CLF-C02 Mock Exam #10 — Solutions / Giải đề chi tiết

Bilingual: 🇬🇧 English + 🇻🇳 Tiếng Việt | References Knowledge/ files THIS IS THE FINAL SIMULATION — Most challenging difficulty (35% Hard, 50% Medium, 15% Easy) Use this to verify answers, understand reasoning, and identify weak areas before real exam

Score Calculation / Cách tính điểm

50/65 scored (15 unscored — you don't know which ones)
Pass mark: ≥700/1000 → equivalent to ~35/50 scored questions correct
Self-target: ≥52/65 (80%) for exam-ready confidence 🎓

Domain Score Tracker

Domain	Your Score	Total	%
1: Cloud Concepts	__/16	16	__
2: Security & Compliance	__/20	20	__
3: Cloud Tech & Services	__/22	22	__
4: Billing, Pricing, Support	__/7	7	__
TOTAL	__/65	65	__

Domain 1: Cloud Concepts (Q1–Q16)

Q1.

Which of the following best demonstrates the principle of "elasticity" in AWS cloud computing?

Bản dịch tiếng Việt: Điều nào sau đây thể hiện rõ nhất nguyên tắc "co giãn" trong điện toán đám mây AWS?

A. A company purchases Reserved Instances to reduce monthly costs B. An application automatically scales from 5 EC2 instances to 50 instances when traffic increases, then scales back down during off-peak hours C. A company pays only for resources used instead of maintaining on-premises servers D. A company replicates data across multiple AWS Regions for disaster recovery

Correct answer: B Bản dịch đáp án đúng: B. Một ứng dụng tự động thay đổi quy mô từ 5 phiên bản EC2 lên 50 phiên bản khi lưu lượng truy cập tăng, sau đó giảm quy mô xuống trong giờ thấp điểm

🇬🇧 Explanation: Elasticity is the ability of cloud resources to automatically scale up and down based on demand. Option B perfectly demonstrates this—the application automatically increases from 5 to 50 instances during peak traffic, then shrinks back down. This is elasticity in action: responsive, automatic adjustment without manual intervention.

🇻🇳 Giải thích: Elasticity = khả năng tự động mở rộng/thu nhỏ tài nguyên theo nhu cầu thực tế. Lúc traffic tăng → 50 instances; lúc traffic giảm → 5 instances. Không phải đoán trước, không cần chỉnh tay. Đó là "elastic" — co giãn theo nhu cầu.

❌ Why others are wrong / Vì sao đáp án khác sai:

A: Reserved Instances giảm chi phí, không phải elasticity (đó là "economy of scale")
C: Pay-as-you-go = metering, không phải elasticity (đó là "OpEx")
D: Multi-region replication = disaster recovery, không phải elasticity

🔑 Key Concept / Khái niệm cốt lõi: Elasticity = automatic scale-up/down | Scalability = can grow (may be manual) 📚 Reference: Knowledge/domain-1-cloud-concepts.md § NIST 5 Characteristics — Rapid Elasticity

Q2.

A financial services company is comparing cloud deployment models. They require on-premises infrastructure for regulatory compliance but want to leverage AWS for non-sensitive workloads. Which deployment model best meets this requirement?

Bản dịch tiếng Việt: Một công ty dịch vụ tài chính đang so sánh các mô hình triển khai đám mây. Họ yêu cầu cơ sở hạ tầng tại chỗ để tuân thủ quy định nhưng muốn tận dụng AWS cho khối lượng công việc không nhạy cảm. Mô hình triển khai nào đáp ứng tốt nhất yêu cầu này?

A. Public Cloud B. Private Cloud C. Hybrid Cloud D. Multi-Cloud

Correct answer: C Bản dịch đáp án đúng: C. Đám mây lai

🇬🇧 Explanation: Hybrid Cloud combines on-premises infrastructure (for sensitive/regulated data) with public cloud (for non-sensitive workloads). This is the classic scenario: "We need on-premises for compliance, but want AWS flexibility for the rest." Only Hybrid Cloud matches this requirement.

🇻🇳 Giải thích: Hybrid Cloud = kết hợp on-premises (riêng, bảo mật) + public cloud (AWS, linh hoạt). Công ty keep sensitive data local vì compliance → dùng AWS cho development, testing, non-sensitive apps. Best of both worlds.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Public Cloud has no on-premises component (fails the requirement) / Public Cloud không có thành phần on-premises (không thỏa yêu cầu)
B — Private Cloud is on-premises only (doesn't use AWS) / Private Cloud chỉ on-premises (không dùng AWS)
D — Multi-Cloud means 2+ providers (it's not a deployment model in this context) / Multi-Cloud nghĩa là 2+ nhà cung cấp (không phải deployment model ở đây)

🔑 Key Concept / Khái niệm cốt lõi: Hybrid = on-premises + AWS | Private = on-premises only / Hybrid = on-premises + AWS | Private = chỉ on-premises 📚 Reference: Knowledge/domain-1-cloud-concepts.md § Cloud Deployment Models

Q3. (Select TWO)

Which of the following are among the six key advantages of cloud computing as defined by AWS? (Select TWO)

Bản dịch tiếng Việt: Điều nào sau đây nằm trong số sáu ưu điểm chính của điện toán đám mây theo định nghĩa của AWS? (Chọn HAI)

A. Eliminates the need for security measures B. Allows you to stop guessing about infrastructure capacity needs C. Reduces the time to deploy new applications D. Guarantees lower total cost of ownership than on-premises E. Provides the ability to trade capital expenditure for operational expenditure

Correct answer: B, E Bản dịch đáp án đúng: B. Cho phép bạn ngừng đoán về nhu cầu năng lực cơ sở hạ tầng; E. Cung cấp khả năng trao đổi chi phí vốn cho chi phí hoạt động

🇬🇧 Explanation:

B ✅ "Stop guessing about capacity" — AWS allows you to provision resources on-demand, eliminating the need to predict future infrastructure needs
E ✅ "Trade CapEx for OpEx" — You pay monthly instead of purchasing hardware upfront

Both are official AWS 6 advantages.

🇻🇳 Giải thích: Câu B: "Stop guessing" = không cần dự báo bao nhiêu servers cần. Traffic 10 users → 2 servers; 1000 users → 20 servers (tự động). Câu E: "Trade CapEx for OpEx" = bây giờ chỉ trả hàng tháng, không phải mua servers đắp tiền.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — "Eliminates security" is wrong; cloud requires the SAME security measures, just split responsibility differently / "Loại bỏ bảo mật" là sai; cloud vẫn cần các biện pháp bảo mật GIỐNG vậy, chỉ khác cách chia trách nhiệm
C — A true advantage, but the question asks for TWO and B+E are more fundamental / Là một lợi ích thật, nhưng câu hỏi yêu cầu chọn HAI, và B+E mang tính cốt lõi hơn
D — Cloud does NOT GUARANTEE lower cost; it depends on usage pattern (could be equal or higher) / Cloud KHÔNG ĐẢM BẢO chi phí thấp hơn; tùy mẫu hình sử dụng (có thể bằng hoặc cao hơn)

🔑 Key Concept / Khái niệm cốt lõi: AWS 6 Advantages — CapEx→OpEx, Scale, Capacity, Agility, No DC, Go global / 6 lợi ích của AWS — CapEx→OpEx, quy mô, năng lực, nhanh nhẹn, không cần DC, vươn ra toàn cầu 📚 Reference: Knowledge/domain-1-cloud-concepts.md § 6 Advantages of Cloud Computing

Q4.

A startup wants to launch a global application serving users across Asia, Europe, and North America with minimal latency. Which AWS feature enables this?

Bản dịch tiếng Việt: Một công ty khởi nghiệp muốn ra mắt một ứng dụng toàn cầu phục vụ người dùng trên khắp Châu Á, Châu Âu và Bắc Mỹ với độ trễ tối thiểu. Tính năng AWS nào cho phép điều này?

A. AWS Organizations for consolidated billing B. AWS Regions distributed geographically worldwide C. Amazon CloudFront Edge Locations exclusively D. AWS Local Zones in each country

Correct answer: B Bản dịch đáp án đúng: B. Các khu vực AWS được phân bổ theo địa lý trên toàn thế giới

🇬🇧 Explanation: AWS has 30+ Regions distributed worldwide. Deploying your application in Regions closest to users (e.g., Asia Pacific for Asian users, Europe for European users) naturally provides low latency. CloudFront adds even lower latency via Edge Locations.

🇻🇳 Giải thích: AWS có ~30 regions toàn thế giới. Deploy app ở region gần users = latency thấp. Ví dụ: Users ở Tokyo → deploy ở Asia Pacific (Tokyo) region = latency ~10-50ms.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — AWS Organizations is for consolidated billing, not for latency / AWS Organizations dùng cho consolidated billing, không phải cho latency
C — CloudFront alone is not enough; you still need Regions for the primary deployment / Chỉ CloudFront thì chưa đủ; vẫn cần Regions cho deployment chính
D — Local Zones is a niche feature, not the primary approach for global reach / Local Zones là tính năng chuyên biệt, không phải cách chính để phủ toàn cầu

🔑 Key Concept / Khái niệm cốt lõi: Regions = global reach | Edge Locations = low-latency caching / Regions = phủ toàn cầu | Edge Locations = caching độ trễ thấp 📚 Reference: Knowledge/domain-1-cloud-concepts.md § AWS Global Infrastructure

Q5.

What is the primary distinction between an Availability Zone (AZ) and an AWS Region?

Bản dịch tiếng Việt: Điểm khác biệt chính giữa Availability Zone (AZ) và AWS Region là gì?

A. An AZ spans multiple countries; a Region is within a single country B. An AZ contains isolated data centers with independent infrastructure; a Region contains multiple AZs C. An AZ is used for content delivery; a Region is for resource deployment D. There is no technical difference; they are used interchangeably

Correct answer: B Bản dịch đáp án đúng: B. AZ chứa các trung tâm dữ liệu biệt lập với cơ sở hạ tầng độc lập; một Vùng chứa nhiều AZ

🇬🇧 Explanation: An Availability Zone (AZ) is a physically isolated location with independent power, cooling, and networking. A Region contains multiple AZs (typically 2-4). This architecture ensures high availability: if one AZ fails, others remain operational.

🇻🇳 Giải thích: AZ = 1+ data centers độc lập (power riêng, cooling riêng, network riêng). Region = nhiều AZs cùng lúc. Nếu AZ1 mất điện → AZ2, AZ3 vẫn chạy. Đó là high availability design.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — An AZ doesn't span countries; Regions are the geographic scope / Một AZ không trải dài qua các quốc gia; Regions mới là phạm vi địa lý
C — AZs aren't specifically for content delivery (that's CloudFront) / AZs không phải chuyên cho phân phối nội dung (đó là CloudFront)
D — They do have distinct technical differences / Chúng có những khác biệt kỹ thuật rõ ràng

🔑 Key Concept / Khái niệm cốt lõi: AZ = isolation + independence | Region = multiple AZs / AZ = cô lập + độc lập | Region = gồm nhiều AZs 📚 Reference: Knowledge/domain-1-cloud-concepts.md § AWS Global Infrastructure

Q6. (Select TWO)

Which statements accurately describe the AWS Well-Architected Framework? (Select TWO)

Bản dịch tiếng Việt: Câu nào mô tả chính xác AWS Well-Architected Framework? (Chọn HAI)

A. It mandates the exclusive use of EC2 for all workloads B. The Reliability pillar emphasizes system resilience and automatic failure recovery C. The Cost Optimization pillar focuses on using the most expensive instance types D. The Security pillar emphasizes least privilege access and encryption E. It requires all applications to be deployed across 5+ Regions

Correct answer: B, D Bản dịch đáp án đúng: B. Trụ cột Độ tin cậy nhấn mạnh khả năng phục hồi của hệ thống và phục hồi lỗi tự động; D. Trụ cột Bảo mật nhấn mạnh đến quyền truy cập và mã hóa ít đặc quyền nhất

🇬🇧 Explanation:

B ✅ "Reliability pillar emphasizes system resilience" — Correct; Reliability focuses on recovering from failures, auto-scaling, health checks
D ✅ "Security pillar emphasizes least privilege" — Correct; Security principle of least privilege means granting minimal required permissions

These are two of the six pillars with accurate descriptions.

🇻🇳 Giải thích: Câu B: Reliability pillar = tự phục hồi từ lỗi, health checks, multi-AZ, auto-recovery. Câu D: Security pillar = least privilege (chỉ cho quyền cần thiết), encryption, IAM.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — The framework is service-agnostic (it doesn't mandate EC2) / Framework không phụ thuộc service cụ thể (không bắt buộc dùng EC2)
C — Cost Optimization focuses on EFFICIENCY, not on expensive instance types / Cost Optimization tập trung vào HIỆU QUẢ, không phải instance type đắt tiền
E — The framework doesn't require 5+ Regions / Framework không yêu cầu 5+ Regions

🔑 Key Concept / Khái niệm cốt lõi: 6 Pillars = Operational Excellence, Security, Reliability, Performance Efficiency, Cost Optimization, Sustainability / 6 trụ cột = Operational Excellence, Security, Reliability, Performance Efficiency, Cost Optimization, Sustainability 📚 Reference: Knowledge/domain-1-cloud-concepts.md § Well-Architected Framework

Q7.

In the AWS Shared Responsibility Model, who is responsible for ensuring that an EC2 instance is patched against the latest operating system vulnerabilities?

Bản dịch tiếng Việt: Trong Mô hình trách nhiệm chung của AWS, ai chịu trách nhiệm đảm bảo rằng phiên bản EC2 được vá các lỗ hổng hệ điều hành mới nhất?

A. AWS, because they own the underlying hardware B. The customer, because they manage the EC2 instance C. Both AWS and the customer share equal responsibility D. Neither party is responsible; responsibility rests with the operating system vendor

Correct answer: B Bản dịch đáp án đúng: B. Khách hàng, vì họ quản lý phiên bản EC2

🇬🇧 Explanation: In the Shared Responsibility Model, AWS manages the hypervisor and underlying infrastructure. However, the customer must patch the operating system (Windows or Linux) running on the EC2 instance. This is a core responsibility of the customer.

🇻🇳 Giải thích: Shared Responsibility: AWS lo hypervisor + hardware. Bạn lo OS patching + application security. EC2 = IaaS → bạn quản lý nhiều (khác RDS là AWS patch DB engine).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — AWS doesn't patch the EC2 OS (it's the customer's responsibility) / AWS không patch OS của EC2 (đó là trách nhiệm của khách hàng)
C — Not shared — there's a clear boundary for EC2 / Không phải chia sẻ — ranh giới rõ ràng đối với EC2
D — The customer is responsible for OS patching / Khách hàng chịu trách nhiệm patch OS

🔑 Key Concept / Khái niệm cốt lõi: EC2 = customer patches OS | RDS = AWS patches DB engine / EC2 = khách hàng patch OS | RDS = AWS patch DB engine 📚 Reference: Knowledge/domain-2-security-and-compliance.md § Shared Responsibility Model — EC2

Q8.

