AWS SysOps 4회차 실전 문제 풀이

또 틀린 거 (14 문제)

⭐⭐3. 실패한 AWS Storage Gateway로부터 데이터를 복구하는 방법

• 정답
  1. 저장된 볼륨 게이트웨이에 대해, 볼륨의 가장 최신 Amazon EBS 스냅샷으로부터 데이터를 복구할 수 있다.
     • 게이트웨이 혹은 가상머신에 오류가 발생하면, AWS에 업로드되어 Amazon S3 볼륨에 저장된 데이터를 복구할 수 있다.
     • 캐시된 볼륨 게이트웨이에 대해, 복구 스냅샷을 사용하여 데이터를 복구할 수 있다.
     • 저장된 볼륨 게이트웨이에 대해, 해당 볼륨의 가장 최신 EBS 스냅샷으로 데이터를 복구할 수 있다.
     • tape 게이트웨이에 대해, 복구점에서 한 개 이상의 tape를 복구할 수 있다.
  2. 파일 시스템이 오염된다면, 'fsck' 명령어를 사용하여 이를 복구할 수 있다. (틀림)
     • 파일 시스템을 복구할 수 있다면, 데이터를 복구할 수 있다.
• 다른 옵션에 대한 설명
  1. Amazon EC2 AMI로부터 실패한 게이트웨이 VM을 복구한다.
  2. hypervisor로 생성된 스냅샷을 사용하여 실패한 게이트웨이 VM을 복구한다.
     • 위 두가지 옵션은 모두 틀렸다.
     • Storage 게이트웨이는 EC2 AMI나 hypervisor의 스냅샷을 이용한 게이트웨이 VM 복구를 지원하지 않는다.
     • 게이트웨이 VM이 오작동한다면, 새로운 게이트웨이를 활성화하여 그로부터 데이터를 복구해야 한다.
  3. volume 상태가 IRRECOVERABLE 이라면, 해당 볼륨으로부터 더 이상 데이터를 복구할 수 없다. (X)
     • Stored volume에 대해선, 복구불가능한 volume에서 데이터를 추출하여 새로운 volume으로 옮길 수 있다.

---

⭐10. EC2 인스턴스가 AWS Config rule에 의해 'non-compliant'로 계속 표시되는 문제

• 정답) AWS Config는 새로운 통지를 보내지 않을 것이다.
  • AWS Config는 오직 명령 준수(compliance) 상태 변화가 발생할 때만 통지를 전송한다.
  • 만약 resource가 non-compliant 상태였고 지금도 여전히 그 상태를 유지한다면, Config는 새 통지를 보내지 않을 것이다.
  • 명령 준수 상태가 'compliant'로 변한다면, 상태가 변했기 때문에 통지를 받을 것이다.
• 다른 옵션에 대한 설명
  1. AWS Config는 resource의 현재 상태에 대한 통지를 보낼 것이다. (X)
  2. AWS Config는 resource에 대한 API 활동에서 비롯되지 않은 환경설정 변화는 기록되지 않을 것이다. 따라서, Config rule은 시작되지 않을 것이다. (X)
     • AWS Config는 설정된 resource에 대한 API 활동에서 비롯된 것이 아닌 환경 설정 변화를 기록한다.
  3. 한번 resource가 'non-compliant'로 표시되면, Config rule은 상태가 변할 때까지 resource에서 실행되지 않을 것이다. (X)
     • Config rule은 해당 resource에 대해 지속적으로 평가될 것이다.

---

12. on-demand로 확장 및 축소가 쉽고, 사용하기 쉬운 in-memory caching 솔루션

Amazon ElastiCache는 배포와 운영 및 in-memory data store의 확장과 클라우드 내 cache를 쉽게 만든다. 해당 서비스는 원거리에서 관리하는 in-memory 데이터 스토어에서 정보를 추출함으로써 웹 애플리케이션 성능을 향상시킨다.

 

• 정답) Amazon ElastiCache for Memcached
  • Memcached는 object caching 시스템에 널리 채택되는 서비스다.
  • 실패한 노드를 자동으로 탐지하여 대체함으로써 자기 관리형 인프라와 연관된 오버헤드를 줄이고, 회복성 있는 시스템을 제공한다.
  • 다음의 경우 사용하기 적합하다.
    1. 사용 가능한 가장 간단한 모델이 필요한 경우
    2. 여러 코어나 스레드를 사용하여 대규모 노드를 실행할 필요가 있는 경우
    3. 시스템의 요구에 따라 노드를 추가/삭제할 필요가 있는 경우
    4. object cache가 필요한 경우
• 다른 옵션에 대한 설명
  1. Amazon ElastiCache for Redis
     • Redis 호환형 in-memory 서비스로 가용성과 신뢰성 및 성능을 제공한다.
     • Memcached에 비교하여 더 많은 특징을 제공하지만 때문에 보다 복잡한다.

 

※ ElastiCache for Redis vs. Memcached

---

⭐⭐13. 서로 다른 권한 수준으로 실행되는 100 단위의 애플리케이션에 대한 접근 통제를 위한 단 하나의 버킷 정책

요점

• 서로 다른 권한 수준으로 실행되는 100 단위의 애플리케이션 접근 통제를 위한 단 하나의 버킷 정책이 요구된다.
• 해당 버킷 정책에 대한 변화가 다른 애플리케이션에 영향을 주지 않기 원한다. 

• 정답) S3 버킷들에 대해 S3 Access Points를 설정한다.
  • S3에 설정된 공유 자료를 사용하여 애플리케이션 규모 단위의 데이터 접근 관리를 간편화한다.
  • Access point를 통해 생성된 어느 요청에 대해서든 권한과 네트워크 통제를 강제한다.
  • Access points는 고객이 생성하는 고유한 hostname으로 해당 access points를 통하는 모든 요청에 대해 권한과 네트워크 통제를 강제한다. 
  • S3 Access Points는 모든 리전에서 추가 비용 없이 이용 가능하다. 
• 다른 옵션에 대한 설명
  1. S3 버킷들에 대해 S3 VPC Endpoints를 설정한다.
     • VPC와 지원되는 AWS 서비스 및 AWS PrivateLink의 VPC endpoints 서비스 간 private 연결을 활성화한다. 
     • VPC endpoint는 인터넷 게이트웨이, 가상 private 게이트웨이, NAT device, VPN connection, AWS Direct Connect 연결을 요구하지 않는다.
     • 하지만, VPC endpoint는 S3의 공유 자료에 대한 접근을 관리할 수 없다.
  2. S3 Batch Operations를 설정하여 S3 공유 데이터에 대한 접근을 관리한다.
     • S3 Batch Operations는 S3 객체를 다른 버킷으로 복제 등 S3 객체 관리에 효율성을 더한다.
     • 이 또한 공유 자료에 대한 접근 관리 기능은 제공하지 않는다.

