모의고사 3

AWS CloudTrail은 CPU 사용률 지표를 추적하지 않고 API 호출과 계정 활동을 로깅합니다. CPUUtilization의 데이터 소스가 아니므로 의미 있는 CloudTrail alarm을 만들 수 없습니다. 주의: AWS CloudTrail이 언급되어 그럴듯하지만, 시나리오는 CPUUtilization에 대한 CloudWatch metric alarm과 SNS 알림을 가리킵니다.

aws ssm describe-instance-information을 실행하는 cron job은 CPU 사용률을 제공하지 않으며 안정적인 모니터링 방식도 아닙니다. 인스턴스 권한과 운영 부담도 추가됩니다. 주의: Amazon SNS가 포함되어 있지만, 핵심은 CloudWatch metric alarm입니다.

CloudTrail 로그에는 CPUUtilization 지표가 없으므로 Lambda로 스캔해도 지속 CPU 임계값을 감지할 수 없습니다. CloudWatch Alarms가 평가 기간과 alarm 상태 전환을 기본 처리합니다. 주의: AWS CloudTrail이 보이지만 올바른 데이터 소스는 CloudWatch 지표입니다.

Lambda authorizer는 API Gateway request를 제어하지만, 함수가 S3 객체를 읽을 수 있게 하지는 않습니다. 주의: Authorizer는 보안과 관련 있어 보이지만, 이 문제는 service-to-service IAM authorization입니다.

S3 bucket policy는 bucket에 연결되는 것이지 Lambda 함수에 추가하는 것이 아닙니다. 또한 이 선택지는 SAM function role policy 경로를 사용하지 않습니다. 주의: bucket policy가 access control에 관여할 수는 있지만, 이 표현과 같은 계정 SAM 배포 요구사항에는 맞지 않습니다.

SQS는 topic이 아니며 S3 object data에 대한 읽기 access를 부여하지 않습니다. 주의: S3 event routing은 GetObject 호출 권한과 별개입니다.

Amazon SQS는 여러 queue로 fan-out을 별도로 구성하지 않는 한 소비자가 메시지를 경쟁적으로 가져가는 queue이므로 전달 경로가 복제됩니다. 주의: SQS는 분리에 유용하지만 여러 독립 프로세서가 공유하며 재처리할 수 있는 스트림은 아닙니다.

Kinesis Data Firehose는 레코드를 버퍼링해 S3나 OpenSearch 같은 대상으로 전달합니다. EC2 애플리케이션이 공유 스트림을 checkpoint하고 재처리하도록 설계된 서비스가 아닙니다. 주의: Kinesis라는 이름이 그럴듯하지만 Firehose는 소비자 checkpoint보다 전달에 초점이 있습니다.

EventBridge는 이벤트를 대상으로 라우팅하지만 shard 기반 스트리밍, 1초 미만 소비자 읽기, 소비자별 checkpoint를 제공하지 않습니다. 주의: EventBridge도 이벤트 fan-out은 할 수 있지만 여기서 설명한 스트림 재처리 모델은 아닙니다.

429 이후 대기하는 방식은 반응형이며 애플리케이션이 이미 협력사 limit을 초과했다는 뜻입니다. 일일 quota와 큰 backlog 관리도 custom state logic에 남습니다. 주의: Step Functions Wait는 유용하지만 호출 전에 소비 속도를 조절하는 방식보다 throttling에 반응하는 방식은 덜 깔끔합니다.

CloudWatch metric filter와 alarm은 observability 도구이지 정밀한 runtime throttle이 아닙니다. 현재 실행 중인 Lambda invocation을 정확한 quota 경계에서 안정적으로 중지할 수 없습니다. 주의: 호출을 세지만 alerting은 rate-control 메커니즘이 아닙니다.

Kinesis Data Firehose는 streaming data를 S3, Redshift, OpenSearch 같은 destination으로 전달하기 위한 서비스입니다. outbound REST API 호출을 조율하거나 분당 및 일일 quota를 강제하지 않습니다. 주의: batch라는 표현은 있지만 Firehose는 제어된 API invocation에 맞는 서비스가 아닙니다.

IAM task role은 AWS API 권한을 제공할 뿐 일반 외부 SMTP relay가 받아들이는 자격 증명이 아닙니다. SMTP 서버는 보통 username/password나 인증서를 요구합니다. 또한 중앙 관리되고 KMS로 암호화된 자격 증명 요구사항도 충족하지 못합니다. 주의: IAM role이 안전해 보이지만 외부 SMTP 인증 자격 증명을 대신하지 않습니다.