A company uses AWS CloudFormation to manage their infrastructure. Which benefit does Infrastructure as Code (IaC) provide?

Bản dịch tiếng Việt: Một công ty sử dụng AWS CloudFormation để quản lý cơ sở hạ tầng của họ. Cơ sở hạ tầng dưới dạng mã (IaC) mang lại lợi ích gì?

A. Eliminates the need for security policies B. Automatically ensures zero-downtime deployments C. Enables consistent, repeatable, and version-controlled infrastructure deployment D. Removes the need for AWS management permissions

Correct answer: C Bản dịch đáp án đúng: C. Cho phép triển khai cơ sở hạ tầng nhất quán, có thể lặp lại và được kiểm soát theo phiên bản

🇬🇧 Explanation: Infrastructure as Code (IaC) using CloudFormation allows you to define infrastructure in code (JSON/YAML), version control it, and deploy consistently. This enables reproducible deployments, easier rollback, and automation—core benefits of IaC.

🇻🇳 Giải thích: IaC (CloudFormation) = viết code (JSON/YAML) mô tả infrastructure. Ưu điểm: version control, tái sử dụng, một lệnh deploy tất cả. Không cần click UI hàng lần.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — IaC doesn't eliminate security policies / IaC không loại bỏ các security policy
B — It can help with uptime but doesn't guarantee zero-downtime / Có thể giúp về uptime nhưng không đảm bảo zero-downtime
D — IaC doesn't remove the need for AWS permissions / IaC không bỏ đi nhu cầu về AWS permissions

🔑 Key Concept / Khái niệm cốt lõi: IaC = CloudFormation = automation + reproducibility + version control / IaC = CloudFormation = tự động hóa + tái lập + version control 📚 Reference: Knowledge/domain-1-cloud-concepts.md § Infrastructure as Code

Q9. (Select TWO)

Which of the following are components of the AWS Global Infrastructure? (Select TWO)

Bản dịch tiếng Việt: Thành phần nào sau đây là thành phần của Cơ sở hạ tầng toàn cầu AWS? (Chọn HAI)

A. Security Groups B. Virtual Private Clouds (VPCs) C. Availability Zones D. AWS Regions E. Internet Gateways

Correct answer: C, D Bản dịch đáp án đúng: C. Availability Zone; D. AWS Region

🇬🇧 Explanation:

C ✅ "Availability Zones" — Part of global infrastructure; 100+ AZs provide isolation and high availability
D ✅ "Regions" — Part of global infrastructure; 30+ Regions worldwide

Edge Locations (700+) are also global infrastructure but are used for CloudFront specifically.

🇻🇳 Giải thích: Câu C: Availability Zones = ~100 AZs globally, mỗi AZ là 1+ data centers. Câu D: Regions = ~30 regions worldwide, mỗi Region có 2-4 AZs. Cùng nhau tạo nên Global Infrastructure.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Security Groups are instance-level security, not infrastructure / Security Groups là bảo mật ở cấp instance, không phải infrastructure
B — VPCs are customer-created networks, not global infrastructure / VPCs là mạng do khách hàng tạo, không phải global infrastructure
E — Internet Gateways are VPC components, not global infrastructure / Internet Gateways là thành phần của VPC, không phải global infrastructure

🔑 Key Concept / Khái niệm cốt lõi: Global Infrastructure = Regions (33+) + AZs (105+) + Edge Locations (700+) / Global Infrastructure = Regions (33+) + AZs (105+) + Edge Locations (700+) 📚 Reference: Knowledge/domain-1-cloud-concepts.md § AWS Global Infrastructure

Q10.

An enterprise is designing a disaster recovery strategy. The application must remain operational even if an entire AWS Availability Zone fails. What is the minimum deployment requirement?

Bản dịch tiếng Việt: Một doanh nghiệp đang thiết kế một chiến lược disaster recovery. Ứng dụng phải duy trì hoạt động ngay cả khi toàn bộ Availability Zone AWS bị lỗi. Yêu cầu triển khai tối thiểu là gì?

A. Deploy in a single Availability Zone with automated backups B. Deploy across multiple Availability Zones within the same Region C. Deploy across multiple AWS Regions D. Deploy on-premises as primary with AWS as failover

Correct answer: B Bản dịch đáp án đúng: B. Triển khai trên nhiều Availability Zone trong cùng một Region

🇬🇧 Explanation: To tolerate the failure of an entire Availability Zone, your application must be deployed across multiple AZs within the same Region. This provides automatic failover and ensures availability even if one AZ's power/network fails. Multi-Region is for more catastrophic scenarios.

🇻🇳 Giải thích: Nếu 1 AZ bị mất → app phải chạy trên AZ khác cùng Region để không mất dservice. Multi-AZ = High Availability. Multi-Region = cho disaster recovery lớn hơn (entire region fails — hiếm).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Single AZ + backups doesn't protect against an AZ failure / Một AZ + backup không bảo vệ khi cả một AZ gặp sự cố
C — Multi-Region is overkill for an AZ failure (too expensive) / Multi-Region là quá mức cho lỗi AZ (quá tốn kém)
D — On-premises failover is not a cloud-native solution / Failover về on-premises không phải giải pháp cloud-native

🔑 Key Concept / Khái niệm cốt lõi: Multi-AZ = HA (High Availability) within Region | Multi-Region = Disaster Recovery / Multi-AZ = HA (tính sẵn sàng cao) trong một Region | Multi-Region = phục hồi thảm họa 📚 Reference: Knowledge/domain-1-cloud-concepts.md § Availability Zones

Q11.

A company plans to migrate a legacy Windows Server application to AWS without significant code changes. Which migration strategy best applies?

Bản dịch tiếng Việt: Một công ty có kế hoạch di chuyển ứng dụng Windows Server cũ sang AWS mà không có thay đổi đáng kể về mã. Chiến lược di chuyển nào được áp dụng tốt nhất?

A. Retire the application and build a cloud-native replacement B. Rehost (Lift-and-shift) the application to EC2 C. Refactor the application to use serverless architecture D. Retain the application on-premises indefinitely

Correct answer: B Bản dịch đáp án đúng: B. Rehost (Nâng và chuyển) ứng dụng sang EC2

🇬🇧 Explanation: Rehost (Lift-and-shift) means moving an application as-is to EC2 with minimal code changes. This is perfect for legacy applications: fast, low-risk, no redesign required. Other R's (Refactor, Repurchase, etc.) require more effort and change.

🇻🇳 Giải thích: Rehost = "copy-paste" từ on-premises sang EC2, không thay đổi code. Nhanh, rẻ, low risk. Sau đó có thể tối ưu dần (Replatform, Refactor).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Retire = remove an unused app (not applicable here) / Retire = loại bỏ app không dùng (không áp dụng ở đây)
C — Refactor = rewrite (years of effort, not for "no changes") / Refactor = viết lại (tốn nhiều năm, không phù hợp khi "không thay đổi")
D — Retain = keep on-premises (doesn't migrate) / Retain = giữ lại on-premises (không migrate)

🔑 Key Concept / Khái niệm cốt lõi: 7 R's = Retire, Retain, Relocate, Rehost, Repurchase, Replatform, Refactor / 7 R = Retire, Retain, Relocate, Rehost, Repurchase, Replatform, Refactor 📚 Reference: Knowledge/domain-1-cloud-concepts.md § Cloud Migration Strategies

Q12. (Select THREE)

Which of the following are valid service models in cloud computing? (Select THREE)

Bản dịch tiếng Việt: Mô hình dịch vụ nào sau đây là hợp lệ trong điện toán đám mây? (Chọn BA)

A. Infrastructure as a Service (IaaS) B. Platform as a Service (PaaS) C. Software as a Service (SaaS) D. Hardware as a Service (HaaS) E. Disaster Recovery as a Service (DRaaS)

Correct answer: A, B, C Bản dịch đáp án đúng: A. Cơ sở hạ tầng dưới dạng dịch vụ (IaaS); B. Nền tảng là một dịch vụ (PaaS); C. Phần mềm dưới dạng dịch vụ (SaaS)

🇬🇧 Explanation:

A ✅ IaaS — Infrastructure as a Service (EC2, S3, VPC)
B ✅ PaaS — Platform as a Service (Elastic Beanstalk, RDS, Lambda)
C ✅ SaaS — Software as a Service (Gmail, Salesforce, Microsoft 365)

These are the three recognized cloud service models by NIST.

🇻🇳 Giải thích: IaaS = bạn quản lý app + data (example EC2) PaaS = AWS quản lý platform, bạn deploy code (example Beanstalk) SaaS = AWS quản lý hết, bạn dùng (example Gmail) DRaaS/HaaS không phải standard models.

❌ Why others are wrong / Vì sao đáp án khác sai:

D — HaaS (Hardware as a Service) is not a standard model / HaaS (Hardware as a Service) không phải mô hình chuẩn
E — DRaaS is a specialized service, not a basic model / DRaaS là dịch vụ chuyên biệt, không phải mô hình cơ bản

🔑 Key Concept / Khái niệm cốt lõi: 3 main cloud service models = IaaS, PaaS, SaaS / 3 mô hình dịch vụ cloud chính = IaaS, PaaS, SaaS 📚 Reference: Knowledge/domain-1-cloud-concepts.md § IaaS vs PaaS vs SaaS

Q13.

Which AWS service allows you to define and manage infrastructure using JSON or YAML templates?

Bản dịch tiếng Việt: Dịch vụ AWS nào cho phép bạn xác định và quản lý cơ sở hạ tầng bằng các mẫu JSON hoặc YAML?

A. AWS Elastic Beanstalk B. AWS CloudFormation C. AWS OpsWorks D. AWS Systems Manager

Correct answer: B Bản dịch đáp án đúng: B. Đám mây AWSFormation

🇬🇧 Explanation: AWS CloudFormation is the native IaC service on AWS. It allows you to define infrastructure in JSON or YAML templates and deploy them as stacks. This is the primary IaC tool for AWS.

🇻🇳 Giải thích: CloudFormation = AWS's IaC service. Viết JSON/YAML template mô tả EC2, RDS, S3, etc. → một lệnh deploy tất cả. Version control, easy rollback.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Elastic Beanstalk is PaaS, not pure IaC / Elastic Beanstalk là PaaS, không phải IaC thuần
C — OpsWorks is configuration management, not core IaC / OpsWorks là configuration management, không phải IaC cốt lõi
D — Systems Manager is fleet management, not IaC / Systems Manager là quản lý fleet, không phải IaC

🔑 Key Concept / Khái niệm cốt lõi: CloudFormation = native AWS IaC service / CloudFormation = dịch vụ IaC gốc của AWS 📚 Reference: Knowledge/domain-1-cloud-concepts.md § Infrastructure as Code

Q14.

A company transitions from an on-premises data center to AWS. Which financial principle best describes this shift?

Bản dịch tiếng Việt: Một công ty chuyển đổi từ trung tâm dữ liệu tại chỗ sang AWS. Nguyên tắc tài chính nào mô tả đúng nhất sự thay đổi này?

A. Converts capital expenditure (CapEx) to operational expenditure (OpEx) B. Guarantees a 50% reduction in total IT costs C. Eliminates all hardware-related expenses D. Reduces the need for IT personnel

Correct answer: A Bản dịch đáp án đúng: A. Chuyển đổi chi phí vốn (CapEx) thành chi phí hoạt động (OpEx)

🇬🇧 Explanation: Cloud fundamentally shifts the financial model from Capital Expenditure (buying servers upfront) to Operational Expenditure (paying monthly). This is a core AWS advantage and aligns with the shift from fixed to variable costs.

🇻🇳 Giải thích: Trước: Mua servers đắp tiền ($50K-$100K) = CapEx (tài sản cố định, mất giá). Bây giờ: Trả hàng tháng theo dùng = OpEx (chi phí hoạt động, linh hoạt). Lợi ích: Không bị vốn "chết", có thể scale nhanh.

❌ Why others are wrong / Vì sao đáp án khác sai:

B — Cloud doesn't guarantee a 50% cost reduction (depends on usage) / Cloud không đảm bảo giảm 50% chi phí (tùy mức sử dụng)
C — Cloud still requires services (it doesn't eliminate all hardware costs) / Cloud vẫn cần các service (không loại bỏ toàn bộ chi phí phần cứng)
D — Cloud may reduce the need for IT personnel, but doesn't guarantee it / Cloud có thể giảm nhu cầu nhân sự IT, nhưng không đảm bảo

🔑 Key Concept / Khái niệm cốt lõi: CapEx→OpEx = financial model shift fundamental to cloud value / CapEx→OpEx = sự dịch chuyển mô hình tài chính cốt lõi tạo nên giá trị của cloud 📚 Reference: Knowledge/domain-1-cloud-concepts.md § 6 Advantages — Trade CapEx for OpEx

Q15.

An organization needs to understand the principle of "measured service" in cloud computing. Which statement best illustrates this concept?

Bản dịch tiếng Việt: Một tổ chức cần hiểu nguyên tắc “dịch vụ được đo lường” trong điện toán đám mây. Tuyên bố nào minh họa tốt nhất khái niệm này?

A. AWS services are available only during scheduled maintenance windows B. Customers pay only for the resources they use, as measured by CloudWatch C. All AWS services require advance reservation of resources D. AWS charges a flat monthly fee regardless of usage

Correct answer: B Bản dịch đáp án đúng: B. Khách hàng chỉ trả tiền cho những tài nguyên họ sử dụng, được CloudWatch đo lường

🇬🇧 Explanation: Measured Service means customers pay only for resources they use, tracked and billed accordingly. CloudWatch provides metrics to understand consumption. This is the "pay-as-you-go" principle of cloud computing.

🇻🇳 Giải thích: Measured Service = "trả tiền theo dùng thực tế". AWS track metrics (CloudWatch) → bill theo usage (S3 per GB, EC2 per hour). Không cố định, không hoang phí.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — AWS services are available 24/7 (no scheduled maintenance windows) / Các service AWS sẵn sàng 24/7 (không có cửa sổ bảo trì định kỳ)
C — AWS doesn't require advance reservation / AWS không yêu cầu đặt trước
D — AWS charges based on usage, not a flat monthly fee / AWS tính phí theo mức dùng, không phải phí cố định hàng tháng

🔑 Key Concept / Khái niệm cốt lõi: Measured Service = metering + pay-as-you-go = NIST characteristic #5 / Measured Service = đo lường + trả theo dùng = đặc tính NIST số 5 📚 Reference: Knowledge/domain-1-cloud-concepts.md § NIST 5 Characteristics

Q16.

Which of the following best describes the difference between scalability and elasticity in cloud computing?

Bản dịch tiếng Việt: Điều nào sau đây mô tả đúng nhất sự khác biệt giữa khả năng mở rộng và tính linh hoạt trong điện toán đám mây?