---

⭐⭐19. ACM 인증서 

• 정답
  1. ACM은 오직 SSL/TLS 프로토콜에 대해서만 인증서를 제공한다.
  2. ACM 인증서를 이메일 암호화에 사용할 수는 없다. (틀림)
• 다른 옵션에 대한 설명
  1. ACM 인증서에 대한 private key는 오직 AWS root 사용자 계정만 다운로드 가능하다. (X)
     • ACM 인증서의 private key는 다운로드 불가능하다.
  2. ACM은 Amazon 소유의 domain name에 대한 인증서 요청을 돕는다. (틀림)
     • 'amazonaws.com', 'cloudfron.net', 'elasticbeanstalk.com' 등의 Amazon 소유의 domain에 대한 인증서는 요청할 수 없다.
  3. EC2 인스턴스에서 실행 중인 애플리케이션에 ACM 인증서를 설치할 수 있다. (X)
     • ACM 인증서는 Amazon CloudFront, Elastic Load Balancer 등에만 통합된다.

---

28. 모든 CloudTrail 로그 파일에 대해 취할 수 있는 보안 대책

• 정답
  1. CloudTrail log file integrity validation을 활성화한다. (틀림)
     • 해당 기능을 활성화하면, CloudTrail은 모든 로그 파일에 대해 해쉬를 생성한다.
     • 매 시간, CloudTrail은 지난 로그 파일을 참조하는 파일 (=digest file)을 생성하고 전달한다.
     • CloudTrail은 public / private 키 페어의 private key를 사용하여 각 digest file을 표시한다.
     • CloudTrail은 각 AWS 리전에 대해 다른 키 페어를 사용한다.
  2. CloudTrail 로그와 digest file을 붙들고 있는 S3 버킷에 대한 Amazon S3 MFA Delete를 활성화한다.
     • Digest files는 trail과 연관된 동일한 S3 버킷에 전달된다.
     • 로그 파일이 모든 리전으로부터 전달되거나 여러 계정으로부터 단일 S3 버킷으로 전단된다면, CloudTrail은 해당 리전들로부터 비롯된 digest files을 동일한 버킷으로 전송할 것이다.
• 다른 옵션에 대한 설명
  1. 접근 권한 위반을 방지하기 위해 AWS root 사용자 계정을 사용하여 CloudTrail log를 관리해야 한다. (X)
  2. CloudTrail 로그와 digest file을 붙들고 있는 S3 버킷에 대한 Versioning을 활성화한다. (X)
     • Amazon S3 Versioning은 동일 버킷 내 객체의 다양한 요소를 보호하기 위한 수단으로, 저장된 모든 객체의 모든 버전을 보존 / 추출 / 복구할 수 있다.
     • 하지만, 어떠한 경고 / 주의 / 통지 없이 로그가 변경되는 것을 방지하지 못한다.
  3. CloudWatch alarm을 통합하여 CloudTrail 로그 파일에 대한 변경 사항이 생길 때마다 alarm을 생성한다. (X)
     • 정답 선택지와 비교할 대 추가적인 노력이 요구된다.

---

⭐⭐31. 환경/운영 상 문제를 일으킬 수 있는 AWS event를 추적하기 위한 AWS 서비스 혹은 도구 (어려움)

• 정답) 기존 in-house 관리 도구와 함께 health data와 notification을 통합하기 위해 AWS Health API를 사용해라.
  • AWS Personal Health Dashboard는 워크로드와 애플리케이션에 전원을 넣는 특정 서비스의 health에 대한 맞춤화된 view를 제공한다.
  • Personal Health Dashboard는 AWS가 겪을 수 있는 events를 사전에 통지하여 빠른 가독성과 안내를 제공한다. 
  • AWS Health API는 AWS Personal Health Dashboard 내에 나타난 AWS Health 정보에 대한 프로그램적 접근을 제공한다. 
  • 이를 사용하기 위해선 AWS Support의 Buisiness 혹은 Enterprise 단위의 support plan이 필요하다. 이것이 없다면, 'SubscriptionRequireException' 에러가 발생한다.
• 다른 옵션에 대한 설명
  1. 각 AWS 서비스의 상태와 AWS resource에 대한 영향을 확인하기 위해 Service Health Dashboard를 사용해라.
     • Service Health Dashboard는 각 AWS 서비스의 전반적인 상태에 대한 view를 제공하지만 해당 서비스들의 상태가 resource에 어떻게 영향을 주는지에 대한 정보는 확인할 수 없다.
  2. Trusted Advisor의 통지 기능을 사용하여 AWS resource의 현재 상태에 대한 최신 상태를 유지해라.
     • 해당 서비스는 AWS resource 배포에 대한 최신 상태를 유지하는 것을 돕는다.
     • 하지만 해당 통지는 resource 배포 상태에 대한 것으로, resource의 현재 상태를 요구하는 현재 사례에는 적합하지 않다.
  3. Lambda 기능의 도움을 받아 AWS Personal Health Dashboard 내에 직접 진단을 실행하고, 기존 in-house 관리 도구와 결과를 통합한다.
     • 지금 시점에서, 주어진 선택지의 작업을 수행하는 것은 불가능하다.
     • event가 발생했을 때 Lambda에 의해 실행될 수 있는 진단 자동화 스크립트를 부착할 수는 있다.

AWS Service Health Dashboard는 현재 AWS Health Dashboard로 수정되었다.

