
Store in ElastiCache/DynamoDB (with TTL)
    ↓
Subsequent requests use token (fast cache lookup)
    ↓
Session expires (TTL triggers cleanup)

🇻🇳 Giải thích:

• Quản lý session cần lưu trữ nhanh, tạm thời.
• B: ElastiCache (Redis) — cache in-memory (micro-giây); lưu session (user_id → session_token, giỏ hàng); tự hết hạn (TTL); phản hồi dưới mili-giây.
• C: DynamoDB — NoSQL thay thế; mili-giây một chữ số; lưu session dạng key-value; thuộc tính TTL tự dọn dẹp.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — API Gateway routes requests, it doesn't store sessions / Định tuyến request, không lưu session.
• D — RDS adds network latency and is slower than a cache / Có độ trễ mạng, chậm hơn cache.
• E — CloudFront is a CDN, not session storage / Là CDN, không phải lưu session.

🔑 Key Concept / Khái niệm cốt lõi: ElastiCache or DynamoDB (with TTL) are the fast session stores / ElastiCache hoặc DynamoDB (kèm TTL) là kho session nhanh.

---

Q51.

A company wants to schedule AWS Lambda functions to run at specific times (e.g., nightly backups). Which service enables this?

Bản dịch tiếng Việt: Một công ty muốn lên lịch để các chức năng AWS Lambda chạy vào những thời điểm cụ thể (ví dụ: sao lưu hàng đêm). Dịch vụ nào cho phép điều này?

A. CloudWatch Events / EventBridge with schedule rules B. S3 lifecycle policies C. Auto Scaling policies D. SQS batch operations

Correct answer: A Bản dịch đáp án đúng: A. CloudWatch Events / EventBridge với các quy tắc lịch trình

🇬🇧 Explanation:

• CloudWatch Events / EventBridge with schedule rules
  • Cron expressions: cron(0 2 * * ? *) = 2 AM daily
  • Can trigger Lambda, EC2, SNS, etc.
• S3 lifecycle = only for object transitions (not Lambda)
• Auto Scaling = reacts to metrics, not scheduled
• SQS = messaging, not scheduling

EventBridge Rule:
├─ Name: nightly-backup
├─ Schedule: cron(0 2 * * ? *) [2 AM UTC daily]
└─ Target: Lambda function backup-rds
    ↓
Lambda runs nightly backup:
├─ RDS snapshot
├─ EBS snapshots
└─ Upload to S3

🇻🇳 Giải thích:

• CloudWatch Events / EventBridge với schedule rule — biểu thức cron (cron(0 2 * * ? *) = 2 giờ sáng hằng ngày); có thể kích hoạt Lambda, EC2, SNS...
• S3 lifecycle chỉ chuyển tầng object (không gọi Lambda); Auto Scaling phản ứng theo metric chứ không theo lịch; SQS là messaging, không phải lập lịch.

❌ Why others are wrong / Vì sao đáp án khác sai:

• B — S3 lifecycle only transitions objects, it can't run Lambda / Chỉ chuyển tầng object, không chạy Lambda.
• C — Auto Scaling reacts to metrics, not a fixed schedule / Phản ứng theo metric, không theo lịch cố định.
• D — SQS is messaging, not a scheduler / Là messaging, không phải bộ lập lịch.

🔑 Key Concept / Khái niệm cốt lõi: EventBridge scheduled (cron) rules trigger Lambda for nightly jobs / Rule lịch (cron) của EventBridge kích hoạt Lambda cho job hằng đêm.

---

Q52.

An organization needs to encrypt data in transit between EC2 and RDS. Which approach is best?

Bản dịch tiếng Việt: Tổ chức cần mã hóa dữ liệu khi truyền giữa EC2 và RDS. Cách tiếp cận nào là tốt nhất?

A. Disable encryption for performance B. Use Security Groups only (not encryption) C. Enable RDS encryption at-rest + SSL/TLS connections D. Store credentials in plaintext in EC2 user data

Correct answer: C Bản dịch đáp án đúng: C. Bật mã hóa RDS ở trạng thái lưu trữ + kết nối SSL/TLS

🇬🇧 Explanation:

• RDS encryption at-rest (EBS volumes encrypted)
• SSL/TLS for database connections (in-transit encryption)
  • Application → RDS over encrypted tunnel
  • Parameter group: enforce SSL (require_secure_transport)
  • Self-signed or certificate-based SSL

EC2 application
    ↓
SSL/TLS connection (encrypted)
    ↓
RDS endpoint (decrypt, execute query)
    ↓
Encrypted EBS volume (data at rest)

• Disabling encryption = data exposure risk
• Security Groups = network filtering (not encryption)
• Plaintext credentials = authentication bypass

🇻🇳 Giải thích:

• RDS mã hóa at-rest (volume EBS được mã hóa) kết hợp SSL/TLS cho kết nối database (mã hóa khi truyền): ứng dụng → RDS qua đường mã hóa; parameter group ép SSL (require_secure_transport); dùng SSL tự ký hoặc theo chứng chỉ.
• Tắt mã hóa = rủi ro lộ dữ liệu; Security Group là lọc mạng (không phải mã hóa); credential plaintext = bỏ qua xác thực.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Disabling encryption exposes data / Tắt mã hóa làm lộ dữ liệu.
• B — Security Groups filter network traffic, they don't encrypt / Lọc traffic mạng, không mã hóa.
• D — Plaintext credentials bypass proper authentication / Credential plaintext bỏ qua xác thực đúng.