A. Scalability is automatic; elasticity is manual B. Scalability is the ability to grow; elasticity is the ability to grow and shrink automatically C. Scalability requires AWS Regions; elasticity requires only Availability Zones D. They are identical terms and can be used interchangeably

Correct answer: B Bản dịch đáp án đúng: B. Khả năng mở rộng là khả năng phát triển; tính đàn hồi là khả năng lớn lên và co lại một cách tự động

🇬🇧 Explanation:

Scalability = ability to grow (may be manual, e.g., buying more servers)
Elasticity = ability to grow AND shrink AUTOMATICALLY based on demand

Elasticity is the "automatic" version of scalability; it includes auto-scaling in both directions.

🇻🇳 Giải thích: Scalability = khả năng lớn lên (có thể phải cấu hình tay). Elasticity = tự động lớn lên/bé lại theo demand (không cần chỉnh tay). Elasticity = scalability + automatic.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Opposite of reality — scalability can be manual, elasticity is automatic / Ngược với thực tế — scalability có thể thủ công, elasticity là tự động
C — Both work across Regions/AZs; there's no difference in scope / Cả hai đều hoạt động qua Regions/AZs; không khác nhau về phạm vi
D — They do have distinct technical meanings / Chúng có ý nghĩa kỹ thuật khác biệt rõ ràng

🔑 Key Concept / Khái niệm cốt lõi: Elasticity ⊃ Scalability (elasticity includes auto-scaling) / Elasticity ⊃ Scalability (elasticity bao gồm cả auto-scaling) 📚 Reference: Knowledge/domain-1-cloud-concepts.md § Elasticity vs Scalability

Domain 2: Security and Compliance (Q17–Q36)

Q17.

In the AWS Shared Responsibility Model, who is responsible for patching the database engine in Amazon RDS?

Bản dịch tiếng Việt: Trong Mô hình trách nhiệm chung của AWS, ai chịu trách nhiệm vá công cụ cơ sở dữ liệu trong Amazon RDS?

A. The customer must manually patch the database engine B. AWS is responsible for patching the database engine C. Both the customer and AWS share equal patching responsibility D. The database vendor (Oracle, MySQL, etc.) is solely responsible

Correct answer: B Bản dịch đáp án đúng: B. AWS chịu trách nhiệm vá công cụ cơ sở dữ liệu

🇬🇧 Explanation: In the Shared Responsibility Model, AWS is responsible for patching the RDS database engine (PostgreSQL, MySQL, Oracle, SQL Server). This is a managed service responsibility, unlike EC2 where you patch the OS.

🇻🇳 Giải thích: RDS = Managed Database. AWS tự patch DB engine. Bạn chỉ lo: user accounts, network config, encryption keys. Khác EC2 = bạn patch OS.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — The customer doesn't manually patch RDS (AWS does) / Khách hàng không tự patch RDS (AWS làm)
C — Not shared — AWS is clearly responsible for the managed service / Không phải chia sẻ — AWS rõ ràng chịu trách nhiệm cho dịch vụ managed
D — The database vendor (Oracle) doesn't directly patch RDS (AWS does) / Nhà cung cấp DB (Oracle) không trực tiếp patch RDS (AWS làm)

🔑 Key Concept / Khái niệm cốt lõi: Managed services shift responsibility to AWS (e.g., RDS patching, Lambda runtime) / Dịch vụ managed chuyển trách nhiệm sang AWS (ví dụ patch RDS, runtime Lambda) 📚 Reference: Knowledge/domain-2-security-and-compliance.md § Shared Responsibility — RDS

Q18. (Select TWO)

Which statements accurately describe the AWS Shared Responsibility Model? (Select TWO)

Bản dịch tiếng Việt: Câu nào mô tả chính xác Mô hình trách nhiệm chung của AWS? (Chọn HAI)

A. AWS is responsible for all security aspects of customer applications B. The customer is responsible for data encryption and encryption key management C. AWS manages physical security and infrastructure; customers manage OS and application security D. Customers must manage all aspects of data center infrastructure E. AWS provides managed services that shift customer responsibility

Correct answer: B, C Bản dịch đáp án đúng: B. Khách hàng chịu trách nhiệm mã hóa dữ liệu và quản lý khóa mã hóa; C. AWS quản lý cơ sở hạ tầng và bảo mật vật lý; khách hàng quản lý bảo mật hệ điều hành và ứng dụng

🇬🇧 Explanation:

B ✅ "Customer responsible for data encryption and key management" — Correct; customer must encrypt data and manage KMS keys
C ✅ "AWS manages physical security and infrastructure; customers manage OS and application security" — Correct; this describes the core division

These are accurate descriptions of Shared Responsibility.

🇻🇳 Giải thích: Câu B: Bạn encrypt data + manage encryption keys (KMS). Câu C: AWS lo hardware + physical DC. Bạn lo OS (EC2) + app security. Balanced split of responsibility.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — AWS is NOT responsible for all application security (that's the customer's responsibility) / AWS KHÔNG chịu trách nhiệm cho toàn bộ application security (đó là của khách hàng)
D — Customers don't manage data center infrastructure (AWS does) / Khách hàng không quản lý hạ tầng data center (AWS làm)
E — True, but more specific than B+C / Đúng, nhưng cụ thể hơn so với B+C

🔑 Key Concept / Khái niệm cốt lõi: Shared Responsibility = clear boundary between AWS and customer / Shared Responsibility = ranh giới rõ ràng giữa AWS và khách hàng 📚 Reference: Knowledge/domain-2-security-and-compliance.md § Shared Responsibility Model

Q19.

What is the primary purpose of AWS CloudTrail in a security architecture?

Bản dịch tiếng Việt: Mục đích chính của AWS CloudTrail trong kiến trúc bảo mật là gì?

A. Monitor real-time application performance and system logs B. Record and audit all API calls made within an AWS account C. Prevent unauthorized access to AWS resources D. Automatically patch operating systems and applications

Correct answer: B Bản dịch đáp án đúng: B. Ghi lại và kiểm tra tất cả lệnh gọi API được thực hiện trong tài khoản AWS

🇬🇧 Explanation: AWS CloudTrail records and audits all API calls made within an AWS account. It provides accountability, compliance, and security monitoring by tracking who did what, when, and where in your AWS environment.

🇻🇧 Giải thích: CloudTrail = audit log của AWS. Ghi nhớ tất cả API calls: "ai gọi cái gì lúc mấy h, từ IP nào". Dùng cho compliance, debugging, security investigation.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — CloudWatch is for real-time monitoring (not CloudTrail) / CloudWatch dùng cho giám sát real-time (không phải CloudTrail)
C — CloudTrail doesn't prevent access (it only logs it) / CloudTrail không ngăn truy cập (chỉ ghi log)
D — CloudTrail doesn't patch the OS (that's manual or Systems Manager) / CloudTrail không patch OS (đó là thủ công hoặc Systems Manager)

🔑 Key Concept / Khái niệm cốt lõi: CloudTrail = audit trail | CloudWatch = metrics/monitoring | Config = compliance tracking / CloudTrail = nhật ký kiểm toán | CloudWatch = metrics/giám sát | Config = theo dõi tuân thủ 📚 Reference: Knowledge/domain-2-security-and-compliance.md § CloudTrail

Q20.

A company needs to detect unauthorized API calls and suspicious activity in their AWS account. Which service provides this capability?

Bản dịch tiếng Việt: Công ty cần phát hiện các lệnh gọi API trái phép và hoạt động đáng ngờ trong tài khoản AWS của họ. Dịch vụ nào cung cấp khả năng này?

A. AWS CloudWatch B. Amazon GuardDuty C. AWS Config D. Amazon Inspector

Correct answer: B Bản dịch đáp án đúng: B. Nhiệm vụ bảo vệ của Amazon

🇬🇧 Explanation: Amazon GuardDuty is the threat detection service that monitors for unauthorized API calls and suspicious activity. It uses machine learning to detect anomalies and potential intrusions in your AWS environment.

🇻🇳 Giải thích: GuardDuty = threat detection service. Dùng ML để phát hiện suspicious behavior: unauthorized API calls, unusual IP access, potential intrusions. 24/7 monitoring.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — CloudWatch is metrics/logs, not threat detection / CloudWatch là metrics/logs, không phải phát hiện mối đe dọa
C — AWS Config is compliance/configuration tracking / AWS Config là theo dõi tuân thủ/cấu hình
D — Inspector is vulnerability scanning on EC2/containers / Inspector quét lỗ hổng trên EC2/containers

🔑 Key Concept / Khái niệm cốt lõi: GuardDuty = threat detection (unauthorized access) | Config = compliance / GuardDuty = phát hiện mối đe dọa (truy cập trái phép) | Config = tuân thủ 📚 Reference: Knowledge/domain-2-security-and-compliance.md § GuardDuty

Q21. (Select TWO)

Which of the following are key components of an IAM policy? (Select TWO)

Bản dịch tiếng Việt: Thành phần nào sau đây là thành phần chính của chính sách IAM? (Chọn HAI)

A. Protocol B. Effect (Allow or Deny) C. Action (what operations are permitted) D. Price E. Region

Correct answer: B, C Bản dịch đáp án đúng: B. Hiệu ứng (Cho phép hoặc Từ chối); C. Hành động (những hoạt động nào được phép)

🇬🇧 Explanation:

B ✅ "Effect" — Policy statement must have Effect (Allow or Deny)
C ✅ "Action" — Specifies what operations are permitted (e.g., "ec2:StartInstances")

These are core components of IAM policy documents (JSON).

🇻🇳 Giải thích: IAM policy = JSON với các thành phần:

Effect (Allow/Deny)
Action (what operations: ec2:*, s3:GetObject)
Resource (which resources: arn:aws:s3:::bucket/*)
Condition (khi nào apply)

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Protocol is not a policy component / Protocol không phải thành phần của policy
D — Price is not in an IAM policy / Price không nằm trong IAM policy
E — Region can appear in Condition, but it's not a core component / Region có thể nằm trong Condition, nhưng không phải thành phần cốt lõi

🔑 Key Concept / Khái niệm cốt lõi: IAM policy structure = Effect + Action + Resource + Condition (optional) / Cấu trúc IAM policy = Effect + Action + Resource + Condition (tùy chọn) 📚 Reference: Knowledge/domain-2-security-and-compliance.md § IAM Policies

Q22.

An organization wants to ensure that only the security team can modify security group rules. What AWS service should be used to implement this requirement?

Bản dịch tiếng Việt: Một tổ chức muốn đảm bảo rằng chỉ nhóm bảo mật mới có thể sửa đổi các quy tắc của nhóm bảo mật. Nên sử dụng dịch vụ AWS nào để thực hiện yêu cầu này?

A. AWS Security Hub B. Amazon GuardDuty C. AWS Identity and Access Management (IAM) D. AWS Config

Correct answer: C Bản dịch đáp án đúng: C. Quản lý quyền truy cập và nhận dạng AWS (IAM)

🇬🇧 Explanation: AWS Identity and Access Management (IAM) is the service used to control who can perform what actions on AWS resources. Use IAM policies to grant the security team permissions to modify security group rules while denying this permission to others.

🇻🇳 Giải thích: IAM = access control service. Tạo policy cho security team: cho phép ec2:AuthorizeSecurityGroupIngress/Egress. Outros teams: Deny. Đó là implementation của least privilege.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Security Hub monitors compliance, not access control / Security Hub giám sát tuân thủ, không phải kiểm soát truy cập
B — GuardDuty is threat detection, not access control / GuardDuty là phát hiện mối đe dọa, không phải kiểm soát truy cập
D — Config tracks changes, it doesn't prevent them / Config theo dõi thay đổi, không ngăn chặn chúng

🔑 Key Concept / Khái niệm cốt lõi: IAM = access control | Config = audit changes | SecurityHub = compliance monitoring / IAM = kiểm soát truy cập | Config = kiểm toán thay đổi | SecurityHub = giám sát tuân thủ 📚 Reference: Knowledge/domain-2-security-and-compliance.md § IAM for Access Control

Q23.

What is the primary difference between AWS Shield Standard and AWS Shield Advanced?

Bản dịch tiếng Việt: Sự khác biệt chính giữa AWS Shield Standard và AWS Shield Advanced là gì?

A. Standard protects against Layer 3 attacks; Advanced protects against Layer 7 attacks B. Standard is free and provides basic DDoS protection; Advanced is paid and provides enhanced DDoS protection with 24/7 support C. Standard requires manual activation; Advanced is automatically enabled D. Standard works only for EC2; Advanced works for all AWS services

Correct answer: B Bản dịch đáp án đúng: B. Tiêu chuẩn này miễn phí và cung cấp khả năng bảo vệ DDoS cơ bản; Nâng cao được trả phí và cung cấp khả năng bảo vệ DDoS nâng cao với sự hỗ trợ 24/7

🇬🇧 Explanation:

Shield Standard = free, provides basic DDoS protection (Layer 3-4) for all AWS customers
Shield Advanced = paid service ($3K/month), enhanced DDoS protection (Layer 3-7), 24/7 DDoS Response Team (DRT), financial protection

🇻🇳 Giải thích: Shield Standard = miễn phí, bảo vệ tầng 3-4 DDoS tự động (tất cả customers đều có). Shield Advanced = trả tiền, tầng 3-7 protection + DDoS experts 24/7 + DDoS insurance.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Shield doesn't differentiate by OSI layer in that way (Advanced covers L3-7) / Shield không phân biệt theo tầng OSI như vậy (Advanced bảo vệ tầng 3-7)
C — Standard is always enabled (not optional) / Standard luôn bật (không phải tùy chọn)
D — Both work for many AWS services, not just EC2 / Cả hai hoạt động cho nhiều dịch vụ AWS, không chỉ EC2

🔑 Key Concept / Khái niệm cốt lõi: Shield Standard = automatic, free | Shield Advanced = paid, enhanced / Shield Standard = tự động, miễn phí | Shield Advanced = trả phí, nâng cao 📚 Reference: Knowledge/domain-2-security-and-compliance.md § AWS Shield

Q24. (Select TWO)

Which of the following statements about AWS WAF (Web Application Firewall) are correct? (Select TWO)

Bản dịch tiếng Việt: Câu nào sau đây về AWS WAF (Tường lửa ứng dụng web) là đúng? (Chọn HAI)

A. WAF protects against network-level DDoS attacks exclusively B. WAF can block requests containing SQL injection patterns C. WAF rules can block requests from specific geographic locations D. WAF is automatically enabled for all CloudFront distributions E. WAF operates at the application layer (Layer 7)

Correct answer: B, E Bản dịch đáp án đúng: B. WAF có thể chặn các yêu cầu chứa các mẫu chèn SQL; E. WAF hoạt động ở lớp ứng dụng (Lớp 7)

🇬🇧 Explanation:

B ✅ "WAF can block requests containing SQL injection patterns" — Correct; WAF is designed to filter application-level attacks
E ✅ "WAF operates at Layer 7 (application layer)" — Correct; WAF is an application firewall, not network firewall

Both are accurate WAF capabilities.