---

⭐⭐ 32. 기존 DB와 Amazon Dynamo를 통합하는 방법 (어려움)

출처 : https://docs.aws.amazon.com/amazondynamodb/latest/developerguide/bp-hybrid.html#bp-hybrid-problems

• 정답) 관계형 DB와 DynamoDB를 빈틈없이 통합하기 위해 DynamoDB Streams 와 AWS Lambda를 사용한다.
  • DynamoDB는 하나 이상의 기존 RDS와 빈틈없이 통합하기 위해 DynamoDB Streams와 AWS Lambda의 이점만을 취할 수 있다.
  • 이러한 통합을 이루기 위해선 다음의 세 가지 상호 운용이 필요하다.
    1. 점진적으로 DynamoDB cache를 채운다. - 아이템 쿼리 시, DynamoDB를 먼저 확인하고, 없다면 SQL system을 확인하여 DynamoDB로 로드한다.
    2. DynamoDB cache를 작성한다. - DynamoDB 내 값을 변경할 때는 Lambda 기능이 사용되어 새 데이터를 SQL system에 새로 작성된다.
    3. SQL system에서 DynamoDB를 업데이트한다.
• 다른 옵션에 대한 설명
  1. 관계형 DB와 DynamoDB를 통합하기 위해 in-memory caching을 사용하여 Amazon ElastiCache를 설정해라. (X)
     • Amazon ElastiCache의 in-memory caching은 읽기 부담을 겪는 애플리케이션 워크로드 및 컴퓨터 집약 워크로드에 대해 지연도와 처리 능력을 향상시킬 수 있다.
     • In-memory caching은 낮은 지연도 접근을 통해 메모리 내 중요한 데이터 조각을 저장함으로써 애플리케이션 성능을 향상시킨다.
     • 하지만, ElastiCache는 DynamoDB와 RDS를 통합할 수 없다.

 

DynamoDB와 Aurora DB의 차이점 (추가 조사 필요)

---

⭐49. Amazon ElastiCache for Redis를 이용한 Multi-AZ 배포의 주요 특징

• 정답
  1. primary로 승급할 replica를 선택할 때, ElastiCache for Redis는 replication lag이 가장 적은 replica를 선택한다.
  2. 오직 Multi-AZ와 자동 failover가 비활성화된 경우에만 수동으로 read replica 들을 Redis의 primary로 승급할 수 있다. (틀림)
• 다른 옵션에 대한 설명
  1. Primary node가 재부팅될 때, 온라인이 되면서 데이터는 청소된다. 그럴 경우, primary는 cache를 가장 최신 replica의 데이터로 채운다. (틀림)
     • Primary node가 재부팅되면, read replica 또한 데이터 사본을 제거한다.

---

⭐⭐53. 저장된 데이터를 암호화하는 EFS 파일 시스템 생성 방법 (어려움)

• 정답
  1. AWS Organizations 내의 Service Control Policies (SCPs) 정의하여, organization 내 모든 AWS 계정에 대한 EFS 암호화를 강제한다.
     • SCPs는 조직 내 권한을 통제하기 위해 사용하는 조직 정책으로, 조직 내 모든 계정 내 최대로 사용 가능한 권한에 대한 중앙 통제를 제공한다.
  2. AWS IAM 신원기반 정책 내에 'elasticfilesystem:Encrypted' IAM 조건 키를 사용하여, 사용자로 하여금 오직 저장 중 암호화 Amazon EFS 파일 시스템을 생성하도록 강제한다. (틀림)
     • AWS IAM의 신원 기반 정책을 생성하여 사용자로 하여금 EFS의 저장 중 암호화를 통제할 수 있다.
     • Boolean 값 'elasticfilesystem:Encrypted' 을 통해 파일 시스템의 유형과 암호화 여부를 설정할 수 있다.
• 다른 옵션에 대한 설명
  1. AWS CLI(혹은 SDKs)를 통해 새 EFS 파일 시스템을 생성할 때는 저장 중 암호화를 기본으로 활성화한다. 새로운 EFS 파일 시스템 생성 시, SDKs 사용을 강제해라. (틀림)
     • AWS CLI 혹은 SDKs를 사용하여 새로운 파일 시스템을 생성할 때, 저장 중 암호화는 기본으로 활성화 할 수 없다.
  2. AWS Config를 사용하여 오직 암호화된 EFS 파일 시스템 생성을 강제해라.
     • AWS Config rules와 conformance packs는 resource가 설정한 환경과의 호환 여부에 대해 정보를 제공한다. 
     • 하지만 resource가 호환되는지 여부나 사용자가 호환되지 않는 action을 취하는 것을 방지하지 않는다.

---

⭐⭐55. VPC 내 EC2 인스턴스의 IP 주소 메커니즘 이해하기

• 정답
  1. 기본적으로, EC2와 VPC는 IPv4 주소 프로토콜을 사용한다. 이는 비활성화할 수 없다.
  2. 인스턴스에 대해 public IP 주소를 임의로 associate / disassociate 하는 것은 불가능하다.
     (맞출 수 있었는데 제대로 확인 안함)
     • Public IP 주소는 Amazon의 public IPv4 주소 풀에서 배정된다. 
  3. VPC 내 인스턴스의 public IP 주소가 release 한다면 하나 이상의 네트워크 인터페이스가 인스턴스에 부착된 상태에서는 새로운 것을 수령할 수 없다.
     • 만약 인스턴스가 Elastic IP 주소와 연관된 2차적인 private IP 주소를 갖고 있다면, 인스턴스의 public IP 주소는 해방된다. 
• 다른 옵션에 대한 설명
  1. AWS는 인스턴스 정지 / 동면 / 종료 시, 인스턴스의 public IP 주소를 해방한다.
  2. AWS는 Elastic IP 주소를 associate하면 해당 인스턴스의 public IP 주소를  해방한다. 반대로 Elastic IP 주소를 disassociate하면 새로운 public IP 주소를 부여한다.
  3. 기본적으로, AWS는 non-default 서브넷 내에서 실행된 EC2 인스턴스에 public IP 주소를 부여하지 않는다.

---

⭐⭐56. AWS Config rule이 삭제된 EBS volume의 상태를 'compliant'로 표시하는 이유와 해결 방법 (어려움)

• 정답) 'TerminateInstances' API call로 인해 삭제된 EBS volume은 가끔씩 지속적으로 AWS Config 콘솔에 표시된다.
  • 종료된 EBS volume은  부착된 각 EBS volume의 'DeleteOnTermination' 특성을 사용하여 volume을 삭제한다.
  • EC2는 'DeleteOnTermination' 특성이 'true'로 세팅된 EBS volume는 삭제하지만, 'DeleteVolume' API call을 시작하지 않는다.
  • 이는 AWS Config가 'DeleteVolume' API call을 trigger로 사용하고, resource 변경은 EBS volume에 기록되지 않는다.
  • 이때, EBS volume은 여전히 'compliant' 혹은 'non-compliant'로 표시된다.
• 다른 옵션에 대한 설명
  1. 권한 문제로 인해 EBS volume이 제대로 삭제되지 않은 것이다. (X)
     • 불충분한 권한이 문제라면 EBS volume 삭제 절차는 성공하지 않았을 것이다.
  2. 'DeleteVolume' API call로 인해 삭제된 EBS volume은 가끔씩 AWS Config 콘솔에 표시된다. (틀림)
     • 'DeleteVolumes' API 요청으로 삭제된 Amazon EBS volume은 'DescribeVolumes' PAI 요청을 실행한다.
     • 이 API 요청은 InvalidVolume.NotFound 에러 코드를 반환하고, 해당 EBS volume은 AWS Config의 resource 목록에서 제거된다.
     • 해당 volume의 변경된 설정은 'ResourceDeleted' 상태로 기록되고, Amazon S3 버킷으로 전송된다.
  3. EBS volume에 부착된 'DeleteOnTermination' 특성이 'false'로 세팅되어서 volume이 남아있는 것이다. (X)
     • 해당 기능을 활성화하는 것이 EBS volume을 삭제할 수 없음을 나타내지 않는다.