🔑 Key Concept / Khái niệm cốt lõi: Secure RDS with at-rest encryption plus SSL/TLS in-transit / Bảo mật RDS bằng mã hóa at-rest cộng SSL/TLS khi truyền.

---

Q53. (Select TWO)

A company implements a CI/CD pipeline: CodeCommit → CodeBuild → CodeDeploy → production. Which services handle each stage? (Select TWO)

Bản dịch tiếng Việt: Một công ty triển khai quy trình CI/CD: CodeCommit → CodeBuild → CodeDeploy → sản xuất. Những dịch vụ nào xử lý từng giai đoạn? (Chọn HAI)

A. CodeCommit stores source code B. CodeBuild compiles and tests code C. CodeDeploy distributes code to EC2, On-Premises, Lambda D. CodePipeline orchestrates the entire workflow E. CloudFormation replaces CodeDeploy

Correct answer: A, B Bản dịch đáp án đúng: A. CodeCommit lưu trữ mã nguồn; B. CodeBuild biên dịch và kiểm tra mã

🇬🇧 Explanation:

• CodeCommit = source control (Git repository)
• CodeBuild = build/compile (runs in Docker, executes tests)
• CodeDeploy = deploy (distributes artifacts to EC2, on-prem, Lambda)
• CodePipeline = orchestration (connects all stages)

Developer commits code
    ↓
CodeCommit (repository)
    ↓
CodePipeline detects change (trigger)
    ↓
CodeBuild (compile, test, package)
    ↓
CodeDeploy (deploy to EC2/Lambda/on-prem)
    ↓
Production running

• C: CodeDeploy correct but answer seeks 2 services
• D: CodePipeline correct (orchestrator) but usually paired with CodeBuild/Deploy
• E: CloudFormation = IaC, different use case

🇻🇳 Giải thích:

• CodeCommit = quản lý mã nguồn (Git repository).
• CodeBuild = build/biên dịch (chạy trong Docker, thực thi test).
• CodeDeploy = triển khai (phân phối artifact tới EC2, on-prem, Lambda).
• CodePipeline = điều phối (nối tất cả các stage).

❌ Why others are wrong / Vì sao đáp án khác sai:

• C — CodeDeploy is valid but the question wants this specific pair / Hợp lệ nhưng câu hỏi cần đúng cặp này.
• D — CodePipeline orchestrates and is usually paired with Build/Deploy / Điều phối, thường ghép với Build/Deploy.
• E — CloudFormation is IaC, a different use case / Là IaC, use case khác.

🔑 Key Concept / Khái niệm cốt lõi: CodeCommit (source) + CodeBuild (build/test) anchor the AWS CI/CD pipeline / CodeCommit (nguồn) + CodeBuild (build/test) là nền của pipeline CI/CD AWS.

---

Q54.

A company wants to monitor application logs from multiple EC2 instances and Lambda functions centrally. Which service aggregates logs?

Bản dịch tiếng Việt: Một công ty muốn giám sát nhật ký ứng dụng từ nhiều phiên bản EC2 và hàm Lambda một cách tập trung. Dịch vụ nào tổng hợp nhật ký?

A. CloudTrail (API audit logs only) B. CloudWatch Logs (centralized application log aggregation) C. VPC Flow Logs (network traffic only) D. S3 access logs (S3 only)

Correct answer: B Bản dịch đáp án đúng: B. CloudWatch Logs (tập hợp nhật ký ứng dụng tập trung)

🇬🇧 Explanation:

• CloudWatch Logs aggregates logs from multiple sources
  • Log groups (per application)
  • Log streams (per instance/Lambda)
  • Log insights for searching (filter @duration > 100)
  • Can send to S3, Kinesis, Lambda
• CloudTrail = AWS API audit logs (not application logs)
• VPC Flow Logs = network traffic only
• S3 = destination for logs, not aggregation

EC2 instance A → CloudWatch Logs (Log Group: App A)
EC2 instance B → CloudWatch Logs (Log Group: App A)
Lambda func    → CloudWatch Logs (Log Group: Lambda)
    ↓
CloudWatch Logs Insights (search all logs)
    ↓
Find errors, performance issues

🇻🇳 Giải thích:

• CloudWatch Logs tổng hợp log từ nhiều nguồn: log group (theo ứng dụng), log stream (theo instance/Lambda), Logs Insights để tìm kiếm (filter @duration > 100); có thể gửi tiếp tới S3, Kinesis, Lambda.
• CloudTrail là audit log API AWS (không phải log ứng dụng); VPC Flow Logs chỉ là traffic mạng; S3 là đích lưu log chứ không phải nơi tổng hợp.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — CloudTrail logs API calls, not application logs / Ghi API call, không phải log ứng dụng.
• C — VPC Flow Logs cover network traffic only / Chỉ bao phủ traffic mạng.
• D — S3 stores logs but doesn't aggregate/search them / Lưu log nhưng không tổng hợp/tìm kiếm.