🇻🇳 Giải thích: WAF (Web Application Firewall) = tầng 7 (application). Ngăn SQL injection, XSS, DDoS application-layer (Layer 7). Không ngăn network-level DDoS (đó là Shield).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — WAF is application-layer; Shield handles network-level DDoS / WAF ở tầng ứng dụng; Shield xử lý DDoS ở tầng mạng
C — WAF can do geo-blocking, but that's not its primary purpose / WAF có thể chặn theo địa lý, nhưng đó không phải mục đích chính
D — WAF is optional, not auto-enabled (it requires association) / WAF là tùy chọn, không tự bật (cần gắn vào resource)

🔑 Key Concept / Khái niệm cốt lõi: WAF = Layer 7 application firewall | Shield = Layer 3-4 DDoS / WAF = tường lửa ứng dụng tầng 7 | Shield = DDoS tầng 3-4 📚 Reference: Knowledge/domain-2-security-and-compliance.md § AWS WAF

Q25.

An organization requires a way to track configuration changes made to their AWS resources. Which service is most suitable?

Bản dịch tiếng Việt: Tổ chức cần có cách theo dõi các thay đổi cấu hình được thực hiện đối với tài nguyên AWS của họ. Dịch vụ nào phù hợp nhất?

A. Amazon CloudWatch B. AWS Config C. AWS CloudTrail D. Amazon GuardDuty

Correct answer: B Bản dịch đáp án đúng: B. Cấu hình AWS

🇬🇧 Explanation: AWS Config is the service that tracks configuration changes to AWS resources over time. It records what changed, when, and who made the change, providing a compliance and configuration history.

🇻🇳 Giải thích: AWS Config = configuration management service. Ghi nhớ "snapshot" của tất cả resources: "EC2 instance này thay đổi SG lúc 10:00 bởi ai". Dùng cho compliance audit.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — CloudWatch is metrics (not configuration) / CloudWatch là metrics (không phải cấu hình)
C — CloudTrail is API audit (not configuration state) / CloudTrail là kiểm toán API (không phải trạng thái cấu hình)
D — GuardDuty is threat detection (not configuration) / GuardDuty là phát hiện mối đe dọa (không phải cấu hình)

🔑 Key Concept / Khái niệm cốt lõi: Config = resource configuration tracking | CloudTrail = API audit / Config = theo dõi cấu hình tài nguyên | CloudTrail = kiểm toán API 📚 Reference: Knowledge/domain-2-security-and-compliance.md § AWS Config

Q26.

A company must ensure that all data stored in Amazon S3 is encrypted. What approach is most appropriate?

Bản dịch tiếng Việt: Công ty phải đảm bảo rằng tất cả dữ liệu được lưu trữ trên Amazon S3 đều được mã hóa. Cách tiếp cận nào là phù hợp nhất?

A. Require customers to encrypt data before uploading B. Enable default encryption at the S3 bucket level using KMS keys C. Configure S3 to deny all requests unless encrypted D. Manually encrypt each object after uploading

Correct answer: B Bản dịch đáp án đúng: B. Bật mã hóa mặc định ở cấp độ nhóm S3 bằng khóa KMS

🇬🇧 Explanation: Enable default encryption at the S3 bucket level using KMS keys (or S3-managed encryption). This ensures all new objects are automatically encrypted without requiring individual client encryption steps or S3 bucket policies denying unencrypted uploads.

🇻🇳 Giải thích: S3 default encryption = bucket-level setting. Enable encryption → tất cả objects tự động encrypt (không cần client encrypt trước). Dùng KMS key cho tối ưu control.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Requires client-side work (not scalable) / Đòi hỏi xử lý phía client (không mở rộng tốt)
C — Relying only on S3 bucket policies to "deny" is a weaker approach / Chỉ dựa vào S3 bucket policy để "deny" là cách yếu hơn
D — Manual per-object encryption (not scalable) / Mã hóa thủ công từng object (không mở rộng tốt)

🔑 Key Concept / Khái niệm cốt lõi: Default encryption at bucket-level = automatic, scalable, least-effort approach / Mã hóa mặc định ở cấp bucket = tự động, mở rộng tốt, ít công sức nhất 📚 Reference: Knowledge/domain-2-security-and-compliance.md § S3 Encryption

Q27.

What is the primary purpose of AWS Key Management Service (KMS)?

Bản dịch tiếng Việt: Mục đích chính của Dịch vụ quản lý khóa AWS (KMS) là gì?

A. Manage IAM users and their permissions B. Create and manage cryptographic keys for data encryption C. Monitor database performance D. Audit API activity across AWS services

Correct answer: B Bản dịch đáp án đúng: B. Tạo và quản lý khóa mật mã để mã hóa dữ liệu

🇬🇧 Explanation: AWS KMS is a managed key service for creating and managing cryptographic keys used for encryption. It allows you to encrypt data at rest, manage keys with rotation, and integrate with AWS services (S3, RDS, etc.).

🇻🇳 Giải thích: KMS = key management service. Tạo, rotate, revoke encryption keys. Tích hợp với S3, RDS, EBS, etc. để encrypt dữ liệu at-rest.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — IAM manages users/permissions (not encryption keys) / IAM quản lý users/permissions (không phải encryption keys)
C — CloudWatch monitors performance (not encryption) / CloudWatch giám sát hiệu năng (không phải mã hóa)
D — CloudTrail audits API (not encryption management) / CloudTrail kiểm toán API (không phải quản lý mã hóa)

🔑 Key Concept / Khái niệm cốt lõi: KMS = cryptographic key management | IAM = access control / KMS = quản lý khóa mã hóa | IAM = kiểm soát truy cập 📚 Reference: Knowledge/domain-2-security-and-compliance.md § KMS

Q28. (Select TWO)

Which of the following describe the principle of "least privilege" in IAM? (Select TWO)

Bản dịch tiếng Việt: Điều nào sau đây mô tả nguyên tắc "đặc quyền tối thiểu" trong IAM? (Chọn HAI)

A. Grant users the broadest permissions possible to ensure they can complete any task B. Grant users only the minimum permissions necessary to perform their job function C. Regularly audit and remove unnecessary permissions D. Enable all users to access all AWS resources E. Use IAM roles to delegate temporary credentials

Correct answer: B, C Bản dịch đáp án đúng: B. Chỉ cấp cho người dùng những quyền tối thiểu cần thiết để thực hiện chức năng công việc của họ; C. Thường xuyên kiểm tra và loại bỏ các quyền không cần thiết

🇬🇧 Explanation:

B ✅ "Grant users only minimum permissions necessary for job function" — This is the definition of least privilege
C ✅ "Regularly audit and remove unnecessary permissions" — This is the enforcement/maintenance of least privilege

Both describe the principle and its implementation.

🇻🇳 Giải thích: Least Privilege = "tối thiểu quyền cần thiết" + "audit & remove thừa". Ví dụ: EC2 developer chỉ cần ec2:DescribeInstances + ec2:StartInstances, không cần Delete/Modify.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Opposite of least privilege (granting broad permissions) / Ngược với least privilege (cấp quyền rộng)
D — All users accessing all resources violates least privilege / Mọi user truy cập mọi tài nguyên = vi phạm least privilege
E — While true, B+C are the more fundamental descriptions / Tuy đúng, nhưng B+C mới là mô tả cốt lõi hơn

🔑 Key Concept / Khái niệm cốt lõi: Least Privilege = minimum permissions + regular audit / Least Privilege = quyền tối thiểu + kiểm tra định kỳ 📚 Reference: Knowledge/domain-2-security-and-compliance.md § IAM Least Privilege

Q29.

An organization needs to manage multiple AWS accounts with centralized billing and apply security policies across all accounts. Which AWS service is most appropriate?

Bản dịch tiếng Việt: Một tổ chức cần quản lý nhiều tài khoản AWS bằng tính năng thanh toán tập trung và áp dụng các chính sách bảo mật trên tất cả các tài khoản. Dịch vụ AWS nào phù hợp nhất?

A. AWS Identity and Access Management (IAM) B. AWS Organizations C. Amazon VPC D. AWS CloudFormation

Correct answer: B Bản dịch đáp án đúng: B. Tổ chức AWS

🇬🇧 Explanation: AWS Organizations is the service for managing multiple AWS accounts with centralized billing and consolidated management. It allows you to apply policies across accounts, create billing hierarchies, and enforce security standards organization-wide.

🇻🇳 Giải thích: AWS Organizations = centralized management cho multiple accounts. Consolidated billing (lấy volume discount), apply policies (SCP) toàn tổ chức, create organizational structure.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — IAM manages access within an account, not multiple accounts / IAM quản lý truy cập trong một account, không phải nhiều account
C — VPC is networking, not account management / VPC là mạng, không phải quản lý account
D — CloudFormation deploys infrastructure, it doesn't manage accounts / CloudFormation triển khai hạ tầng, không quản lý account

🔑 Key Concept / Khái niệm cốt lõi: Organizations = multi-account management | IAM = single-account access control / Organizations = quản lý nhiều account | IAM = kiểm soát truy cập trong một account 📚 Reference: Knowledge/domain-2-security-and-compliance.md § AWS Organizations

Q30.

What is the primary purpose of AWS Artifact?

Bản dịch tiếng Việt: Mục đích chính của AWS Artifact là gì?

A. Store and manage application artifacts (binaries, libraries) B. Provide on-demand access to AWS compliance documents and security reports C. Monitor application performance metrics D. Automatically remediate security misconfigurations

Correct answer: B Bản dịch đáp án đúng: B. Cung cấp quyền truy cập theo yêu cầu vào các tài liệu tuân thủ và báo cáo bảo mật của AWS

🇬🇧 Explanation: AWS Artifact provides on-demand access to AWS security and compliance documents (SOC 2, ISO 27001, PCI DSS reports, etc.). It's essential for compliance teams and auditors needing proof of AWS's security certifications.

🇻🇳 Giải thích: AWS Artifact = compliance document repository. Download SOC 2, ISO 27001, PCI DSS reports on-demand. Dùng cho compliance audits, regulatory requirements.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Artifact is for compliance documents (not application artifacts/binaries) / Artifact dùng cho tài liệu tuân thủ (không phải artifact/binary của ứng dụng)
C — CloudWatch monitors metrics (not compliance docs) / CloudWatch giám sát metrics (không phải tài liệu tuân thủ)
D — Config and Security Hub do remediation/monitoring (Artifact just provides docs) / Config và Security Hub thực hiện khắc phục/giám sát (Artifact chỉ cung cấp tài liệu)

🔑 Key Concept / Khái niệm cốt lõi: Artifact = compliance document access | Config = remediation / Artifact = truy cập tài liệu tuân thủ | Config = khắc phục 📚 Reference: Knowledge/domain-2-security-and-compliance.md § AWS Artifact

Q31. (Select THREE)

Which of the following are responsibilities of the customer under the AWS Shared Responsibility Model? (Select THREE)

Bản dịch tiếng Việt: Đâu là trách nhiệm của khách hàng trong Mô hình trách nhiệm chung của AWS? (Chọn BA)

A. Patching the hypervisor B. Configuring security groups and network ACLs C. Maintaining physical data center infrastructure D. Encrypting data at rest and in transit E. Patching operating systems on EC2 instances

Correct answer: B, D, E Bản dịch đáp án đúng: B. Định cấu hình nhóm bảo mật và ACL mạng; D. Mã hóa dữ liệu ở trạng thái nghỉ và đang di chuyển; E. Vá hệ điều hành trên phiên bản EC2

🇬🇧 Explanation:

B ✅ "Configuring security groups and NACLs" — Customer responsibility for network security
D ✅ "Encrypting data at rest and in transit" — Customer responsibility for data protection
E ✅ "Patching operating systems on EC2" — Customer responsibility for OS maintenance

All are clearly customer responsibilities under Shared Responsibility Model.

🇻🇳 Giải thích: Câu B: Network config (SG, NACL) = bạn lo. Câu D: Data encryption = bạn lo. Câu E: OS patching on EC2 = bạn lo (khác RDS).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Hypervisor patching is an AWS responsibility / Patch hypervisor là trách nhiệm của AWS
C — Physical data center is an AWS responsibility / Data center vật lý là trách nhiệm của AWS

🔑 Key Concept / Khái niệm cốt lõi: Customer responsibilities = data + OS + access + config / Trách nhiệm của khách hàng = data + OS + truy cập + cấu hình 📚 Reference: Knowledge/domain-2-security-and-compliance.md § Customer Responsibilities

Q32.

A financial services company must comply with PCI DSS regulations. Which AWS service helps track compliance requirements and generate compliance reports?

Bản dịch tiếng Việt: Một công ty dịch vụ tài chính phải tuân thủ các quy định PCI DSS. Dịch vụ AWS nào giúp theo dõi các yêu cầu tuân thủ và tạo báo cáo tuân thủ?

A. AWS CloudTrail B. Amazon GuardDuty C. AWS Artifact D. AWS Config

Correct answer: C Bản dịch đáp án đúng: C. Cấu phần AWS

🇬🇧 Explanation: AWS Artifact provides compliance reports (including PCI DSS) on-demand. While AWS Config and CloudTrail are useful for monitoring, only Artifact provides official PCI DSS compliance documents needed for regulatory compliance reporting.

🇻🇳 Giải thích: PCI DSS compliance = cần official reports. AWS Artifact provides on-demand PCI DSS, SOC 2, ISO reports. CloudTrail & Config helpful for monitoring, but Artifact for official compliance docs.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — CloudTrail is API audit (not compliance reporting) / CloudTrail là kiểm toán API (không phải báo cáo tuân thủ)
B — GuardDuty is threat detection (not compliance) / GuardDuty là phát hiện mối đe dọa (không phải tuân thủ)
D — Config is configuration tracking (not compliance reporting) / Config là theo dõi cấu hình (không phải báo cáo tuân thủ)

🔑 Key Concept / Khái niệm cốt lõi: Artifact = official compliance docs | Config = configuration audit / Artifact = tài liệu tuân thủ chính thức | Config = kiểm toán cấu hình 📚 Reference: Knowledge/domain-2-security-and-compliance.md § Compliance Reporting

Q33.

What is the primary difference between a Security Group and a Network ACL?

Bản dịch tiếng Việt: Sự khác biệt chính giữa Nhóm bảo mật và ACL mạng là gì?

A. Security Groups operate at the Region level; Network ACLs operate at the Availability Zone level B. Security Groups are stateless; Network ACLs are stateful C. Security Groups are stateful and operate at the instance level; Network ACLs are stateless and operate at the subnet level D. There is no functional difference between them

Correct answer: C Bản dịch đáp án đúng: C. Nhóm bảo mật có trạng thái và hoạt động ở cấp độ phiên bản; ACL mạng không có trạng thái và hoạt động ở cấp mạng con

🇬🇧 Explanation:

Security Groups = stateful, operate at instance level, allow/deny by default denies all ingress
Network ACLs = stateless, operate at subnet level, require explicit allow/deny rules, apply to all instances in subnet

This is a crucial distinction for VPC security design.