---

60. ALB와 동일한 SSL을 사용하여 EC2 인스턴스에 Amazon이 발행한 인증서를 환경설정하는 방법

• 정답) Amazon이 발행한 인증서는 EC2에 설치될 수 없다. 종단 간 암호화를 활성화하기 위해선 제 3자 SSL 인증서를 사용해야 한다.
  • Amazon이 발행한 인증서는 EC2 인스턴스에 설치될 수 없다.
  • 해당 사례에 대해 종단 간 암호화를 활성화하기 위해선 제3자 SSL 인증서를 사용해야만 한다.
  • 이후, 제 3자 인증서를 AWS ACM에 import하여 제 3자 인증서와 로드 밸런서에 연동시킨다.
• 다른 옵션에 대한 설명
  1. ACM을 사용하여 로드 밸런서의 기존 인증서를 EC2 인스턴스들에 노출한다. (X)

---

⭐⭐62. CloudWatch-'AWS/ApplicationELB' 네임스페이스의 'HTTPCode_ELB_4XX_Count' 의미

• 정답) 로드 밸런서로부터 비롯된 HTTP 4XX client 에러 코드의 수
  • 'HTTPCode_ELB_4XX_Count' 측정치는 로드밸런서로부터 비롯된 HTTP 4XX 에러 코드의 수를 나타낸다.
  • Client 에러는 요청이 제 기능을 하지 않거나 불완전한 경우 발생한다.
  • 로드 밸런서가 HTTP 460 에러코드를 반환하지 않는다면, 해당 요청들은 target에 의해서 수령된다.
• 다른 옵션에 대한 설명
  1. ELB target에 의해 생성된 HTTP 4XX 응답 코드의 수 (X)
     • 그냥 틀림.

---

처음 틀린 거 (4 문제)

7. 모든 S3 버킷에 대한 read-only 버킷 정책을 설정하는 JSON policy

{
  "Statement": [
    {
      "Sid": "AllowEveryoneReadOnlyAccess",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [ "s3:GetObject", "s3:ListBucket" ],
      "Resource": ["urn:aws:s3:::mybucket","urn:aws:s3:::mybucket/*"]
      // mybucket 자체에 대한 접근 경로를 빼먹음.
    }
  ]
}

---

36. 공동책임 모델에 따라, 사용자의 책임이 아닌 S3 동작

• 정답) S3 SSE <~ 문제 제대로 안 읽음....
• 다른 옵션에 대한 설명
  1. S3 ACLs
  2. S3 bucket policies
  3. S3 versioning
     • 모두 사용자가 활성화하여, 관리해야 하는 서비스이다.

---

⭐⭐42. 네트워크 환경 설정을 자동화하여 네트워크 infra 복제를 수행하는 방법

• 정답) AWS CloudFormation templates을 사용하여 네트워크 infra를 관리 / 유지한다.
• 다른 옵션에 대한 설명
  1. AWS Elastic Beanstalk를 사용하여 ... (X)
     • AWS Elastic Beanstalk는 Java, .NET, PHP, Ruby, Go 등으로 개발된 서비스 및 웹 애플리케이션 에 대한 배포 / 확장에 용이하다.
     • 하지만, 이 중 어느 것도 자동화되어 있지 않다. 단지 개발에 필요한 모든 자원을 거대한 JSON/YAML 파일에 정의한 것 뿐이다. 
     • 따라서, CF 템플릿은 production과 staging을 위한 ELB 환경을 둘 생성하여 blah blah.....

---

59. 공유를 위해 단일 EFS 서비스를 사용하는 EC2 fleet에 대해 특정 시간 동안 파일 시스템에 접속한 EC2의 수를 세기 위한 EFS 측정 단위

• 정답) 'ClientConnections' 측정치의 합계를 계산하면 연결된 인스턴스 수를 알 수 있다.
  • 1분 이상의 기간에 대한 'ClientConnections'의 평균을 계산하기 위해선 분 단위로 합계를 나누면 된다.
• 다른 옵션에 대한 설명
  1. 'InstanceConnections 측정치의 합계를 계산하면 ... (X)
     • 이런 metric은 존재하지 않는다.

Key Amazon EFS Metrics

3.1. Performance Metrics

a. Client Connections

• Metric Name: ClientConnections
• Description: The number of client connections to the file system.
• Use Case: Helps in understanding the load and concurrency levels on your file system.

b. Metadata Operations

• Metric Name: MetadataOperations
• Description: The number of metadata operations (e.g., open, close, rename) performed.
• Use Case: Useful for diagnosing issues related to file system structure and access patterns.

3.2. Storage Metrics

a. StorageBytes

• Metric Name: StorageBytes
• Description: The amount of data stored in the file system, measured in bytes.
• Use Case: Essential for monitoring storage usage and forecasting capacity needs.

3.3. Throughput Metrics

a. DataReadInBytes

• Metric Name: DataReadInBytes
• Description: The total number of bytes read from the file system.
• Use Case: Monitors read-heavy workloads and helps in assessing read performance.

b. DataWriteInBytes

• Metric Name: DataWriteInBytes
• Description: The total number of bytes written to the file system.
• Use Case: Monitors write-heavy workloads and helps in assessing write performance.

c. ThroughputInBytes

• Metric Name: ThroughputInBytes
• Description: The total number of bytes processed (read/write) by the file system.
• Use Case: Provides an overview of the overall data transfer activity.

3.4. Bursting Metrics (Applicable for Bursting Throughput Mode)

a. BurstCreditBalance

• Metric Name: BurstCreditBalance
• Description: The remaining burst credits available for the file system.
• Use Case: Ensures that your file system has enough burst credits to handle sudden spikes in throughput.