🔑 Key Concept / Khái niệm cốt lõi: CloudWatch Logs aggregates and searches application logs across sources / CloudWatch Logs tổng hợp và tìm kiếm log ứng dụng từ nhiều nguồn.

---

Q55.

An organization deploys a static website and wants to ensure high availability and low latency globally. Which architecture is most appropriate?

Bản dịch tiếng Việt: Một tổ chức triển khai một trang web tĩnh và muốn đảm bảo tính sẵn sàng cao và độ trễ thấp trên toàn cầu. Kiến trúc nào phù hợp nhất?

A. Single EC2 instance with Elastic IP B. S3 bucket + CloudFront + Route 53 C. RDS multi-master replication D. Direct Connect only

Correct answer: B Bản dịch đáp án đúng: B. Nhóm S3 + CloudFront + Route 53

🇬🇧 Explanation:

• S3 + CloudFront + Route 53 = global, highly available static website

Static website files (HTML, CSS, JS)
    ↓
S3 bucket (origin storage)
    ↓
CloudFront distribution
├─ 200+ edge locations globally
├─ Caches static assets
└─ Serves from nearest edge
    ↓
Route 53 (custom domain)
├─ Global DNS service (100+ locations)
└─ Health checks to CloudFront
    ↓
Global users
├─ Low latency (served from edge)
├─ High availability (multi-regional)
└─ Highly scalable (no server management)

• A: Single EC2 = no global distribution, single point of failure
• C: RDS = database (not needed for static website)
• D: Direct Connect = on-prem connectivity (not CDN)

🇻🇳 Giải thích:

• S3 + CloudFront + Route 53 = website tĩnh toàn cầu, sẵn sàng cao.
• File website tĩnh → S3 (origin) → CloudFront (hơn 200 edge, cache asset tĩnh, phục vụ từ edge gần nhất) → Route 53 (DNS toàn cầu, custom domain, health check tới CloudFront) → người dùng toàn cầu nhận độ trễ thấp, HA, dễ co giãn (không quản server).

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — A single EC2 is a single point of failure with no global edge / Một EC2 là điểm hỏng đơn, không có edge toàn cầu.
• C — RDS isn't needed for a static website / Không cần cho website tĩnh.
• D — Direct Connect is on-prem connectivity, not a CDN / Là kết nối on-prem, không phải CDN.

🔑 Key Concept / Khái niệm cốt lõi: S3 + CloudFront + Route 53 deliver a global, HA static website / S3 + CloudFront + Route 53 cho website tĩnh toàn cầu, HA.

---

Q56. (Select TWO)

A company uses VPC endpoints to privately connect to AWS services without internet routing. Which scenarios benefit most? (Select TWO)

Bản dịch tiếng Việt: Một công ty sử dụng điểm cuối VPC để kết nối riêng với các dịch vụ AWS mà không cần định tuyến internet. Kịch bản nào có lợi nhất? (Chọn HAI)

A. EC2 accessing S3 without NAT Gateway B. On-premises securely accessing DynamoDB C. Lambda calling SQS privately within VPC D. Public API calls from external users E. DMS replicating to RDS without internet exposure

Correct answer: A, C Bản dịch đáp án đúng: A. EC2 truy cập S3 mà không cần Cổng NAT; C. Lambda gọi SQS riêng tư trong VPC

🇬🇧 Explanation:

• VPC endpoints allow private connectivity to AWS services
  • No internet routing, no NAT Gateway/instance needed
  • Gateway endpoints (S3, DynamoDB)
  • Interface endpoints (SNS, SQS, Kinesis, etc.)
• A: EC2 → S3 without NAT Gateway
  • Gateway endpoint for S3
  • EC2 (private subnet) accesses S3 privately
  • No data traverses internet
• C: Lambda → SQS privately
  • Interface endpoint for SQS
  • Lambda (in VPC) sends messages to SQS privately
  • No internet exposure
• B: On-prem is outside VPC (different mechanism: Site-to-Site VPN or Direct Connect)
• D: Public APIs = explicitly for external users (not a VPC endpoint benefit)
• E: DMS can use VPC endpoints (correct usage, but less common)

🇻🇳 Giải thích:

• VPC endpoint cho phép kết nối riêng tư tới dịch vụ AWS — không định tuyến qua internet, không cần NAT Gateway/instance; gateway endpoint (S3, DynamoDB) và interface endpoint (SNS, SQS, Kinesis...).
• A: EC2 → S3 không cần NAT Gateway — gateway endpoint cho S3; EC2 ở private subnet truy cập S3 riêng tư, dữ liệu không đi qua internet.
• C: Lambda → SQS riêng tư — interface endpoint cho SQS; Lambda (trong VPC) gửi message tới SQS riêng tư, không lộ ra internet.