🇻🇳 Giải thích: Security Group (instance-level, stateful): mở port 22 → SSH reply tự động. Network ACL (subnet-level, stateless): phải mở port 22 inbound AND reply port outbound. Layer khác nhau, behavior khác nhau.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Both work within a single Region (no regional scope difference) / Cả hai hoạt động trong một Region (không khác về phạm vi region)
B — Opposite of reality — SG is stateful, NACL is stateless / Ngược với thực tế — SG là stateful, NACL là stateless
D — They do have distinct differences / Chúng có những khác biệt rõ ràng

🔑 Key Concept / Khái niệm cốt lõi: SG = stateful instance-level | NACL = stateless subnet-level / SG = stateful cấp instance | NACL = stateless cấp subnet 📚 Reference: Knowledge/domain-2-security-and-compliance.md § VPC Security — SG vs NACL

Q34.

An organization discovers that an IAM user has credentials exposed on the internet. What should be the immediate action?

Bản dịch tiếng Việt: Một tổ chức phát hiện ra rằng người dùng IAM có thông tin xác thực bị lộ trên internet. Hành động ngay lập tức nên là gì?

A. Monitor the account for suspicious activity B. Delete the user account and create a new one C. Deactivate the access keys and force a password reset D. Restrict the user to read-only permissions

Correct answer: C Bản dịch đáp án đúng: C. Vô hiệu hóa các phím truy cập và buộc đặt lại mật khẩu

🇬🇧 Explanation: When IAM credentials are exposed, immediately deactivate access keys and force a password reset. This prevents the compromised credentials from being used while maintaining the user account for legitimate future access.

🇻🇳 Giải thích: Exposed credentials = immediate action:

Deactivate access keys (tạm ngừng)
Force password reset (user tạo new password)
Review CloudTrail để thấy ai dùng credentials Không nên xóa user account (mất data, audit trail).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Only monitoring is insufficient (too slow) / Chỉ giám sát là không đủ (quá chậm)
B — Deleting the account loses the audit trail and causes operational disruption / Xóa account làm mất audit trail và gây gián đoạn vận hành
D — Read-only permissions still allow damage (need to block completely) / Quyền read-only vẫn cho phép gây hại (cần chặn hoàn toàn)

🔑 Key Concept / Khái niệm cốt lõi: Exposed credentials = deactivate keys + force password reset (minimal disruption, maximum protection) / Lộ credentials = vô hiệu hóa keys + buộc đổi mật khẩu (gián đoạn tối thiểu, bảo vệ tối đa) 📚 Reference: Knowledge/domain-2-security-and-compliance.md § Credential Compromise

Q35. (Select TWO)

Which statements correctly describe multi-factor authentication (MFA) in AWS? (Select TWO)

Bản dịch tiếng Việt: Câu nào mô tả chính xác xác thực đa yếu tố (MFA) trong AWS? (Chọn HAI)

A. MFA is optional for the root account B. MFA requires a second form of verification in addition to username and password C. MFA protects against password compromise D. MFA is required for all AWS service API calls E. Hardware MFA devices and virtual MFA are both supported

Correct answer: B, E Bản dịch đáp án đúng: B. MFA yêu cầu hình thức xác minh thứ hai ngoài tên người dùng và mật khẩu; E. Các thiết bị MFA phần cứng và MFA ảo đều được hỗ trợ

🇬🇧 Explanation:

B ✅ "MFA requires second form of verification in addition to username/password" — Correct definition of MFA
E ✅ "Hardware MFA devices and virtual MFA are both supported" — Correct; AWS supports both types

Both are accurate MFA descriptions.

🇻🇳 Giải thích: MFA = "2-factor authentication": password + code (phone/hardware key). AWS support: virtual MFA (Google Authenticator, Authy) + hardware MFA (FIDO2 key, hardware device).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — MFA is strongly recommended (mandatory best practice) for the root account, not merely optional / MFA được khuyến nghị mạnh (best practice bắt buộc) cho root account, không chỉ là tùy chọn
C — It protects against password compromise, but the password is still required (so the statement is false) / Nó bảo vệ khi mật khẩu bị lộ, nhưng vẫn cần mật khẩu (nên phát biểu này sai)
D — MFA is not required for all API calls (just recommended) / MFA không bắt buộc cho mọi API call (chỉ được khuyến nghị)

🔑 Key Concept / Khái niệm cốt lõi: MFA = second factor + both virtual and hardware supported / MFA = yếu tố thứ hai + hỗ trợ cả virtual và hardware 📚 Reference: Knowledge/domain-2-security-and-compliance.md § MFA

Q36.

A company must ensure that only users from specific IP addresses can access AWS resources. Which solution is most appropriate?

Bản dịch tiếng Việt: Công ty phải đảm bảo rằng chỉ người dùng từ các địa chỉ IP cụ thể mới có thể truy cập tài nguyên AWS. Giải pháp nào là phù hợp nhất?

A. Use AWS Shield to restrict IP addresses B. Configure IAM policies with IP-based conditions C. Disable internet access to the AWS account D. Use SecurityHub to monitor access attempts

Correct answer: B Bản dịch đáp án đúng: B. Định cấu hình chính sách IAM với các điều kiện dựa trên IP

🇬🇧 Explanation: Use IAM policies with IP-based conditions (using the aws:SourceIp condition). This allows you to restrict AWS API calls to specific IP addresses, implementing IP-based access control at the identity level.

🇻🇳 Giải thích: IAM policy với condition: "aws:SourceIp" = "203.0.113.0/24" → chỉ từ IP này gọi API được. Restrict API access by IP (not network-level). Security Group restrict network traffic (khác level).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Shield is DDoS protection (not IP restriction) / Shield là bảo vệ DDoS (không phải giới hạn IP)
C — Disabling internet access is too broad (breaks operations) / Tắt truy cập internet là quá rộng (làm hỏng vận hành)
D — Security Hub is monitoring (not enforcement) / Security Hub là giám sát (không phải thực thi)

🔑 Key Concept / Khái niệm cốt lõi: IAM conditions = IP-based API access control | Security Groups = network-level access / IAM conditions = kiểm soát truy cập API theo IP | Security Groups = truy cập ở cấp mạng 📚 Reference: Knowledge/domain-2-security-and-compliance.md § IAM Conditions

Domain 3: Cloud Technology and Services (Q37–Q58)

Q37.

A company needs to host a web application with predictable, stable traffic. Which EC2 purchasing option provides the best cost optimization?

Bản dịch tiếng Việt: Một công ty cần lưu trữ một ứng dụng web với lưu lượng truy cập ổn định và có thể dự đoán được. Tùy chọn mua EC2 nào giúp tối ưu hóa chi phí tốt nhất?

A. On-Demand Instances B. Spot Instances C. Reserved Instances D. Dedicated Hosts

Correct answer: C Bản dịch đáp án đúng: C. Phiên bản dự trữ

🇬🇧 Explanation: For predictable, stable traffic, Reserved Instances provide the best cost optimization (up to 72% discount vs On-Demand). You commit to 1 or 3 years and get significant savings. Spot Instances are cheaper but interrupted, On-Demand is most expensive.

🇻🇳 Giải thích: Stable traffic = predictable usage → Reserved Instances (1-3 năm) = 30-72% discount. On-Demand = đắt nhất. Spot = rẻ nhất nhưng bị interrupt (không phù hợp stable app).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — On-Demand has no discount and is the most expensive / On-Demand không có giảm giá và đắt nhất
B — Spot carries interruption risk (not suitable for stable workloads) / Spot có rủi ro bị ngắt (không phù hợp workload ổn định)
D — Dedicated Hosts are for licensing (not cost-effective here) / Dedicated Hosts dùng cho licensing (không tối ưu chi phí ở đây)

🔑 Key Concept / Khái niệm cốt lõi: Reserved = long-term commitment discount | Spot = cheap but interrupted | On-Demand = flexible, expensive / Reserved = giảm giá theo cam kết dài hạn | Spot = rẻ nhưng bị ngắt | On-Demand = linh hoạt, đắt 📚 Reference: Knowledge/domain-4-billing-pricing-and-support.md § Pricing Models

Q38. (Select TWO)

Which of the following are characteristics of Amazon S3 storage classes? (Select TWO)

Bản dịch tiếng Việt: Đặc điểm nào sau đây là đặc điểm của lớp lưu trữ Amazon S3? (Chọn HAI)

A. S3 Standard is the most cost-effective for all use cases B. S3 Glacier Flexible Retrieval is suitable for long-term archive with infrequent access C. S3 Intelligent-Tiering automatically moves objects between access tiers D. S3 One Zone-IA replicates data across multiple regions automatically E. S3 Deep Archive offers the fastest retrieval times

Correct answer: B, C Bản dịch đáp án đúng: B. Truy xuất linh hoạt S3 Glacier phù hợp để lưu trữ lâu dài với tần suất truy cập không thường xuyên; C. S3 Phân bậc thông minh tự động di chuyển các đối tượng giữa các tầng truy cập

🇬🇧 Explanation:

B ✅ "S3 Glacier Flexible Retrieval suitable for long-term archive" — Correct; Glacier is for infrequently accessed, long-term storage
C ✅ "S3 Intelligent-Tiering automatically moves objects between tiers" — Correct; it optimizes based on access patterns

Both are accurate S3 storage class characteristics.

🇻🇳 Giải thích: Câu B: Glacier = cold storage cho archive (infrequent access, low cost). Câu C: Intelligent-Tiering = tự động move dữ liệu giữa access tiers dựa pattern.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — S3 Standard isn't the most cost-effective for all cases (Glacier/Archive are cheaper for infrequent access) / S3 Standard không tối ưu chi phí cho mọi trường hợp (Glacier/Archive rẻ hơn khi ít truy cập)
D — S3 One Zone-IA does NOT replicate across regions (single AZ) / S3 One Zone-IA KHÔNG sao chép qua các region (chỉ một AZ)
E — Deep Archive has the slowest retrieval (hours/days), not the fastest / Deep Archive có thời gian lấy dữ liệu chậm nhất (giờ/ngày), không phải nhanh nhất

🔑 Key Concept / Khái niệm cốt lõi: S3 Standard = frequent | Glacier = infrequent | Intelligent-Tiering = automatic optimization / S3 Standard = truy cập thường xuyên | Glacier = ít truy cập | Intelligent-Tiering = tối ưu tự động 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § S3 Storage Classes

Q39.

An application requires real-time analytics on data stored in S3. Which AWS service is most appropriate?

Bản dịch tiếng Việt: Ứng dụng yêu cầu phân tích thời gian thực về dữ liệu được lưu trữ trong S3. Dịch vụ AWS nào phù hợp nhất?

A. Amazon Athena (query S3 with SQL) B. Amazon Redshift (data warehouse) C. Amazon DynamoDB (NoSQL database) D. AWS Lambda (serverless compute)

Correct answer: A Bản dịch đáp án đúng: A. Amazon Athena (truy vấn S3 bằng SQL)

🇬🇧 Explanation: Amazon Athena allows you to query data stored in S3 using SQL directly, without loading into a database. It's perfect for real-time analytics on S3 data, with pay-per-query pricing.

🇻🇳 Giải thích: Athena = query S3 directly with SQL. Không cần load data vào database (chậm). Real-time analytics, cost-effective (trả theo query).

❌ Why others are wrong / Vì sao đáp án khác sai:

B — Redshift is a data warehouse (requires loading data, more setup) / Redshift là data warehouse (cần load data, nhiều thiết lập hơn)
C — DynamoDB is NoSQL (not designed for analytics queries) / DynamoDB là NoSQL (không thiết kế cho truy vấn phân tích)
D — Lambda is compute (not designed for analytics) / Lambda là compute (không thiết kế cho phân tích)

🔑 Key Concept / Khái niệm cốt lõi: Athena = SQL on S3 (direct query) | Redshift = data warehouse (load data) / Athena = SQL trực tiếp trên S3 | Redshift = data warehouse (cần load data) 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Analytics Services

Q40.

A company needs a managed relational database that automatically scales and offers high availability across multiple Availability Zones. Which service is most suitable?

Bản dịch tiếng Việt: Công ty cần một cơ sở dữ liệu quan hệ được quản lý, có khả năng tự động mở rộng quy mô và cung cấp tính sẵn sàng cao trên nhiều Availability Zone. Dịch vụ nào phù hợp nhất?

A. Amazon RDS B. Amazon Aurora C. Amazon DynamoDB D. Amazon Redshift

Correct answer: B Bản dịch đáp án đúng: B. Amazon cực quang

🇬🇧 Explanation: Amazon Aurora is the best choice for a managed relational database with automatic scaling and multi-AZ high availability. It offers better performance and reliability than standard RDS, with automatic failover and replication.

🇻🇳 Giải thích: Aurora = managed relational DB + automatic HA (multi-AZ) + auto-scaling + faster performance. RDS = good, but Aurora = next-level (better for HA).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — RDS works, but Aurora is better here (more HA, better performance) / RDS dùng được, nhưng Aurora tốt hơn (HA cao hơn, hiệu năng tốt hơn)
C — DynamoDB is NoSQL (not relational) / DynamoDB là NoSQL (không phải quan hệ)
D — Redshift is a data warehouse (not transactional) / Redshift là data warehouse (không phải giao dịch)

🔑 Key Concept / Khái niệm cốt lõi: Aurora = managed relational + HA | RDS = managed relational (basic) / Aurora = quan hệ managed + HA | RDS = quan hệ managed (cơ bản) 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Database Services

Q41. (Select TWO)

Which statements accurately describe Amazon EC2 instance types? (Select TWO)

Bản dịch tiếng Việt: Câu nào mô tả chính xác các loại phiên bản Amazon EC2? (Chọn HAI)

A. T-family instances are designed for compute-intensive workloads B. M-family instances are general-purpose, offering a balance of compute, memory, and networking C. R-family instances are optimized for memory-intensive workloads D. M-family instances are only available in AWS Regions with 5+ Availability Zones E. Instance type cannot be changed once launched

Correct answer: B, C Bản dịch đáp án đúng: B. Các phiên bản dòng M có mục đích chung, cung cấp sự cân bằng giữa điện toán, bộ nhớ và kết nối mạng; C. Phiên bản dòng R được tối ưu hóa cho khối lượng công việc sử dụng nhiều bộ nhớ

🇬🇧 Explanation:

B ✅ M-family = general-purpose, balancing compute, memory, and networking (good default for web/app servers)
C ✅ R-family = memory-optimized (databases, in-memory caches, real-time big data analytics)

Both statements accurately describe EC2 instance families.