3.5. IOPS Metrics

a. IOPS

• Metric Name: IOPS
• Description: The number of input/output operations per second.
• Use Case: Critical for applications requiring high I/O performance, such as databases.

---

찍어서 맞춘 거 (16 문제)

⭐ 15. Raspbian 시스템을 포함한 on-premise 서버를 관리하는 중앙 관리형 AWS 서비스

• 요점 : AWS System Manager를 사용하여 모든 EC2 인스턴스와 해당 환경 설정을 중앙 관리 중
• 정답) AWS Systems Manager
  • 여러 AWS 서비스에서 운용 데이터를 중앙관리 할 수 있고, AWS resource에 걸친 작업들을 자동화한다.
  • 애플리케이션 등 resource의 논리 그룹, application 스택의 다른 계층, dev 상황에 대응되는 prod 생성 가능
  • 해당 서비스를 사용하면 AWS, on-premise 데이터 센터, 그리고 Rasberry Pi 같은 기기에서 실행되는 서비를 관리할 수 있다.

---

17. TLS를 사용하여 VPC 외부에서 Aurora DB cluster로 공개 접근 가능한 설정 방법

• 정답
  1. VPC 특성인 DNS hostname과 DNS resolution을 활성화한다.
  2. Aurora DB 인스턴스는 반드시 public IP 주소를 가져야 한다.
  3. public 서브넷에 DB 서브넷 그룹을 설정하고, 해당 서브넷 그룹에 Aurora DB 인스턴스를 생성한다.
     • Amazon DB 인스턴스에 대해서 특정 서브넷을 선택할 수 없다.
     • 대신, DB 인스턴스 생성 시 DB의 서브넷 그룹을 선택할 수 있다.
     • DB 서브넷 그룹은 VPC에 속한 서브넷의 집합이다. 기저 host를 생성할 때 , Amazon RDS가 무작위로 DB 서브넷 그룹에서 서브넷을 선택한다.
• 다른 옵션에 대한 설명
  1. 공개 접근을 허용하기 위해선 Aurora DB 인스턴스 생성 시 public 서브넷을 선택한다. (X)
  2. Default VPC에서 공개적으로 접근 가능한 Aurora DB 인스턴스를 시작할 수 없다. (X)

---

⭐18. 계정 간 공유 스토리지 설정을 위해 EFS mount helper로 사용 가능한 옵션

※ 선택 가능한 옵션

1. Mounting on supported EC2 instances
2. Mounting with IAM authorization
3. Mounting with Amazon EFS access points
4. Mounting with an on-premise Linux client
5. Auto-mounting when an EC2 instance reboots
6. Mounting a file system when a new EC2 instance launches

• 정답
  1. Mounting with IAM authorization
     • IAM authorization을 사용하여 Linux Instance에 EFS 파일 시스템을 mount
  2. Auto-mounting when an EC2 instance reboots
     • /etc/fstab 파일을 사용하여 mount 자동화.
       (fstab은 파일 시스템 관련 정보를 포함한 파일)

• 다른 옵션에 대한 설명
  1. Mounting from Amazon EC2 Windows instances : 지원하지 않는다.
  2. Mounting with Amazon Cognito authentication : EFS 파일 시스템을 보호 접근하는 데 사용할 수 없다.

---

20. DynamoDB 테이블을 타 AWS 계정의 S3 버킷에 이전 시, 버킷 소유주가 데이터에 대한 접근 및 분석 실행이 불가능한 이유

• 정답) export가 완료되면 export된 모든 객체들에 대해 'PutObjectAcl' 권한을 포함해야 한다.
  • DynamoDB 테이블이 타 계정으로 export 되어도 여전히 주인은 계정 A이다.
    • IAM은 기본적으로 타 계정의 객체 접근을 허용하지 않는다.
    • export 기능은 ACL bucket-owner-full-control으로 데이터를 작성하지 않는다.
  • 때문에 export된 모든 객체들에 대해 'PutObjectAcl' 권한을 포함시켜야 한다.
• 다른 옵션에 대한 설명
  1. AWS Data Pipeline을 사용하여 계정 A의 DynamoDB 테이블을 계정 B의 S3 버킷으로 export 한다.
     • AWS Data Pipeline을 사용하면 데이터 이전은 가능하지만 접근 문제는 해결하지 못한다.
  2. AWS Glue crawler를 사용하여...
     • AWS Glue crawler 사용 시, Data catalog에 대한 계정 간 접근은 지원되지 않는다.

---

⭐21. Snow family 사용 시, CLI가 아닌 방식으로 쉽게 조작하는 방법

• 정답) AWS OpsHub
  • AWS OpsHub는 Snowball API에서 사용 가능한 모든 기존 명령을 취하여 이를 GUI 형식으로 표시한다. 
  • 주로, 단일 혹은 연합된 디바이스 환경설정과 unlocking, 파일 전송 및 Snow Family 디바이스에서 실행 중인  인스턴스 생성과 관리를 담당한다.
• 다른 옵션에 대한 설명
  1. Service Workbench on AWS
     • Service Workbench on AWS는 IT team으로 하여금 데이터와 도구 및 컴퓨팅 파워에 대한 안전하고 반복 가능하며 연합된 접근 통제를 제공하는 클라우드 솔루션이다.
  2. AWS Control Tower
     • (landing zone으로 불리는) 안전한 multi-account 환경을 구축할 수 있는 가장 쉬운 방법이다.
     • 이는 AWS Organizations를 사용하여 landing zone을 생성하여 지속적인 계정 관리와 운영을 가능하게 만든다.
  3. AWS OpsWork
     • AWS OpsWork는 Chef and Puppet의 관리형 인스턴스를 제공하는 환경설정 관리 서비스이다.
     • Chef and Puppet은 자동화 플랫폼으로 코드를 사용하여 서버 환경 설정을 자동화한다.
     • OpsWorks는 Chef and Puppet을 사용하여 서버 환경설정 방식을 자동화하고, Amazon EC2 인스턴스를 사용하여 배포하고 관리한다.

---

⭐22. LB의 NACL / SG 모두 inbound port 80을 열었는데 통신이 되지 않는 문제 해결 방법

• 정답) NACL의 outbound traffic port 1024 ~ 65535를 허용하는 규칙을 추가한다.
  • Elastic Load Balancer 요청은 기본적으로 1024 ~ 65535의 단명 포트 번호를 사용한다.
    1. 대부분의 Linux kernel은 포트 번호 32768~61000을 사용한다.
    2. ELB 요청은 포트 번호 1024~65535를 사용한다.
    3. 2003 이전의 Window OS는 포트 번호 1025~5000을 사용한다.
    4. 2008 이후의 Windows 서버는 포트 번호 49152~65535를 사용한다.
    5. 기타 AWS Lambda, NAT 게이트웨이 서비스는 포트 번호 1024~65535를 사용한다.