❌ Why others are wrong / Vì sao đáp án khác sai:

• B — On-prem is outside the VPC (use VPN/Direct Connect, not VPC endpoints) / On-prem ở ngoài VPC (dùng VPN/Direct Connect).
• D — Public APIs are for external users, not a VPC endpoint benefit / API public cho người dùng ngoài, không phải lợi ích của VPC endpoint.
• E — DMS can use endpoints but it's a less common case here / DMS dùng được endpoint nhưng ít phổ biến ở tình huống này.

🔑 Key Concept / Khái niệm cốt lõi: VPC endpoints give private (no-internet) access from VPC to S3/SQS/etc. / VPC endpoint cho truy cập riêng tư (không internet) từ VPC tới S3/SQS...

---

Q57.

A company wants to store temporary session data with automatic expiration (e.g., 1-hour timeout). Which service is ideal?

Bản dịch tiếng Việt: Một công ty muốn lưu trữ dữ liệu phiên tạm thời có thời gian hết hạn tự động (ví dụ: hết thời gian 1 giờ). Dịch vụ nào là lý tưởng?

A. S3 Standard (no automatic expiration) B. DynamoDB with TTL (Time-to-Live) attribute C. RDS with cron jobs D. EBS snapshots

Correct answer: B Bản dịch đáp án đúng: B. DynamoDB có thuộc tính TTL (Thời gian tồn tại)

🇬🇧 Explanation:

• DynamoDB with TTL (Time-to-Live) attribute
  • Stores session with TTL = current time + 3600 seconds (1 hour)
  • DynamoDB automatically deletes expired items
  • No manual cleanup code needed
  • Example: session_id (pk) → token, timestamp, ttl (1 hour from now)

User login
    ↓
DynamoDB: PutItem
├─ session_id: "abc123"
├─ user_id: "user@example.com"
├─ ttl: 1686700800 (Unix timestamp, 1 hour from now)
    ↓
1 hour later
    ↓
DynamoDB auto-deletes expired item (TTL)
    ↓
User session invalid

• S3 = no TTL (must use lifecycle policies, not for session data)
• RDS = manual cleanup (cron jobs, more overhead)
• EBS = persistent storage (not session data)

🇻🇳 Giải thích:

• DynamoDB với thuộc tính TTL (Time-to-Live) — lưu session với TTL = thời gian hiện tại + 3600 giây (1 giờ); DynamoDB tự xóa item hết hạn; không cần code dọn dẹp thủ công; ví dụ session_id (pk) → token, timestamp, ttl (1 giờ sau).
• S3 không có TTL (phải dùng lifecycle, không hợp cho session); RDS phải dọn thủ công (cron job, tốn công); EBS là lưu trữ bền (không phải dữ liệu session).

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — S3 has no item TTL; lifecycle policies don't fit session data / Không có TTL theo item; lifecycle không hợp dữ liệu session.
• C — RDS needs manual cleanup jobs / Cần job dọn dẹp thủ công.
• D — EBS is persistent block storage, not session storage / Là block storage bền, không phải lưu session.

🔑 Key Concept / Khái niệm cốt lõi: DynamoDB TTL auto-expires session items with no cleanup code / TTL của DynamoDB tự xóa session, không cần code dọn dẹp.

---

Q58. (Select TWO)

An organization implements infrastructure-as-code for repeatable deployments. Which approaches are valid? (Select TWO)

Bản dịch tiếng Việt: Một tổ chức triển khai cơ sở hạ tầng dưới dạng mã để triển khai lặp lại. Những cách tiếp cận nào là hợp lệ? (Chọn HAI)

A. AWS CloudFormation with JSON/YAML templates B. AWS CDK with Python/TypeScript for infrastructure C. Manual console clicks (not IaC) D. AWS Elastic Beanstalk for application deployment E. AWS Systems Manager for patch automation

Correct answer: A, B Bản dịch đáp án đúng: A. AWS CloudFormation với các mẫu JSON/YAML; B. AWS CDK với Python/TypeScript cho cơ sở hạ tầng

🇬🇧 Explanation:

• Infrastructure as Code (IaC) = define infrastructure as code, reproducible
• A: CloudFormation (JSON/YAML)
  • Declarative templates
  • Supports all AWS services
  • Stack management (create, update, delete)
• B: AWS CDK (Python/TypeScript)
  • Imperative code
  • Synthesizes CloudFormation templates
  • Code reuse, abstraction

IaC workflow:
├─ CloudFormation
│  ├─ Write template.yaml (S3 bucket, RDS, EC2)
│  └─ Deploy stack (infrastructure created)
│
└─ CDK
   ├─ Write Python code (class MyApp extends Stack)
   └─ cdk synth → CloudFormation → Deploy

• C: Manual console = not IaC
• D: Elastic Beanstalk = application deployment (not IaC, though can use CloudFormation)
• E: Systems Manager = patching/automation (not IaC)

🇻🇳 Giải thích:

• Infrastructure as Code (IaC) = định nghĩa hạ tầng bằng code, tái lập được.
• A: CloudFormation (JSON/YAML) — template khai báo (declarative), hỗ trợ mọi dịch vụ AWS, quản lý stack (tạo/cập nhật/xóa).
• B: AWS CDK (Python/TypeScript) — code mệnh lệnh (imperative), tổng hợp ra template CloudFormation, tái sử dụng code và trừu tượng hóa.