🇻🇳 Giải thích: EC2 instance families:

T = burstable, general purpose (web apps)
M = general purpose (cân bằng compute/memory/network)
C = compute-optimized (HPC, analytics)
R = memory-optimized (databases, caches)

❌ Why others are wrong / Vì sao đáp án khác sai:

A — T-family is burstable/general-purpose, NOT compute-intensive (C-family is) / Họ T là burstable/general-purpose, KHÔNG phải compute-intensive (họ C mới là vậy)
D — M-family is broadly available; not limited to Regions with 5+ AZs / Họ M có rộng rãi; không giới hạn ở các Region có 5+ AZs
E — Instance type CAN be changed (stop the instance, change type, restart) / Instance type CÓ THỂ thay đổi (dừng instance, đổi type, khởi động lại)

🔑 Key Concept / Khái niệm cốt lõi: Instance families = T (burstable), M (general), C (compute), R (memory), I (storage), G (GPU) / Họ instance = T (burstable), M (general), C (compute), R (memory), I (storage), G (GPU) 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § EC2 Instance Types

Q42.

A startup needs to run occasional batch processing jobs that can tolerate interruptions. Which EC2 purchasing option is most cost-effective?

Bản dịch tiếng Việt: Một công ty khởi nghiệp cần thỉnh thoảng chạy các công việc xử lý hàng loạt để có thể chịu đựng được sự gián đoạn. Tùy chọn mua EC2 nào tiết kiệm chi phí nhất?

A. On-Demand Instances B. Reserved Instances (1-year or 3-year) C. Spot Instances D. Dedicated Instances

Correct answer: C Bản dịch đáp án đúng: C. Phiên bản Spot

🇬🇧 Explanation: Spot Instances are the most cost-effective for fault-tolerant batch jobs that can tolerate interruptions. Spot offers up to 90% discount for interruptible workloads like batch processing, ML training, etc.

🇻🇳 Giải thích: Batch processing = job có thể restart nếu interrupt. Spot Instances = rẻ nhất (70-90% discount) nhưng bị interrupt. Perfect match cho batch jobs.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — On-Demand has no discount (too expensive) / On-Demand không có giảm giá (quá đắt)
B — Reserved requires a 1-3 year commitment (unnecessary for occasional batch jobs) / Reserved cần cam kết 1-3 năm (không cần thiết cho batch job thỉnh thoảng)
D — Dedicated is for licensing (most expensive) / Dedicated dùng cho licensing (đắt nhất)

🔑 Key Concept / Khái niệm cốt lõi: Spot = cheap, interruptible | Reserved = commitment-based discount | On-Demand = flexible but expensive / Spot = rẻ, có thể bị ngắt | Reserved = giảm giá theo cam kết | On-Demand = linh hoạt nhưng đắt 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § EC2 Pricing

Q43.

A company needs to host static content (HTML, CSS, JavaScript) with the lowest latency globally. Which solution is most appropriate?

Bản dịch tiếng Việt: Một công ty cần lưu trữ nội dung tĩnh (HTML, CSS, JavaScript) với độ trễ thấp nhất trên toàn cầu. Giải pháp nào là phù hợp nhất?

A. Amazon EC2 with Elastic Load Balancing B. Amazon S3 with CloudFront distribution C. Amazon RDS with multi-region read replicas D. AWS Lambda with API Gateway

Correct answer: B Bản dịch đáp án đúng: B. Amazon S3 với bản phân phối CloudFront

🇬🇧 Explanation: Amazon S3 combined with CloudFront distribution is the ideal solution for hosting static content globally with lowest latency. CloudFront caches content at 700+ edge locations worldwide, providing fast delivery.

🇻🇳 Giải thích: S3 + CloudFront = static files (HTML, CSS, JS) + global edge caching. CloudFront = 700+ edge locations globally = latency thấp. Dễ, rẻ, scalable.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — EC2 + ELB is for dynamic content, not optimal for static (no caching) / EC2 + ELB dành cho nội dung động, không tối ưu cho static (không có caching)
C — RDS multi-region reads are for databases (not static content) / RDS multi-region reads dùng cho database (không phải nội dung tĩnh)
D — Lambda + API Gateway is for APIs (not static files) / Lambda + API Gateway dùng cho API (không phải file tĩnh)

🔑 Key Concept / Khái niệm cốt lõi: S3 + CloudFront = global static content delivery / S3 + CloudFront = phân phối nội dung tĩnh toàn cầu 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Content Delivery

Q44. (Select THREE)

Which of the following are valid storage services in AWS? (Select THREE)

Bản dịch tiếng Việt: Dịch vụ nào sau đây là dịch vụ lưu trữ hợp lệ trong AWS? (Chọn BA)

A. Amazon EC2 Instance Store B. Amazon S3 C. Amazon EBS D. AWS Lambda E. Amazon Athena

Correct answer: A, B, C Bản dịch đáp án đúng: A. Cửa hàng phiên bản Amazon EC2; B. Amazon S3; C. Amazon EBS

🇬🇧 Explanation:

A ✅ EC2 Instance Store — Temporary block storage (ephemeral)
B ✅ Amazon S3 — Object storage (durable, replicated)
C ✅ Amazon EBS — Block storage (persistent)

These are the three valid storage services among the options. Lambda (compute) and Athena (analytics) are not storage services.

🇻🇳 Giải thích: Storage services:

EC2 Instance Store = temporary, lost when instance stops
S3 = object storage (durable 11 9s)
EBS = block storage (persistent)

❌ Why others are wrong / Vì sao đáp án khác sai:

D — Lambda is a serverless compute service (not storage) / Lambda là dịch vụ compute serverless (không phải storage)
E — Athena is a serverless interactive query/analytics service (not storage) / Athena là dịch vụ truy vấn/phân tích tương tác serverless (không phải storage)

Q45.

A company needs to store files that are accessed frequently by multiple EC2 instances across different Availability Zones. Which AWS storage service is most appropriate?

Bản dịch tiếng Việt: Một công ty cần lưu trữ các tệp được nhiều phiên bản EC2 truy cập thường xuyên trên nhiều Availability Zone khác nhau. Dịch vụ lưu trữ AWS nào phù hợp nhất?

A. Amazon EBS (Elastic Block Store) B. Amazon EFS (Elastic File System) C. Amazon S3 D. AWS Storage Gateway

Correct answer: B Bản dịch đáp án đúng: B. Amazon EFS (Hệ thống tệp đàn hồi)

🇬🇧 Explanation: Amazon EFS (Elastic File System) is the correct choice for files accessed frequently by multiple EC2 instances across different Availability Zones. EFS is a managed network file system that provides shared, persistent storage accessible from multiple instances.

🇻🇳 Giải thích: EFS = shared file system. Multiple EC2 instances across AZs → read/write chung từ EFS. EBS = block storage (single instance) → không share. S3 = object storage (different API).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — EBS is block storage (attached to a single instance) / EBS là block storage (gắn vào một instance)
C — S3 is object storage (different access pattern) / S3 là object storage (mẫu truy cập khác)
D — Storage Gateway is hybrid on-premises (not cloud-native) / Storage Gateway là hybrid on-premises (không phải cloud-native)

🔑 Key Concept / Khái niệm cốt lõi: EFS = shared file system across AZs | EBS = single-instance block storage / EFS = file system chia sẻ qua các AZs | EBS = block storage cho một instance 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Storage Services — EFS

Q46.

An organization needs to migrate 100 TB of data from on-premises to AWS in two weeks. Which AWS service is most suitable?

Bản dịch tiếng Việt: Một tổ chức cần di chuyển 100 TB dữ liệu từ tại chỗ sang AWS trong hai tuần. Dịch vụ AWS nào phù hợp nhất?

A. AWS DataSync B. AWS Database Migration Service (DMS) C. AWS Snow Family (Snowball) D. AWS Direct Connect

Correct answer: C Bản dịch đáp án đúng: C. Gia đình AWS Snow (Snowball)

🇬🇧 Explanation: For large data transfers (100 TB) on tight deadlines, AWS Snow Family (Snowball) is the most practical choice. Physical data transfer appliances ship to your location, you load data, they transport to AWS data center. Much faster than internet for large volumes.

🇻🇳 Giải thích: 100 TB in 2 weeks = internet quá chậm. AWS Snow Family (Snowball) = physical device ship to you → load data → AWS ships back to data center. Nhanh hơn internet transfer 1000 lần cho large volume.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — DataSync is online transfer (too slow for 100 TB) / DataSync là chuyển online (quá chậm cho 100 TB)
B — DMS is a database migration tool (not general data) / DMS là công cụ migrate database (không phải dữ liệu chung)
D — Direct Connect is a dedicated connection (takes months to set up) / Direct Connect là kết nối riêng (mất nhiều tháng để thiết lập)

🔑 Key Concept / Khái niệm cốt lõi: Snow Family = physical data transfer for large volumes | DataSync = online transfer / Snow Family = chuyển dữ liệu vật lý cho khối lượng lớn | DataSync = chuyển online 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Data Migration

Q47. (Select TWO)

Which statements are accurate regarding Amazon RDS and Amazon DynamoDB? (Select TWO)

Bản dịch tiếng Việt: Câu nào chính xác về Amazon RDS và Amazon DynamoDB? (Chọn HAI)

A. RDS is a relational database; DynamoDB is a NoSQL database B. RDS requires you to manage database patches; DynamoDB is fully managed by AWS C. RDS and DynamoDB can be used interchangeably D. DynamoDB provides single-digit millisecond latency E. RDS is more cost-effective for unstructured data

Correct answer: A, D Bản dịch đáp án đúng: A. RDS là cơ sở dữ liệu quan hệ; DynamoDB là cơ sở dữ liệu NoSQL; D. DynamoDB cung cấp độ trễ mili giây một chữ số

🇬🇧 Explanation:

A ✅ "RDS relational; DynamoDB NoSQL" — Correct; they serve different data models
D ✅ "DynamoDB provides single-digit millisecond latency" — Correct; DynamoDB is optimized for low-latency access

Both are accurate distinctions.

🇻🇧 Giải thích: Câu A: RDS = SQL (structured tables) | DynamoDB = NoSQL (key-value, flexible schema). Câu D: DynamoDB = ultra-fast (single-digit ms) cho real-time apps.

❌ Why others are wrong / Vì sao đáp án khác sai:

B — DynamoDB IS fully managed (true, but it's not a distinction versus RDS) / DynamoDB LÀ fully managed (đúng, nhưng không phải điểm phân biệt so với RDS)
C — They are not interchangeable (different data models) / Không thể thay thế cho nhau (mô hình dữ liệu khác nhau)
E — RDS is NOT better for unstructured data (DynamoDB is) / RDS KHÔNG tốt hơn cho dữ liệu phi cấu trúc (DynamoDB mới vậy)

🔑 Key Concept / Khái niệm cốt lõi: RDS = relational + managed patches | DynamoDB = NoSQL + fast + fully managed / RDS = quan hệ + AWS patch | DynamoDB = NoSQL + nhanh + fully managed 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Database Comparison

Q48.

A company needs to deploy a Lambda function that processes S3 objects. However, the function needs to run for up to 30 minutes. Is this possible?

Bản dịch tiếng Việt: Một công ty cần triển khai hàm Lambda để xử lý các đối tượng S3. Tuy nhiên, chức năng này cần chạy tối đa 30 phút. Điều này có thể thực hiện được không?

A. Yes, Lambda supports execution durations up to 30 minutes B. No, Lambda has a maximum timeout of 15 minutes C. Yes, but only if using Provisioned Concurrency D. No, Lambda cannot interact with S3 objects

Correct answer: B Bản dịch đáp án đúng: B. Không, Lambda có thời gian chờ tối đa là 15 phút

🇬🇧 Explanation: Lambda has a maximum timeout of 15 minutes (900 seconds). If your function needs to run for 30 minutes, Lambda is not suitable. You'd need EC2, Fargate, or Step Functions for longer-running tasks.

🇻🇳 Giải thích: Lambda max timeout = 15 minutes (900 giây). Process S3 object trong 30 minutes = Lambda không phù hợp. Cần EC2, Fargate, hoặc orchestrate với Step Functions.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Lambda's max is 15 min (not 30 min) / Giới hạn Lambda là 15 phút (không phải 30 phút)
C — Provisioned Concurrency is about warm parallel execution (not a longer timeout) / Provisioned Concurrency là chạy song song sẵn sàng (không phải kéo dài timeout)
D — Lambda CAN interact with S3 (so this reason is incorrect) / Lambda CÓ THỂ tương tác với S3 (nên lý do này sai)

🔑 Key Concept / Khái niệm cốt lõi: Lambda max timeout = 15 minutes | For longer → EC2/Fargate/Step Functions / Timeout tối đa của Lambda = 15 phút | Cần lâu hơn → EC2/Fargate/Step Functions 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Lambda Limitations

Q49.

What is the primary benefit of Amazon VPC (Virtual Private Cloud)?

Bản dịch tiếng Việt: Lợi ích chính của Amazon VPC (Đám mây riêng ảo) là gì?

A. Provides a managed relational database service B. Allows you to create an isolated network within AWS with control over IP addressing, subnets, and routing C. Automatically scales your applications based on demand D. Provides content delivery with low-latency caching

Correct answer: B Bản dịch đáp án đúng: B. Cho phép bạn tạo một mạng riêng biệt trong AWS với quyền kiểm soát địa chỉ IP, mạng con và định tuyến

🇬🇧 Explanation: A Virtual Private Cloud (VPC) allows you to create an isolated network within AWS with complete control over IP addressing, subnets, route tables, and routing. It's the foundation of AWS networking and security isolation.

🇻🇳 Giải thích: VPC = isolated network environment. Bạn control: IP ranges, subnets, routing, security (SG, NACL). Nơi mà EC2, RDS, etc. chạy trong isolation.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — VPC is not a database service / VPC không phải dịch vụ database
C — Auto Scaling is a separate service (not VPC) / Auto Scaling là dịch vụ riêng (không phải VPC)
D — CloudFront is a CDN (not VPC) / CloudFront là CDN (không phải VPC)

🔑 Key Concept / Khái niệm cốt lõi: VPC = isolated network + full control / VPC = mạng cô lập + toàn quyền kiểm soát 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § VPC

Q50. (Select THREE)

Which of the following are valid use cases for AWS Lambda? (Select THREE)

Bản dịch tiếng Việt: Trường hợp nào sau đây là trường hợp sử dụng hợp lệ cho AWS Lambda? (Chọn BA)

A. Running batch processing jobs for data analytics B. Hosting a multi-tier web application that runs continuously C. Processing files uploaded to S3 in real-time D. Running long-running background tasks (>15 minutes) E. Building microservices with event-driven architecture

Correct answer: A, C, E Bản dịch đáp án đúng: A. Chạy các công việc xử lý hàng loạt để phân tích dữ liệu; C. Xử lý các tệp được tải lên S3 trong thời gian thực; E. Xây dựng microservice với kiến trúc hướng sự kiện

🇬🇧 Explanation:

A ✅ "Batch processing jobs for data analytics" — Lambda can run batch jobs (within the 15-min timeout)
C ✅ "Processing files uploaded to S3 in real-time" — A canonical Lambda use case: S3 event triggers a Lambda function to process the object
E ✅ "Building microservices with event-driven architecture" — Lambda excels at event-driven microservices

All three are ideal Lambda use cases.