---

23. 에러가 발생한 EBS volume에서 데이터를 복구하고 정상 작동시키는 방법

요점

• EBS volume을 인스턴스 스토리지로 사용하는 EC2 인스턴스를 사용 중
• volume은 유지 plan으로 계획된 백업을 시행하고 있다.
• EBS volume 중 하나가 'error' 상태를 표시하고 있다.

 

• 정답) 'error'는 EBS volume과 관련된 기반 하드웨어가 실패했음을 의미한다. 해당 EBS volume은 복구될 수 없지만 데이터를 새로운 EBS volume의 백업을 통해 데이터를 복구한다.
  • Volume과 연관된 데이터는 복구 불가능하고, EBS는 잃어버린 volume을 처리한다.
  • Volume이 error 상태에 들어가면 Personal Health Dashboard에 통지가 나온다.
  • 'error' 상태의 EBS volume에서는 데이터를 복구할 수 없고, 백업에서만 잃은 데이터를 복구할 수 있다.
• 다른 옵션에 대한 설명
  1. 해당 error는 EBS volume과 인스턴스 간 소통 channel이 무산됐음을 나타낸다.... (X)
     • 오직 혼동을 주기 위한 선택지
  2. 연결된 EBS volume을 재시작하여 .... (X)
     • 위에 언급했듯, 해당 error는 기반 H/W 문제이다.
  3. Amazon DLM을 활용한 EBS volume 복구 ... (X)
     • Amazon DLM은 EBS snapshot과 EBS 기반 AMI에 대한 생성 / 보유 / 삭제를 자동화하는 도구다.
     • 하지만, error 상태의 실제 volume을 복구할 수는 없다.

---

⭐26. AMI를 다른 region으로 복사 시, Linux error message "This AMI was copied from an AMI with a kernel that is unavailable in the destination Region : {Image ID}" 발생

• 정답) Linux paravirtual (PV) AMI는 모든 region에서 지원되지 않기 때문에, 지원되지 않는 영역으로 복사하는 것은 에러를 초래한다.
  • Linux AMI는 두 가지 유형의 가상화를 사용한다 : paravirtual (PV) or hardware virtual machine (HVM)
  • 주요 차이점은 부팅하는 방식과 특수 HW ext.(ex. CPU, netwrok, storage) 로 더 좋은 성능을 취할 수 있는지이다.
  • Linux paravirtual (PV) AMI는 모든 region에서 지원되지 않는다.
  • 메시지를 수령하면, 새 HVM 인스턴스를 생성하여 해당 인스턴스에 새로운 EBS 볼륨을 부착할 수 있다.
• 다른 옵션에 대한 설명
  1. Linux hardware virtual machine (HVM) AMI는 모든 region에서 지원되지 않기 때문에, 지원되지 않는 영역으로 ...
     • 모든 region은 HVM AMI를 지원한다.

---

27. ALB가 Amazon CF 배포의 origin으로 설정된 상태에서 stick session을 활성화했지만 재인증 요구 문제 발생

• 정답) CloudFront cache behavior가 모든 cookie를 origin으로 보내도록 설정되어야 한다.
  • 기본적으로 CloudFront는 요청 및 응답 처리나 edge location의 object caching 시 cookie를 고려하지 않는다. 
  • CloudFront는 Cookie 헤더 외에 동일한 두 요청을 수령했을 땐, CloudFront는 기본적으로 해당 요청들을 동일하게 대우하며, 양 요청에 대해 동일한 객체를 반환한다.
  • cookie forwarding을 설정하기 위해선, CF 배포의 cache 동작을 수정해야 한다.
  • 각각의 cache 동작 환경설정은 다음 선택지를 통해 수행될 수 있다.
    1. 모든 쿠키를 origin으로 포워딩한다.
    2. 특정 쿠키의 whitelist를 포워딩한다.
    3. origin으로 쿠키를 포워딩하지 않는다.
• 다른 옵션에 대한 설명
  1. Sticky session이 CloudFront 배포에도 허용되어야 한다. (X)
     • 혼동을 주기 위한 잘못된 선택지
  2. CloudFront로 하여금 edge location에서 발생한 요청을 caching 하여 재인증 필요성을 최소화해야 한다. (X)
     • CloudFront 캐싱을 사용하면, 더 많은 객체를 CloudFront edge location에서 받을 수 있다. 
     • edge location에 있는 CloudFront resource는 인증에 대한 요구사항을 충족하지 않는다.

---

⭐34. 제품 참조 공유 및 AWS Service Catalog에 동기로 저장된 사본을 다른 계정과 포트폴리오 공유 방법

• 정답) 계정 간 공유를 사용한다.
  • AWS Service Catalog 제품을 다른 AWS 계정에 공유하기 위해선 포트폴리오를 공유해야 한다.
  • 이를 수행할 수 있는 방법은 1) 계정 간 공유, 2) 조직 공유, 3) stack sets을 이용한 배포가 있다.
  • 계정간 공유 혹은 AWS Organization을 사용한다면, 다른 관리자의 AWS Service Catalog가 포트폴리오를 import할 수 있어야 한다.
• 다른 옵션에 대한 설명
  1. stack set을 사용하여 다른 AWS 계정으로 카탈로그를 배포한다. (X)
     • stack set을 사용하여 catalog를 동시에 여러 계정에 배포할 수는 있다
     • 참조를 공유하고 싶다면, 계정 간 공유 혹은 AWS Organization 공유를 사용해야 한다.
  2. Catalog는 공유될 수 없지만 다른 계정에서의 재배포 및 재생성은 가능하다. (X)

---

⭐35. Storage Gateway 비용 절감 방법

• 정답) 필요한 캐시 공간을 지닌 새로운 Gateway 생성하기
  • 기존 게이트웨이에 할당된 cache disk를 제거한다면 게이트웨이 기능이 붕괴된다.
  • 때문에 한번 게이트웨이에 할당되면 cache disk의 크기는 줄일 수 없다.
  • 대신, 새로운 게이트웨이를 생성하여 필요한 cache space를 부착해야 한다.
• 다른 옵션에 대한 설명
  1. 디스크 제거 전에 게이트웨이를 닫은 뒤, cache 디스크를 삭제하고 다른 것을 부착한다. (X)