❌ Why others are wrong / Vì sao đáp án khác sai:

• C — Manual console clicks are not IaC / Bấm tay trên console không phải IaC.
• D — Elastic Beanstalk deploys apps; it isn't an IaC tool / Triển khai ứng dụng, không phải công cụ IaC.
• E — Systems Manager is for patching/automation, not IaC / Dùng cho patching/tự động hóa, không phải IaC.

🔑 Key Concept / Khái niệm cốt lõi: CloudFormation and CDK are the AWS IaC tools / CloudFormation và CDK là công cụ IaC của AWS.

---

Domain 4: Billing, Pricing, and Support (Q59–Q65)

Q59.

A company runs a production database on RDS Multi-AZ and wants to optimize costs for a 3-year commitment. Which pricing model reduces cost most?

Bản dịch tiếng Việt: Một công ty vận hành cơ sở dữ liệu sản xuất trên RDS Multi-AZ và muốn tối ưu hóa chi phí cho cam kết 3 năm. Mô hình định giá nào giảm chi phí nhất?

A. On-Demand hourly billing B. Reserved Instances with 3-year commitment (60% discount) C. Spot instances (not suitable for production) D. Savings Plans (less discount than RI for RDS)

Correct answer: B Bản dịch đáp án đúng: B. Phiên bản dự trữ có cam kết 3 năm (giảm giá 60%)

🇬🇧 Explanation:

• Reserved Instances (3-year commitment) provide deepest discount
  • RDS RI: 60% discount vs On-Demand
  • Example: $1.00/hour On-Demand → $0.40/hour RI 3yr
  • Commitment = trade flexibility for cost savings
• On-Demand = most expensive, no commitment
• Spot = unsuitable for production databases (interruption risk)
• Savings Plans = less discount than RI for RDS-specific

Cost comparison (3 years):
├─ On-Demand: $1.00/hr × 24 × 365 × 3 = $26,280
├─ RI 1-year: $0.60/hr × 24 × 365 = $5,256/yr × 3 = $15,768
└─ RI 3-year: $0.40/hr × 24 × 365 × 3 = $10,512 ← LOWEST

🇻🇳 Giải thích:

• Reserved Instances (cam kết 3 năm) cho mức giảm sâu nhất — RDS RI giảm 60% so với On-Demand (ví dụ $1.00/giờ On-Demand → $0.40/giờ RI 3 năm); cam kết = đánh đổi linh hoạt lấy tiết kiệm.
• On-Demand đắt nhất, không cam kết; Spot không hợp DB production (rủi ro bị ngắt); Savings Plans giảm ít hơn RI cho riêng RDS.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — On-Demand is the most expensive, no commitment savings / Đắt nhất, không có tiết kiệm cam kết.
• C — Spot is unsuitable for production databases / Không hợp DB production.
• D — Savings Plans give less discount than RDS RIs here / Giảm ít hơn RDS RI ở đây.

🔑 Key Concept / Khái niệm cốt lõi: 3-year Reserved Instances give the deepest discount for steady RDS workloads / RI 3 năm cho mức giảm sâu nhất với workload RDS ổn định.

---

Q60.

A startup archives historical data to Glacier Deep Archive. Retrieval happens once per year for compliance audits. How is cost calculated?

Bản dịch tiếng Việt: Một công ty khởi nghiệp lưu trữ dữ liệu lịch sử vào Glacier Deep Archive. Việc truy xuất diễn ra mỗi năm một lần để kiểm tra tuân thủ. Chi phí được tính như thế nào?

A. Pay for storage per GB/month + retrieval cost when accessed B. Pay upfront annual fee C. Pay only during retrieval, nothing for storage D. Free storage with retrieval surcharge

Correct answer: A Bản dịch đáp án đúng: A. Trả phí lưu trữ theo GB/tháng + phí truy xuất khi truy cập

🇬🇧 Explanation:

• Glacier Deep Archive pricing has 2 components:
  • Storage: $0.00099/GB/month (very cheap)
  • Retrieval: $0.0144/GB (charged when accessed)
• Example: 100 GB stored 12 months, retrieved once
  • Storage: $0.00099 × 100 GB × 12 = $1.19
  • Retrieval: $0.0144 × 100 GB = $1.44
  • Total: ~$2.63 (still cheapest for archive)

Data lifecycle cost (1 year):
├─ S3 Standard: $100 × 12 = $1,200 (no retrieval cost)
├─ Glacier Flexible: $10 + $1.44 retrieval = $11.44
└─ Glacier Deep Archive: $1.19 + $1.44 = $2.63 ← CHEAPEST

🇻🇳 Giải thích:

• Glacier Deep Archive có 2 thành phần giá: lưu trữ $0.00099/GB/tháng (rất rẻ) và truy xuất $0.0144/GB (tính khi truy cập).
• Ví dụ 100 GB lưu 12 tháng, truy xuất 1 lần: lưu trữ $1.19 + truy xuất $1.44 = ~$2.63 — vẫn rẻ nhất cho lưu trữ.