KMS 암호화를 사용하더라도 ciphertext를 task definition 환경 변수에 넣으면 민감한 자료가 구성에 남고, 컨테이너나 애플리케이션이 kms:Decrypt를 호출하고 복호화 값을 처리해야 합니다. 이는 코드/구성 변경과 권한 확대, 회전 및 감사 복잡도를 유발합니다. 주의: KMS는 사용하지만 관리형 secret 주입과 런타임 자동 복호화 요구를 놓칩니다.

S3에 secret 파일을 저장하는 방식은 런타임 secret 주입과 최소 권한에 가장 적합하지 않습니다. task는 s3:GetObject와 KMS decrypt 권한, 파일 다운로드 및 parsing 로직이 필요합니다. 객체 관리, 캐싱, 회전까지 운영 부담이 늘어 Parameter Store 통합보다 불리합니다. 주의: SSE-KMS가 있어 보여도 secret 전용 저장소와 ECS 주입 기능을 쓰는 방식이 아닙니다.

중앙 계정의 RDS permissions는 다른 계정의 RDS resources에 대한 access를 허용하지 않습니다. 주의: Role과 DescribeDBInstances를 모두 언급하지만 resource permissions를 잘못된 계정에 둡니다.

중앙 계정의 role은 DB 인스턴스를 소유한 개발 계정으로 RDS permissions를 가져갈 수 없습니다. 주의: sts:AssumeRole 문구는 맞아 보이지만 role 위치와 permission boundary가 잘못되었습니다.

Target role을 만드는 점은 맞지만 중앙 Lambda role에 rds:DescribeDBInstances를 직접 추가해도 해당 roles를 사용할 수 없습니다. 주의: Trust relationship은 있지만 source-side sts:AssumeRole permission이 빠져 있습니다.

AssumeRoleWithWebIdentity는 OIDC provider의 web identity token을 제시할 때 사용합니다. 이 시나리오는 OIDC token이 아니라 cross-account IAM role ARN과 MFA device ARN, 6자리 token code를 사용하는 전형적인 AssumeRole입니다. 주의: 이름에 AssumeRole이 들어가지만 web identity token이 필요한 다른 operation입니다.

GetFederationToken은 특정 cross-account role을 assume하는 표준 방식이 아니라 federated user용 temporary credentials 발급에 가깝습니다. 파트너 계정의 명명된 role ARN 접근에는 sts:AssumeRole을 사용합니다. 주의: temporary credential을 발급한다는 점은 비슷하지만 named role assumption 요구와 맞지 않습니다.

AssumeRoleWithSAML은 SAML 2.0 IdP의 assertion을 사용해 role credentials를 얻을 때 사용합니다. 문제에는 SAML assertion이 없고 virtual MFA device와 token code가 제시되어 있으므로 맞지 않습니다. 주의: federation API처럼 보이지만 SAML 조건이 없습니다.

CreateCapacityProvider는 EC2 Auto Scaling group providers 같은 customer-managed providers용이며 AWS-owned FARGATE providers용이 아닙니다. 주의: Strategy 형태는 그럴듯하지만 API가 이미 AWS-owned capacity providers로 존재하는 providers를 생성하려고 시도합니다.

base=1을 FARGATE_SPOT에 두어 on-demand Fargate가 아니라 Spot이 보장되는 첫 task가 됩니다. 주의: 올바른 연결 API를 사용하지만 prompt가 요구한 capacity priority를 반대로 설정합니다.

CreateCapacityProvider를 잘못 사용하고 FARGATE_SPOT도 primary로 만듭니다. 주의: Strategy 전환은 마이그레이션 작업처럼 들리지만 provider creation과 priority가 모두 요구 사항과 충돌합니다.

ELB health check는 load balancer target health를 보는 기능이고 이 serverless 이벤트 workflow 내부 실패를 격리하지 못합니다. 로그를 custom 지표으로 보내는 것도 검색 솔루션이 아닙니다. 주의: 관련 기능처럼 보이지만 핵심 요구사항(native 로그 상관 분석과 최소 운영 부담)을 충족하지 못합니다.

Route 53 health check와 CloudTrail은 endpoint 상태와 control-plane API 감사에는 유용하지만 Lambda 코드 오류나 state transition 실패의 상세 런타임 로그를 제공하지 않습니다. 주의: 관련 기능처럼 보이지만 핵심 요구사항(native 로그 상관 분석과 최소 운영 부담)을 충족하지 못합니다.

Firehose, S3, OpenSearch pipeline은 강력한 검색을 만들 수 있지만 delivery stream, index, scaling, retention을 운영해야 하므로 최소 운영 부담 요구와 맞지 않습니다. 주의: 관련 기능처럼 보이지만 핵심 요구사항(native 로그 상관 분석과 최소 운영 부담)을 충족하지 못합니다.