🇻🇳 Giải thích: Câu A: Batch jobs (dưới 15 min) → Lambda tốt. Câu C: S3 upload event → trigger Lambda xử lý file real-time → use case kinh điển. Câu E: Event-driven (S3 upload → Lambda process → send notification) → Lambda perfect.

❌ Why others are wrong / Vì sao đáp án khác sai:

B — A continuously running multi-tier web app is bad for Lambda (use EC2/Fargate) / App web nhiều tầng chạy liên tục không hợp với Lambda (dùng EC2/Fargate)
D — Long-running tasks (>15 min) exceed Lambda's 15-minute timeout / Tác vụ chạy lâu (>15 phút) vượt quá timeout 15 phút của Lambda

🔑 Key Concept / Khái niệm cốt lõi: Lambda = event-driven, short-lived functions (not continuous running) / Lambda = hàm theo sự kiện, chạy ngắn (không phải chạy liên tục) 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Lambda Use Cases

Q51.

A company needs a DNS service that supports health checks and failover routing. Which AWS service is most appropriate?

Bản dịch tiếng Việt: Một công ty cần một dịch vụ DNS hỗ trợ kiểm tra tình trạng và định tuyến chuyển đổi dự phòng. Dịch vụ AWS nào phù hợp nhất?

A. AWS CloudFormation B. Amazon Route 53 C. Amazon CloudFront D. AWS API Gateway

Correct answer: B Bản dịch đáp án đúng: B. Tuyến đường Amazon 53

🇬🇧 Explanation: Amazon Route 53 is the AWS DNS service that supports health checks and failover routing. It allows you to route traffic based on health checks and support active-active or active-passive failover scenarios.

🇻🇳 Giải thích: Route 53 = managed DNS service. Health checks → tự động failover traffic sang healthy endpoint. Dùng cho HA + disaster recovery.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — CloudFormation is IaC (not DNS) / CloudFormation là IaC (không phải DNS)
C — CloudFront is a CDN (not DNS routing) / CloudFront là CDN (không phải định tuyến DNS)
D — API Gateway is API management (not DNS) / API Gateway là quản lý API (không phải DNS)

🔑 Key Concept / Khái niệm cốt lõi: Route 53 = DNS + health checks + failover / Route 53 = DNS + health check + failover 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Route 53

Q52.

A website frequently accesses the same database queries. Which AWS service can cache frequently accessed data in memory to improve performance?

Bản dịch tiếng Việt: Một trang web thường xuyên truy cập các truy vấn cơ sở dữ liệu giống nhau. Dịch vụ AWS nào có thể lưu vào bộ nhớ đệm dữ liệu được truy cập thường xuyên để cải thiện hiệu suất?

A. Amazon RDS B. Amazon DynamoDB C. Amazon ElastiCache D. Amazon Athena

Correct answer: C Bản dịch đáp án đúng: C. Bộ đệm Amazon Elasti

🇬🇧 Explanation: Amazon ElastiCache is a managed in-memory caching service that stores frequently accessed database queries in memory. It dramatically improves performance for read-heavy workloads by serving data from cache instead of querying the database.

🇻🇳 Giải thích: ElastiCache = in-memory cache (Redis, Memcached). Frequently accessed data → cache in memory → ultra-fast response. Reduce database load, improve performance.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — RDS is a database (not a cache) / RDS là database (không phải cache)
B — DynamoDB is a database (not a cache) / DynamoDB là database (không phải cache)
D — Athena is SQL on S3 (not a cache) / Athena là SQL trên S3 (không phải cache)

🔑 Key Concept / Khái niệm cốt lõi: ElastiCache = in-memory caching for performance / ElastiCache = cache in-memory để tăng hiệu năng 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Caching Services

Q53. (Select TWO)

Which statements accurately describe Amazon VPC security? (Select TWO)

Bản dịch tiếng Việt: Câu nào mô tả chính xác khả năng bảo mật của Amazon VPC? (Chọn HAI)

A. Security Groups are stateless and operate at the subnet level B. Network ACLs operate at the subnet level and support both Allow and Deny rules C. Security Groups are stateful and operate at the instance level D. NACLs are always stateful E. A single subnet can have multiple security groups attached

Correct answer: B, C Bản dịch đáp án đúng: B. ACL mạng hoạt động ở cấp mạng con và hỗ trợ cả quy tắc Cho phép và Từ chối; C. Nhóm bảo mật có trạng thái và hoạt động ở cấp độ cá thể

🇬🇧 Explanation:

B ✅ "Network ACLs operate at subnet level and support Allow/Deny rules" — Correct; NACLs are subnet-level with explicit rules
C ✅ "Security Groups are stateful and operate at instance level" — Correct; SGs provide stateful instance-level protection

Both are accurate VPC security statements.

🇻🇳 Giải thích: Câu B: NACL = subnet-level, both Allow & Deny, stateless. Câu C: SG = instance-level, stateful (reply automatic).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — SG is stateful (the opposite of stateless) / SG là stateful (ngược với stateless)
D — NACLs are stateless (not stateful) / NACL là stateless (không phải stateful)
E — Security Groups apply at the instance level, not multiple per subnet as described / Security Group áp dụng ở cấp instance, không phải nhiều cái cho mỗi subnet như mô tả

🔑 Key Concept / Khái niệm cốt lõi: SG = instance-level stateful | NACL = subnet-level stateless / SG = stateful cấp instance | NACL = stateless cấp subnet 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § VPC Security

Q54.

A company needs to monitor application logs, system metrics, and custom metrics in real-time. Which AWS service is most appropriate?

Bản dịch tiếng Việt: Một công ty cần giám sát nhật ký ứng dụng, số liệu hệ thống và số liệu tùy chỉnh trong thời gian thực. Dịch vụ AWS nào phù hợp nhất?

A. AWS CloudTrail B. Amazon CloudWatch C. AWS Config D. Amazon GuardDuty

Correct answer: B Bản dịch đáp án đúng: B. Đồng hồ đám mây Amazon

🇬🇧 Explanation: Amazon CloudWatch is the comprehensive monitoring service for logs, metrics, and custom metrics in real-time. It's the primary tool for application and infrastructure monitoring on AWS.

🇻🇳 Giải thích: CloudWatch = monitoring service. Logs (application logs) + Metrics (CPU, memory) + Dashboards + Alarms. Real-time monitoring toàn hệ thống.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — CloudTrail is API audit (not metrics) / CloudTrail là kiểm toán API (không phải metrics)
C — Config is configuration tracking (not monitoring) / Config là theo dõi cấu hình (không phải giám sát)
D — GuardDuty is threat detection (not general monitoring) / GuardDuty là phát hiện mối đe dọa (không phải giám sát chung)

🔑 Key Concept / Khái niệm cốt lõi: CloudWatch = comprehensive monitoring | CloudTrail = API audit / CloudWatch = giám sát toàn diện | CloudTrail = kiểm toán API 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § CloudWatch

Q55.

A development team needs to containerize their application and deploy it to AWS. Which service provides container orchestration with minimal operational overhead?

Bản dịch tiếng Việt: Nhóm phát triển cần đóng gói ứng dụng của họ và triển khai nó lên AWS. Dịch vụ nào cung cấp khả năng điều phối vùng chứa với chi phí vận hành tối thiểu?

A. Amazon EC2 B. AWS Fargate C. Amazon ECS (with EC2 launch type) D. AWS Lambda

Correct answer: B Bản dịch đáp án đúng: B. Cổng xa AWS

🇬🇧 Explanation: AWS Fargate is the serverless container orchestration service that handles infrastructure management automatically. You provide a container image and Fargate handles scaling, patching, and infrastructure—minimal operational overhead.

🇻🇳 Giải thích: Fargate = serverless containers. Deploy container → Fargate manages everything (scaling, patching). Minimal operational overhead (khác ECS EC2 = phải manage servers).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — EC2 is traditional compute (you must manage it) / EC2 là compute truyền thống (phải tự quản lý)
C — ECS with the EC2 launch type is like option A (you must manage servers) / ECS với launch type EC2 giống đáp án A (phải quản lý server)
D — Lambda is a different model (not for long-running containers) / Lambda là mô hình khác (không dành cho container chạy lâu)

🔑 Key Concept / Khái niệm cốt lõi: Fargate = serverless containers | ECS/EC2 = managed containers on instances / Fargate = container serverless | ECS/EC2 = container quản lý trên instance 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Container Services

Q56. (Select THREE)

Which of the following are responsibilities of the customer regarding AWS Lambda execution? (Select THREE)

Bản dịch tiếng Việt: Trách nhiệm nào sau đây của khách hàng liên quan đến việc triển khai AWS Lambda? (Chọn BA)

A. Writing application code B. Patching the Lambda runtime C. Managing Lambda concurrency settings D. Deploying code versions E. Managing underlying Lambda infrastructure

Correct answer: A, C, D Bản dịch đáp án đúng: A. Viết mã ứng dụng; C. Quản lý cài đặt đồng thời Lambda; D. Triển khai các phiên bản mã

🇬🇧 Explanation:

A ✅ "Writing application code" — Customer writes the function code
C ✅ "Managing Lambda concurrency settings" — Customer controls concurrency limits
D ✅ "Deploying code versions" — Customer manages deployments and versions

These are customer responsibilities in Lambda. AWS handles runtime patching and infrastructure.

🇻🇳 Giải thích: Bạn lo: code + concurrency + deployment AWS lo: runtime (Python/Node versions) + underlying infra + auto-scaling.

❌ Why others are wrong / Vì sao đáp án khác sai:

B — AWS patches the Lambda runtime (AWS responsibility) / AWS patch runtime của Lambda (trách nhiệm của AWS)
E — AWS manages the underlying infrastructure (AWS responsibility) / AWS quản lý hạ tầng bên dưới (trách nhiệm của AWS)

🔑 Key Concept / Khái niệm cốt lõi: Lambda customer responsibility = code, config, deployment | AWS = runtime, infra / Trách nhiệm khách hàng với Lambda = code, config, deployment | AWS = runtime, hạ tầng 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Lambda Responsibility Model

Q57.

A company's workload requires temporary data storage with very low latency. The data is regenerable and does not require durability. Which storage option is most appropriate?

Bản dịch tiếng Việt: Khối lượng công việc của công ty yêu cầu lưu trữ dữ liệu tạm thời với độ trễ rất thấp. Dữ liệu có thể được tái tạo và không yêu cầu độ bền. Lựa chọn lưu trữ nào là phù hợp nhất?

A. Amazon S3 B. Amazon EBS C. Amazon EC2 Instance Store D. Amazon EFS

Correct answer: C Bản dịch đáp án đúng: C. Cửa hàng phiên bản Amazon EC2

🇬🇧 Explanation: EC2 Instance Store provides temporary block storage with very low latency and high throughput. Since data doesn't require durability (it's regenerable), Instance Store is ideal—no need for expensive EBS or S3.

🇻🇳 Giải thích: Instance Store = temporary, ephemeral, lost when instance stops/terminates. Nhưng latency cực thấp (physically attached). Dùng cho cache, temp data (không quan trọng durable).

❌ Why others are wrong / Vì sao đáp án khác sai:

A — S3 has higher latency (internet-based) / S3 có độ trễ cao hơn (qua internet)
B — EBS is persistent (overkill if the data is regenerable) / EBS là bền vững (thừa nếu dữ liệu tái tạo được)
D — EFS adds network latency / EFS có độ trễ mạng

🔑 Key Concept / Khái niệm cốt lõi: Instance Store = ephemeral, fast | EBS = persistent, slower | S3 = object, slowest / Instance Store = tạm thời, nhanh | EBS = bền vững, chậm hơn | S3 = object, chậm nhất 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Storage Types

Q58.

Which AWS service allows you to run queries directly against data stored in Amazon S3 using SQL without loading the data into a database?

Bản dịch tiếng Việt: Dịch vụ AWS nào cho phép bạn chạy truy vấn trực tiếp đối với dữ liệu được lưu trữ trong Amazon S3 bằng SQL mà không cần tải dữ liệu vào cơ sở dữ liệu?

A. Amazon Redshift B. Amazon Athena C. Amazon EMR D. AWS Glue

Correct answer: B Bản dịch đáp án đúng: B. Amazon Athena

🇬🇧 Explanation: Amazon Athena allows you to run SQL queries directly against data stored in S3 without needing to load data into a database. It's serverless, pay-per-query, and perfect for ad hoc analysis on S3 data.

🇻🇳 Giải thích: Athena = query S3 với SQL. Không load data (chậm, tốn tiền). Serverless, trả theo query. Best cho ad hoc analytics.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Redshift is a data warehouse (you must load data) / Redshift là data warehouse (phải load data)
C — EMR is big data processing (overly complex for simple queries) / EMR là xử lý big data (quá phức tạp cho truy vấn đơn giản)
D — Glue is an ETL tool (not a query engine) / Glue là công cụ ETL (không phải query engine)

🔑 Key Concept / Khái niệm cốt lõi: Athena = SQL on S3 directly | Redshift = data warehouse (load required) / Athena = SQL trực tiếp trên S3 | Redshift = data warehouse (cần load data) 📚 Reference: Knowledge/domain-3-cloud-technology-and-services.md § Analytics Services

Domain 4: Billing, Pricing, and Support (Q59–Q65)

Q59.

Which of the following best describes the AWS Free Tier?

Bản dịch tiếng Việt: Câu nào sau đây mô tả đúng nhất về Bậc miễn phí của AWS?

A. All AWS services are free forever B. Includes free usage for 12 months plus some always-free services C. Requires a credit card but does not charge during the free period D. Applies only to new AWS accounts created in the current year

Correct answer: B Bản dịch đáp án đúng: B. Bao gồm sử dụng miễn phí trong 12 tháng cộng với một số dịch vụ luôn miễn phí

🇬🇧 Explanation: The AWS Free Tier includes 12 months of free usage for many services plus some always-free services (e.g., Lambda free tier never expires). It requires a valid credit card but doesn't charge during the free period.