❌ Why others are wrong / Vì sao đáp án khác sai:

• B — S3 Standard storage is far more expensive long-term / Lưu trữ Standard đắt hơn nhiều về dài hạn.
• C — Glacier Flexible costs more to store than Deep Archive / Lưu trữ đắt hơn Deep Archive.
• D — Standard-IA is pricier per-GB than Deep Archive for rarely-accessed data / Đắt hơn mỗi GB so với Deep Archive cho dữ liệu ít truy cập.

🔑 Key Concept / Khái niệm cốt lõi: Glacier Deep Archive is the cheapest storage for rarely-accessed long-term data / Glacier Deep Archive là lưu trữ rẻ nhất cho dữ liệu dài hạn ít truy cập.

---

Q61. (Select TWO)

A company uses AWS Free Tier resources but is concerned about unexpected charges. Which cost management tools help? (Select TWO)

Bản dịch tiếng Việt: Một công ty sử dụng tài nguyên Bậc miễn phí của AWS nhưng lo ngại về các khoản phí không mong muốn. Công cụ quản lý chi phí nào giúp ích? (Chọn HAI)

A. AWS Budgets to set spending limits and receive alerts B. AWS Cost Explorer to visualize spending trends C. AWS Pricing Calculator to estimate costs before deployment D. AWS Trusted Advisor (billing data only) E. CloudFormation cost estimation (not available)

Correct answer: A, B Bản dịch đáp án đúng: A. Ngân sách AWS để đặt giới hạn chi tiêu và nhận thông báo; B. AWS Cost Explorer để trực quan hóa xu hướng chi tiêu

🇬🇧 Explanation:

• A: AWS Budgets sets spending limits + alerts
  • Alert when spending exceeds threshold
  • Prevents bill shock
• B: AWS Cost Explorer visualizes spending
  • Breakdown by service, region, tag
  • Identifies expensive resources
  • Forecasts future costs
• C: Pricing Calculator = pre-deployment estimate (good but not ongoing monitoring)
• D: Trusted Advisor = recommendations, not cost tracking
• E: CloudFormation = deployment, not cost management

Cost optimization workflow:
├─ Use Pricing Calculator (pre-deployment)
├─ Deploy with CloudFormation (IaC)
├─ Monitor with Cost Explorer (spending trends)
└─ Set Budgets (alert on overages)

🇻🇳 Giải thích:

• A: AWS Budgets đặt giới hạn chi tiêu + cảnh báo — báo khi vượt ngưỡng, tránh "sốc hóa đơn".
• B: AWS Cost Explorer trực quan hóa chi tiêu — phân tích theo dịch vụ/region/tag, chỉ ra tài nguyên đắt, dự báo chi phí tương lai.

❌ Why others are wrong / Vì sao đáp án khác sai:

• C — Pricing Calculator estimates pre-deployment, not ongoing spend / Ước tính trước triển khai, không giám sát liên tục.
• D — Trusted Advisor gives recommendations, not cost tracking / Đưa khuyến nghị, không theo dõi chi phí.
• E — CloudFormation deploys, it doesn't manage cost / Triển khai, không quản lý chi phí.

🔑 Key Concept / Khái niệm cốt lõi: Budgets (alerts) + Cost Explorer (analysis) monitor ongoing spend / Budgets (cảnh báo) + Cost Explorer (phân tích) giám sát chi tiêu liên tục.

---

Q62.

An organization consolidates multiple AWS accounts under AWS Organizations. Which billing benefit applies?

Bản dịch tiếng Việt: Một tổ chức hợp nhất nhiều tài khoản AWS trong Tổ chức AWS. Lợi ích thanh toán nào được áp dụng?

A. All accounts receive free tier individually B. Consolidated Billing provides volume discounts and single bill C. Each account billed separately regardless D. No cost savings possible

Correct answer: B Bản dịch đáp án đúng: B. Thanh toán tổng hợp cung cấp chiết khấu theo số lượng và hóa đơn một lần

🇬🇧 Explanation:

• AWS Organizations + Consolidated Billing
  • Multiple accounts → single bill
  • Volume discounts (purchasing power aggregated)
  • Reserved Instances shared across accounts
  • Cost allocation tags for internal chargeback
• Example: 5 accounts, each uses 2 RDS reserved instances
  • Individual: no volume discount
  • Consolidated: 10 RIs × volume discount = savings

Account A ($500/month)
Account B ($500/month)
Account C ($500/month)
    ↓
Organizations (Consolidated Billing)
    ↓
Total: $1,500 - 10% volume discount = $1,350/month
    ↓
Single invoice

🇻🇳 Giải thích:

• AWS Organizations + Consolidated Billing — nhiều account → một hóa đơn; giảm giá theo khối lượng (gộp sức mua); chia sẻ Reserved Instances giữa các account; cost allocation tag để chargeback nội bộ.
• Ví dụ 5 account, mỗi cái 2 RDS RI: riêng lẻ không giảm khối lượng; gộp lại 10 RI × giảm khối lượng = tiết kiệm.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Separate billing per account misses volume aggregation / Hóa đơn riêng từng account bỏ lỡ gộp khối lượng.
• C — Doesn't aggregate purchasing power across accounts / Không gộp sức mua giữa các account.
• D — Not a billing-consolidation mechanism / Không phải cơ chế gộp hóa đơn.