---

⭐37. 다른 AWS 계정에게 버킷 내 모든 객체에 대한 권한 제공을 위한 주의사항

• 정답
  1. 객체를 생성한 AWS 계정은 다른 개체에 대한 권한을 위임하기 위해 우선 버킷 주인에게 권한을 부여해야 한다.
  2. 버킷 주인은 다른 AWS 계정들에 의해 생성된 객체에 대한 권한을 갖고 있지 않다.
• 다른 옵션에 대한 설명
  1. 버킷 주인은 다른 계정 내 사용자에게 계정 간 위임을 제공해야만 한다. (X)
     • 버킷 주인 계정은 소유한 계정 내 모든 사용자에게 권한을 위임할 수 있다.
     • 하지만, 계정 간 위임을 지원하지 않기 때문에 다른 AWS 계정에 대해서는 권한을 위임할 수 없다.
  2. root 사용자는 생성된 모든 객체에 접근할 수 있다. root 계정을 사용하여 S3 버킷 내 객체에 대한 필요한 권한을 위임한다. (X)
  3. 버킷 주인은, 객체를 업로드한 AWS 계정에 상관없이, 버킷 내 모든 객체에 대한 주인이다. (X)

---

⭐50. 새로 생성된 EBS volume의 데이터에 최초 접근 시 상당한 지연이 발생하는 문제 해결 방법

• 정답) EBS volume을 초기화하거나 production으로 volume을 옮기기 전에 예열한다.
  • 스냅샷으로 생성된 새 EBS volume의 각 데이터 블록을 처음 접근할 때는 상당한 지연이 발생한다.
  • 이를 해결할 수 있는 방법은 두 가지다.
    1. volume을 production으로 옮기기 전에 각 블록에 접근한다. (= initialization, pre-warming)
    2. 빠른 스냅샷을 활성화하여 EBS volume이 생성될 때 완전히 초기화되어야 한다.
• 다른 옵션에 대한 설명
  1. st1과 sc1에 대한 고출력, 읽기가 부담스러운 워크로드를 위해 read-ahead를 증가시킨다.
     • 몇몇 워크로드는 읽기 부담이 있고, OS page cache를 통해 block device에 접근한다.
     • 그 경우, 고출력을 수행하기 위해선 AWS는 read-ahead 설정을 1 MiB로 설정할 것을 권장한다.
     • 이것이 HDD volume에만 적용되어야 할 per-block-device 설정이다.
  2. EBS 최적화 인스턴스를 사용한다.
     • 해당 최적화는 EBS I/O와 인스턴스의 다른 트래픽 간의 충돌을 최소화하여 EBS volume에 최고 성능을 제공
  3. 인스턴스 resource의 이용률을 최대화하기 위해 RAID 0을 사용한다.

위의 세 가지 옵션은 모두 일반적인 EBS volume의 성능을 향상시키는 데 의미가 있다. 

하지만 해당 사례의 요구사항을 가장 잘 충족시키는 것은 그저 EBS volume을 예열하는 것이다.

---

52. 보안 접근을 위한 File Gateway와 Amazon S3 간 private 네트워크 연결을 비용 효율적으로 설정하는 법

• 정답) VPC endpoint를 사용하여 Amazon VPC 내에 private 연결을 설정한다.
  • Amazon S3에 대한 VPC endpoint를 생성한다.
  • VPC endpoint를 사용하여 File Gateway를 생성한다.
• 다른 옵션에 대한 설명
  1. File Gateway와 Amazon S3 간 private 네트워크 연결을 위해 VPC Peering을 사용할 수 없다.
  2. AWS Transit Gateway는 중앙 hub를 이용하여 VPC와 on-premise 네트워크를 잇는 서비스이다. 해당 서비스 또한 해당 사례에 적합하지 않다.
  3. Direct Connect는 해당 사례에 맞는 비용 효율적인 해결책이 아니다.

---

⭐⭐57. 처리 능력 집약형 워크로드에 적합한 저비용 스토리지 볼륨 유형

Amazon EBS가 제공하는 옵션 유형은 2가지이다.

1. SSD 기반 스토리지 : IOPS가 주인 DB와 boot 볼륨의 트랜잭션 워크로드에 적합하다. 
2. HDD 기반 스토리지 : MapReduce와 로그 프로세싱 같은 처리 능력 집약형 워크로드에 적합하다.

 

• 정답) EBS HDD volume - st1
  • MapReduce, Kafka 같은 빈번히 접근되는, 대규모 데이터셋과 I/O 크기 등 처리 능력 집약형 워크로드에 적합함.
  • 해당 volume은 MB/s 단위의 처리 능력에 적합하고, TB 당 250 MB/s burst, 기본 처리량 40MB/s 등을 제공한다.
• 다른 옵션에 대한 설명
  1. EBS SSD volume - gp2 (General-purpose volume)
  2. EBS SSD volume - io1
     • io1과 io2는 single-digit ms 지연도를 제공하고, 시간 당 99.9%의 성능을 제공한다.
     • st1 보다 비싸고, 따라서 현재 사용 사례에는 적합하지 않다.
  3. EBS HDD volume - sc1
     • SC1은 모든 EBS volume 유형 중 GB 당 저비용을 제공한다.
     • 대규모, cold 데이터셋에 덜 접근하는 워크로드에 적합하다.
     • st1 보다는 싸지만, 주요 스토리지 볼륨에 빈번히 접근하는 현재 사용사례에는 적합하지 않다.

---

63. 여러 AWS Region의 서로 다른 계정이 사용할 CF StackSets 생성 및 설정 방법

• 정답
  1. service 관리형 권한으로 생성된 stack sets에 대해, 필수적인 IAM role을 생성할 필요가 없다.
     • Stack set은 자기 관리형 권한이나 서비스 관리형 권한을 사용해야만 생성할 수 있다.
     • 서비스 관리형 권한을 사용할 경우, AWS Organization을 사용하여 stack을 배포할 수 있다.
     • 해당 모델을 사용하면, 필수적인 IAM role을 생성할 필요가 없고, 미래에 조직에 추가될 계정에 대한 자동 배포를 활성화할 수 있다.
  2. target 계정 내에 stack을 생성하기 전에 관리자와 target 계정 간에 신뢰할 만한 관계를 설정해야 한다.
     • 관리자 계정은 stack set을 생성한 AWS 계정이다.
     • 서비스 관리형 권한으로 생성된 stack set의 경우, 관리자 계정은 조직의 관리 계정이거나 위임받은 관리자 계정이다.
     • target 계정은 stack set 내에서 생성/수정/삭제될 stack에 속할 계정이다.
     • target 계정 내에 stack을 생성하도록 stack set을 사용하기 전에, 반드시 관리자와 target 계정 간의 신뢰할 만한 관계를 세워야 한다.
• 다른 옵션에 대한 설명
  1. Stack set은 자기 관리형, 서비스 관리형 및 리소스 관리형 권한을 사용하여 생성될 수 있다. (X)
  2. stack set에서 stack을 삭제하면서도 독립 실행을 위해 저장하고자 할 경우, 개인 resource 수준에서 관리되어야 하며 CloudFormation에서는 사용 불가능하다. (X)