🇻🇳 Giải thích: AWS Free Tier = 12 months miễn phí + some services always-free (Lambda, SQS, etc.). Cần credit card (security check, not charging). Tốt để learning và testing.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Not all services are free forever / Không phải mọi service đều miễn phí mãi mãi
C — It uses a credit card but doesn't charge during the free period (true, but B is more complete) / Có dùng credit card nhưng không tính phí trong giai đoạn miễn phí (đúng, nhưng B đầy đủ hơn)
D — The 12-month tier applies per new account from sign-up, not indefinitely for any year / Gói 12 tháng áp dụng cho mỗi account mới kể từ khi đăng ký, không phải vô thời hạn

🔑 Key Concept / Khái niệm cốt lõi: Free Tier = 12 months + always-free services / Free Tier = 12 tháng + các service miễn phí vĩnh viễn 📚 Reference: Knowledge/domain-4-billing-pricing-and-support.md § AWS Free Tier

Q60. (Select TWO)

Which statements accurately describe AWS Support Plans? (Select TWO)

Bản dịch tiếng Việt: Câu nào mô tả chính xác Gói hỗ trợ AWS? (Chọn HAI)

A. The Basic plan includes 24/7 phone support B. The Business plan provides a response time of 1 hour or less for production system outages C. The Enterprise plan includes a dedicated Technical Account Manager (TAM) D. All support plans provide the same Trusted Advisor checks E. The Developer plan is suitable for production workloads

Correct answer: B, C Bản dịch đáp án đúng: B. Kế hoạch kinh doanh cung cấp thời gian phản hồi từ 1 giờ trở xuống khi hệ thống sản xuất ngừng hoạt động; C. Gói Enterprise bao gồm Trình quản lý tài khoản kỹ thuật (TAM) chuyên dụng

🇬🇧 Explanation:

B ✅ "Business plan provides 1-hour response for production outages" — Correct; Business plan SLAs are very fast
C ✅ "Enterprise plan includes dedicated Technical Account Manager (TAM)" — Correct; TAM is Enterprise-exclusive

Both are accurate support plan characteristics.

🇻🇳 Giải thích: Câu B: Business plan = 1-hour response SLA cho production issues. Câu C: Enterprise plan = dedicated TAM (account manager) + other benefits.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Basic plan has no 24/7 phone support (only documentation/forums, no technical case support) / Gói Basic không có hỗ trợ điện thoại 24/7 (chỉ tài liệu/diễn đàn, không có hỗ trợ case kỹ thuật)
D — Trusted Advisor checks vary by plan (they're not the same) / Số check của Trusted Advisor khác nhau theo gói (không giống nhau)
E — Developer plan is for development/testing (not production) / Gói Developer dành cho phát triển/kiểm thử (không phải production)

🔑 Key Concept / Khái niệm cốt lõi: Basic < Developer < Business < Enterprise On-Ramp < Enterprise / Basic < Developer < Business < Enterprise On-Ramp < Enterprise 📚 Reference: Knowledge/domain-4-billing-pricing-and-support.md § Support Plans

Q61.

A company wants to estimate AWS costs before deploying a multi-tier application. Which tool is most appropriate?

Bản dịch tiếng Việt: Một công ty muốn ước tính chi phí AWS trước khi triển khai ứng dụng nhiều tầng. Công cụ nào phù hợp nhất?

A. AWS Cost Explorer B. AWS Pricing Calculator C. AWS Budgets D. AWS Cost Anomaly Detection

Correct answer: B Bản dịch đáp án đúng: B. Công cụ tính giá AWS

🇬🇧 Explanation: AWS Pricing Calculator is the tool for estimating AWS costs before deploying resources. You specify resources and configuration, and it calculates estimated monthly cost. Cost Explorer is for analyzing existing costs, Budgets for setting limits, Anomaly Detection for monitoring.

🇻🇳 Giải thích: Pricing Calculator = estimate cost TRƯỚC deploy (plan phase). Nhập resource, config → estimate monthly/yearly cost. Dùng để budget planning.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — Cost Explorer analyzes EXISTING costs (not estimates) / Cost Explorer phân tích chi phí ĐÃ CÓ (không phải ước tính)
C — Budgets set spending limits (not estimates) / Budgets đặt giới hạn chi tiêu (không phải ước tính)
D — Anomaly Detection detects cost spikes (not estimates) / Anomaly Detection phát hiện tăng vọt chi phí (không phải ước tính)

🔑 Key Concept / Khái niệm cốt lõi: Pricing Calculator = estimate | Cost Explorer = analyze | Budgets = limit | Anomaly = alert / Pricing Calculator = ước tính | Cost Explorer = phân tích | Budgets = giới hạn | Anomaly = cảnh báo 📚 Reference: Knowledge/domain-4-billing-pricing-and-support.md § Cost Management Tools

Q62.

Which aspect of AWS pricing allows customers to reduce costs by committing to long-term usage?

Bản dịch tiếng Việt: Khía cạnh nào của giá AWS cho phép khách hàng giảm chi phí bằng cách cam kết sử dụng lâu dài?

A. On-Demand pricing B. Reserved Instances C. Spot Instances D. Pay-as-you-go pricing with no upfront commitment

Correct answer: B Bản dịch đáp án đúng: B. Phiên bản dự trữ

🇬🇧 Explanation: Reserved Instances reduce costs by committing to 1- or 3-year usage in exchange for discounts up to 72% vs On-Demand. Among the options, RI is the only one that reduces cost specifically through a long-term commitment.

🇻🇳 Giải thích: Reserved Instances = commit 1-3 years → giảm tới 72% so với On-Demand. Đây là lựa chọn duy nhất giảm chi phí thông qua cam kết dài hạn trong các đáp án.

❌ Why others are wrong / Vì sao đáp án khác sai:

A — On-Demand has no commitment (no discount) / On-Demand không có cam kết (không giảm giá)
C — Spot is cheap but has NO commitment (uses spare capacity, can be interrupted) / Spot rẻ nhưng KHÔNG có cam kết (dùng năng lực dư, có thể bị ngắt)
D — Pay-as-you-go with no upfront commitment is the opposite of a long-term commitment (no commitment discount) / Pay-as-you-go không cam kết trước là ngược với cam kết dài hạn (không có giảm giá theo cam kết)

🔑 Key Concept / Khái niệm cốt lõi: RI = commitment discount | Spot = no commitment, cheap | On-Demand/pay-as-you-go = no commitment, no discount / RI = giảm giá theo cam kết | Spot = không cam kết, rẻ | On-Demand/pay-as-you-go = không cam kết, không giảm giá 📚 Reference: Knowledge/domain-4-billing-pricing-and-support.md § Pricing Models

Q63. (Select TWO)

Which of the following are ways to optimize AWS costs? (Select TWO)

Bản dịch tiếng Việt: Cách nào sau đây là cách tối ưu hóa chi phí AWS? (Chọn HAI)

A. Reserve instances for predictable workloads B. Use Spot Instances only for mission-critical applications C. Right-size instances based on actual usage patterns D. Keep all instances running 24/7 to avoid startup delays E. Over-provision instance sizes to leave headroom for future growth

Correct answer: A, C Bản dịch đáp án đúng: A. Phiên bản dự trữ cho khối lượng công việc có thể dự đoán được; C. Phiên bản có kích thước phù hợp dựa trên cách sử dụng thực tế

🇬🇧 Explanation:

A ✅ "Reserve instances for predictable workloads" — Correct; RI provide discount for stable usage
C ✅ "Right-size instances based on actual usage patterns" — Correct; matching instance size to actual needs saves costs

Both are core cost optimization strategies.

🇻🇳 Giải thích: Câu A: Reserved Instances = cost optimization cho stable workloads. Câu C: Right-sizing = nếu dùng t2.xlarge nhưng chỉ cần t2.small → downsize → save 80%.

❌ Why others are wrong:

B: Spot ONLY for mission-critical = bad practice (Spot can be interrupted, risky for critical apps)
D: Keep running 24/7 = waste (stop/scale down idle resources instead)
E: Over-provisioning ("leave headroom") INCREASES cost — it is the opposite of right-sizing

🔑 Key Concept: Cost optimization = RI + right-sizing + Spot for fault-tolerant + auto-scaling (NOT over-provisioning) 📚 Reference: Knowledge/domain-4-billing-pricing-and-support.md § Cost Optimization

Q64.

A company runs applications in multiple AWS accounts. Which billing approach allows them to receive consolidated billing with volume discounts?

Bản dịch tiếng Việt: Một công ty chạy ứng dụng trên nhiều tài khoản AWS. Phương pháp thanh toán nào cho phép họ nhận được thanh toán tổng hợp với chiết khấu theo số lượng lớn?

A. Individual billing per account B. AWS Organizations Consolidated Billing C. Cross-account Direct Connect D. AWS CloudFormation StackSets

Correct answer: B Bản dịch đáp án đúng: B. Thanh toán tổng hợp của tổ chức AWS

🇬🇧 Explanation: AWS Organizations Consolidated Billing allows multiple AWS accounts to receive one combined bill and benefit from volume discounts. It's the standard approach for multi-account structures to optimize cost.

🇻🇳 Giải thích: AWS Organizations Consolidated Billing = multiple accounts → 1 bill + volume discount (tổng usage). Ví dụ: 5 accounts mỗi cái 10TB S3 = 50TB tổng → nhận discount của 50TB tier.

❌ Why others are wrong:

A: Individual billing = no volume discount (loses savings)
C: Direct Connect = connectivity (not billing)
D: StackSets = CloudFormation management (not billing)

🔑 Key Concept: Organizations Consolidated Billing = multi-account billing + volume discount 📚 Reference: Knowledge/domain-4-billing-pricing-and-support.md § Consolidated Billing

Q65.

Which AWS tool provides recommendations for cost optimization, security, and performance by analyzing your AWS environment?

Bản dịch tiếng Việt: Công cụ AWS nào đưa ra đề xuất để tối ưu hóa chi phí, bảo mật và hiệu suất bằng cách phân tích môi trường AWS của bạn?

A. AWS Cost Explorer B. AWS Trusted Advisor C. AWS Config D. AWS Systems Manager

Correct answer: B Bản dịch đáp án đúng: B. Cố vấn đáng tin cậy của AWS

🇬🇧 Explanation: AWS Trusted Advisor provides recommendations across five categories: Cost Optimization, Security, Fault Tolerance, Performance Efficiency, and Service Limits. It analyzes your AWS environment and provides actionable recommendations.

🇻🇳 Giải thích: Trusted Advisor = automatic recommendations engine. Scan infrastructure → suggest optimization:

Cost (RI, unused resources)
Security (open SG, MFA)
Performance (underutilized)

❌ Why others are wrong:

A: Cost Explorer = analysis (not recommendations)
C: Config = compliance tracking (not recommendations)
D: Systems Manager = fleet management (not recommendations)

🔑 Key Concept: Trusted Advisor = recommendations | Cost Explorer = analysis | Config = compliance 📚 Reference: Knowledge/domain-4-billing-pricing-and-support.md § Trusted Advisor

🎯 Post-Exam Analysis (Final Simulation Special Section)

Domain-Specific Study Recommendations

If you missed >3 in Domain 1: → Re-read Knowledge/domain-1-cloud-concepts.md § NIST 5 Characteristics + 6 Advantages + Global Infrastructure → Focus: Elasticity vs Scalability, AZ vs Region, Well-Architected 6 Pillars, Cloud Deployment Models

If you missed >5 in Domain 2: → Re-read Knowledge/domain-2-security-and-compliance.md § Shared Responsibility Model (critical!) → Focus: Service-by-service variation (EC2 vs RDS vs Lambda), IAM least privilege, CloudTrail vs CloudWatch vs Config

If you missed >5 in Domain 3: → Re-read Knowledge/domain-3-cloud-technology-and-services.md § Comparison tables + Service selection patterns → Focus: "When to use which service?" scenarios, EC2 instance families, S3 storage classes, Database choices (RDS vs DynamoDB vs Aurora)

If you missed >2 in Domain 4: → Re-read Knowledge/domain-4-billing-pricing-and-support.md § Pricing Models + Support Plans → Focus: RI vs Spot vs On-Demand, Consolidated Billing, Cost Optimization, Trusted Advisor

Multi-Response Strategy

For "Select TWO/THREE" questions:

Eliminate obvious wrong answers first (those with incorrect keywords)
Identify the category being tested (e.g., "which are responsibilities?" vs "which are NOT?")
Check each remaining option against the Knowledge file
All answers must be correct to receive points — one wrong = 0 points

Common traps:

"Both are true, but question asks for specific scenario"
"Statement is true BUT not answering the question asked"
"Partially correct but not the primary/best reason"

Time Management Review

Target: 90 minutes for 65 questions (1.4 min/question)

Pass 1 (60 min): Answer all questions, mark uncertain ones
Pass 2 (20 min): Return to marked questions with elimination technique
Pass 3 (10 min): Final review — especially multi-response questions

Common time sinks:

Don't overthink "obvious" questions (1 min max)
Multi-response questions deserve 2-3 min (high-value questions)
If unsure after elimination, pick most likely and move on (don't loop)

💪 Final Pep Talk (Vietnamese)

Bạn đã hoàn thành toàn bộ 10 bộ đề mock. Từ exam #1 (easy) đến exam #10 (hard) — bạn đã đi qua hành trình "học cloud từ 0". Đó không phải là công việc nhỏ.

Nhìn lại: Bạn học 4 domains, 16+20+22+7 = 65 câu hỏi. Bạn biết AWS global infrastructure, shared responsibility model, pricing models, dùng services nào cho scenario nào. Tất cả những kiến thức này đã nằm trong đầu bạn rồi — chỉ cần ôn, test, và tự tin.

Mục tiêu cuối cùng: Nếu bạn score ≥52/65 (80%) ở đề thi này (exam #10 — hardest), bạn hoàn toàn ready để thi lấy sertifikat. Thực tế, trên kỳ thi thực: 50% câu dễ + 35% trung bình + 15% khó. Bạn đã luyện tập với 15% khó nhất, nên những câu dễ sẽ là "quà tặng".

Lời khuyên ngày thi (ngay trong 2-3 ngày tới):

Ngủ đủ 7-8 tiếng 2 đêm trước thi (não cần tỏ thải kinase, consolidate kiến thức)
Ăn nhẹ sáng thi (không ăn quá no hay uống quá nhiều nước → không cần WC giữa kỳ)
Đến sớm 15 phút (check-in, xác minh danh tính, quen môi trường)
Tính trang đầu tiên (2 phút): Quét hết 65 câu, đánh dấu cái khó → tâm lý tự tin "tôi biết câu này"
Khi gặp câu khó: Đừng loạn. Dùng elimination technique. Chọn cái "ít sai nhất" và MOVE ON.
Pass 3 (cuối cùng): Focus 100% vào multi-response questions (mỗi câu worth ngàn điểm)

Sau khi pass (khi bạn nhận chứng chỉ CLF-C02):

🎉 Celebrate! Bạn là "AWS Certified Cloud Practitioner" — tên này in trên LinkedIn rồi
💼 Sau đó: Nếu công việc liên quan AWS, nâng cấp → Solutions Architect Associate (SAA-C03) hoặc Developer Associate
💰 AWS cấp 50% voucher cho kỳ thi tiếp theo (nếu bạn pass lần đầu) → đừng mất cơ hội này

Last words: Bạn sẽ pass. Không phải "maybe" — là SẼ. Bạn đã chuẩn bị, bạn đã hiểu, bạn đã luyện tập. Ngây giờ là lúc tự tin vào bản thân. Vào phòng thi, cười một cái, làm sâu một hơi, bắt đầu. 65 câu hỏi không có gì để sợ cả.

Go get your certification! 🚀

Generated: Final Simulation Solution Set | 65 questions | 4 domains | Full bilingual explanations Next step after this exam: If score ≥52/65 → Book your real exam appointment (Pearson VUE or local test center)