🔑 Key Concept / Khái niệm cốt lõi: Organizations Consolidated Billing aggregates accounts for volume discounts and shared RIs / Consolidated Billing gộp account để giảm khối lượng và chia sẻ RI.

---

Q63.

A company needs 24/7 phone support and a dedicated Technical Account Manager (TAM). Which Support Plan is required?

Bản dịch tiếng Việt: Một công ty cần hỗ trợ qua điện thoại 24/7 và Người quản lý tài khoản kỹ thuật (TAM) tận tâm. Kế hoạch hỗ trợ nào là bắt buộc?

A. Developer ($29/month) B. Business ($100+/month) C. Enterprise ($15,000+/month) D. Basic (free, no phone support)

Correct answer: C Bản dịch đáp án đúng: C. Doanh nghiệp ($15.000+/tháng)

🇬🇧 Explanation:

• Enterprise Support ($15,000+/month) includes:
  • 24/7 phone/chat support
  • Dedicated Technical Account Manager (TAM)
  • Concierge (on-boarding, account optimization)
  • 15-min response for business-critical issues
• Business ($100+/month) = 24/7 phone but no TAM
• Developer ($29) = email only, business hours
• Basic (free) = forums, documentation

🇻🇳 Giải thích:

• Enterprise Support ($15,000+/tháng) gồm: hỗ trợ điện thoại/chat 24/7; Technical Account Manager (TAM) riêng; concierge (onboarding, tối ưu account); phản hồi 15 phút cho sự cố nghiêm trọng kinh doanh.
• Business ($100+/tháng) có điện thoại 24/7 nhưng không TAM; Developer ($29) chỉ email, giờ hành chính; Basic (miễn phí) chỉ forum, tài liệu.

❌ Why others are wrong / Vì sao đáp án khác sai:

• A — Basic (free) offers only forums/docs, no TAM / Chỉ forum/tài liệu, không TAM.
• B — Business has 24/7 phone but no dedicated TAM / Có điện thoại 24/7 nhưng không có TAM riêng.
• D — Developer is email-only during business hours / Chỉ email trong giờ hành chính.

🔑 Key Concept / Khái niệm cốt lõi: Only Enterprise Support includes a dedicated TAM and 15-min critical response / Chỉ Enterprise Support có TAM riêng và phản hồi 15 phút cho sự cố nghiêm trọng.

---

Q64. (Select TWO)

A startup wants to reduce operational expenses but needs expert guidance on AWS best practices. Which support and advisory services help? (Select TWO)

Bản dịch tiếng Việt: Một công ty khởi nghiệp muốn giảm chi phí hoạt động nhưng cần có hướng dẫn của chuyên gia về các biện pháp thực hành tốt nhất của AWS. Những dịch vụ hỗ trợ và tư vấn nào giúp ích? (Chọn HAI)

A. AWS Trusted Advisor for cost and security recommendations B. AWS Enterprise Support with TAM (costly) C. AWS Support plans (Business+ for 24/7) D. AWS Well-Architected Review (design assessment) E. AWS Free Support (forums, documentation)

Correct answer: A, D Bản dịch đáp án đúng: A. Cố vấn đáng tin cậy của AWS về các đề xuất về chi phí và bảo mật; D. Đánh giá kiến ​​trúc tối ưu AWS (đánh giá thiết kế)

🇬🇧 Explanation:

• A: AWS Trusted Advisor provides automated checks
  • Cost optimization: underutilized resources
  • Security: bucket public access, open security groups
  • Performance: overprovisioned instances
  • Recommendations (free tier = 7 core checks)
• D: AWS Well-Architected Review
  • Expert assessment of architecture
  • Identifies gaps vs best practices
  • Roadmap for improvements
  • Free initial review (detailed requires fee)
• B: Enterprise Support = expensive, not just for startups
• C: Business Support = 24/7 but doesn't provide architectural guidance
• E: Free Support = forums only, minimal help

🇻🇳 Giải thích:

• A: AWS Trusted Advisor cung cấp kiểm tra tự động — tối ưu chi phí (tài nguyên ít dùng), bảo mật (bucket public, security group mở), hiệu năng (instance dư), kèm khuyến nghị (free tier có 7 check lõi).
• D: AWS Well-Architected Review — đánh giá kiến trúc bởi chuyên gia, chỉ ra khoảng cách so với best practice, lộ trình cải thiện; review ban đầu miễn phí (chi tiết thì tốn phí).

❌ Why others are wrong / Vì sao đáp án khác sai:

• B — Enterprise Support is costly and not specifically architectural guidance / Đắt và không phải hướng dẫn kiến trúc riêng.
• C — Business Support gives 24/7 support, not architectural reviews / Hỗ trợ 24/7, không review kiến trúc.
• E — Free Support is forums only / Chỉ có forum.

🔑 Key Concept / Khái niệm cốt lõi: Trusted Advisor + Well-Architected Review give automated and expert architectural guidance / Trusted Advisor + Well-Architected Review cho hướng dẫn kiến trúc tự động và chuyên gia.

---

Q65.

A development team wants to estimate costs for a new API Gateway + Lambda + DynamoDB architecture before deployment. Which tool is most appropriate?

Bản dịch tiếng Việt: Nhóm phát triển muốn ước tính chi phí cho kiến ​​trúc API Gateway + Lambda + DynamoDB mới trước khi triển khai. Công cụ nào phù hợp nhất?

A. AWS Pricing Calculator B. CloudWatch Cost Anomaly Detection C. AWS Trusted Advisor D. CloudFormation StackSets

Correct answer: A Bản dịch đáp án đúng: A. Công cụ tính giá AWS

🇬🇧 Explanation:

• AWS Pricing Calculator estimates costs pre-deployment
  • Input: service (API Gateway), request volume, Lambda duration, DynamoDB RCU
  • Output: estimated monthly cost breakdown
• Example:
  • API Gateway: 1M requests/month = $3.50
  • Lambda: 100M invocations, 1s duration = $20
  • DynamoDB: 10 RCU, 10 WCU = $4.75
  • Total: ~$28.25/month

Before deployment:
├─ API Gateway 1M req/mo
├─ Lambda 100M invocations
└─ DynamoDB 10 RCU/WCU
    ↓
Pricing Calculator → $28/month estimate
    ↓
Decide: proceed or optimize

🇻🇳 Giải thích:

• AWS Pricing Calculator ước tính chi phí trước khi triển khai — nhập dịch vụ (API Gateway), số request, duration Lambda, RCU DynamoDB; xuất ra ước tính chi phí hàng tháng chi tiết.
• Ví dụ: API Gateway 1M request = $3.50; Lambda 100M invoke (1s) = $20; DynamoDB 10 RCU/10 WCU = $4.75; tổng ~$28.25/tháng.

❌ Why others are wrong / Vì sao đáp án khác sai:

• B — Cost Explorer analyzes past/actual spend, not pre-deployment estimates / Phân tích chi tiêu thực tế đã qua, không ước tính trước triển khai.
• C — Budgets alerts on actual spend, it doesn't estimate / Cảnh báo chi tiêu thực, không ước tính.
• D — Trusted Advisor gives recommendations, not cost estimates / Đưa khuyến nghị, không ước tính chi phí.

🔑 Key Concept / Khái niệm cốt lõi: AWS Pricing Calculator estimates costs before you deploy / AWS Pricing Calculator ước tính chi phí trước khi triển khai.

---

Key Themes Across Exam #09 / Chủ đề chính của Đề #09

Real-World Architecture Patterns / Mẫu kiến trúc thực tế

1. Static website: S3 + CloudFront + Route 53 + ACM (SSL)
2. Serverless API: API Gateway + Lambda + DynamoDB
3. Three-tier web: ELB + EC2 ASG + RDS Multi-AZ + ElastiCache
4. Image processing: S3 → Lambda → Rekognition → DynamoDB
5. Real-time analytics: Kinesis Streams → Firehose → S3 → Athena + QuickSight
6. Data warehouse ETL: S3 → Glue → Redshift → QuickSight
7. Messaging/queuing: SNS (fanout) + SQS (queue) + EventBridge (routing)
8. Hybrid storage: Storage Gateway → S3 (cloud backup)
9. Containers: ECR + ECS/EKS + Fargate + ALB
10. CI/CD pipeline: CodeCommit → CodeBuild → CodeDeploy (+ CodePipeline orchestration)
11. Monitoring stack: CloudWatch (metrics/logs) + CloudTrail (audit) + GuardDuty (threats) + Config (compliance)
12. Database migration: DMS for live heterogeneous migration with minimal downtime

Security/Compliance Patterns / Mẫu bảo mật & tuân thủ

• Least privilege: IAM roles for services, SCP for account-level restrictions
• Encryption: SSE-KMS (at-rest) + SSL/TLS (in-transit)
• Audit: CloudTrail (API calls) + Config (configuration changes) + GuardDuty (threats)
• Secret management: AWS Secrets Manager (not hardcoded environment variables)
• Data protection: S3 Block Public Access, encrypted databases, VPC endpoints

Cost Optimization / Tối ưu chi phí

• Right-sizing: Reserved Instances for steady workloads, Spot for batch jobs
• Storage tiering: S3 Standard → Glacier Flexible → Deep Archive based on access patterns
• Serverless: Lambda + DynamoDB = no provisioning, pay per use (auto-scales to 0)
• Monitoring: Cost Explorer + Budgets to track and alert on spend

---

Chúc mừng bạn, Dạ! Review theo workflow, không chỉ service tên. Hiểu tại sao A + B + C làm việc với nhau = sẽ tự tin hơn trên kỳ thi thật!

---