---

맞췄지만 중요한 거 (8 문제)

2. 일반 CF domain name을 대신해 CF 배포에 대체 Domain name을 추가하기 위한 절차

• 정답
  1. Domain name을 다루는 인증된 CA로부터 SSL/TLS 인증서를 발급받는다.
  2. Route53 이나 다른 domain registrar에 domain name을 등록한다.
     • CloudFront에서는 CloudFront가 배포에 부여하는 domain name을 사용하는 것 대신 CNAME으로 알려진 대체 domain name이 domain name을 사용할 수 있다.
• 다른 옵션에 대한 설명
  1. Domain name을 다루는 AWS ACM에 private 인증서를 등록한다.
     • Private 인증서는 애플리케이션, 서비스, 기기, 사용자 같은 조직 내 resource를 식별한다.
     • 안전하게 암호화된 커뮤니케이션 채널을 확립하기 위해선, 각 endpoint는 인증서와 암호화 기법을 사용해야 한다.
     • Resource가 인터넷에 의해 접근될 수 있기 때문에 private 인증서는 옳지 않은 선택지이다.
  2. domain name에 대한 SSL/TLS 인증서를 인증하기 위해 Server Name Indication(SNI)를 사용한다.
     • SNI는 파일들에 대해 대체 domain name을 사용하고, 사용자가 HTTPS를 강제하는 데 사용된다.
     • CloudFront가 SNI를 사용하여 HTTPS 요청을 받도록 설정한다면, CloudFront는 각 edge location의 IP 주소에 대체 domain name을 할당한다.

---

⭐8. S3 Glacier - 이전에는 무료였는데, 현재 시점에선 유료가 된 이유

• 정답) S3 Glacier 데이터는 달에 10 GB 까지만 무료로 추출할 수 있다.

---

9. AWS Secrets Manager가 built-in rotation을 지원하는 AWS 서비스 유형

• 정답) Amazon RDS databases, Amazon Redshift clusters
  • 지원하는 AWS 서비스 유형 : { Amazon RDS, Amazon DocumentDB, Amazon Redshift clusters }

---

11. NLB에 연동된 여러 AZ 중 하나만 비활성화하는 방법

• 정답) NLB를 생성한 후부터는 그 AZ를 비활성화할 수 없다.
  • 로드 밸런서에 대해 여러 AZ를 활성화한다면, 애플리케이션의 내결함성을 향상시킨다.
  • NLB가 생성된 후부터는 이를 비활성화할 수 없지만 추가적인 AZ는 활성화할 수 있다.

---

⭐21. AWS 관리 콘솔을 통해 multi-region 간 AWS 계정에 대해 AWS CloudTrail을 활성화했을 때 나오는 결과

• 정답) CloudTrail은 여러 region에서 발생한 로그 파일들을 AWS 계정의 단일 S3 버킷에 전달한다.
• 다른 옵션에 대한 설명 
  1. CloudTrail은 계정 내 여러 region으로부터 로그를 수집할 수 없다. (X)
  2. AWS 관리 콘솔을 통해 AWS 계정의 모든 region에 대해선 CloudTrail을 활성화 할 수 없다. CLI를 사용해야 한다
     • 기본적으론, 콘솔에서 모든 AWS region의 events를 로깅한다.
     • 단일 region에서 이벤트를 로깅하기 위해선 AWS CLI를 사용해야 한다.
     • 설명이 반대다.
  3. CloudTrail은 home region 내 S3 버킷에 로그를 전달한다. 모든 리전으로부터 로그를 수집하여 각 리전별 S3 버킷에 향하도록 설정해야 한다. (X)

---

⭐30. IAM Groups

• 정답
  1. Groups는 접근 통제 정책을 사용하여 권한을 부여받을 수 있다.
  2. IAM 사용자는 여러 IAM 그룹에 속할 수 있다. 하지만, 그룹은 다른 그룹에 속할 수 없다.
• 다른 옵션에 대한 설명
  1. Groups는 웹 서비스에 직접 접근 가능하기 위해 보안 credential를 받을 수 있다.
     • Group 은 보안 credential 을 가질 수 없고, 웹 서비스에 직접 접근할 수 없다.
     • 오직 사용자 권한을 수월하게 만들기 위해 존재한다.
  2. IAM 사용자는 여러 IAM 그룹에 속할 수 있고, IAM 그룹은 다른 그룹에 속할 수 있다. (X)
  3. Groups는 직접적으로 보안 credential을 받을 수 없다. 하지만, IAM Role을 차지하여 웹 서비스에 직접 접근할 수 있다.
     • IAM Role을 IAM group에 부여할 수 없다.

---

⭐ 46. 컨테이너 기반 애플리케이션이 IAM으로 NFS 설정 공유 스토리지 접근하는 방법 

요점

1. 컨테이너 기반 애플리케이션이 NFS 설정된 공유 애플리케이션 스토리지 내 파일에 접근한다.
2. 해당 애플리케이션은 다양한 고객 보고서를 생성하는데 이는 (IAM 역할만 접근 가능해야 하는) 고객 특정 디렉토리에 저장되어야 한다. 

• 정답) Amazon EFS access points를 설정한다.
  • Amazon EFS access points는 공유 dataset에 대한 애플리케이션 접근을 용이하게 만드는 EFS 파일 시스템으로 향하는 애플리케이션-특화 접근점이다.
  • AWS IAM 정책을 사용하여 특정 애플리케이션이 특정 AP만 사용하도록 강제할 수 있다.
  • AP와 IAM 정책을 조합하면, 특정 dataset에 대한 안전한 접근을 제공할 수 있다.

---

48. trail 생성 이벤트 및 매 8시간 마다 AWS Config rule을 실행하는 방법

• 정답) 환경설정 변화 및 주기적인 trigger에 대한 rule을 생성한다.
  • 계정에 rule을 추가할 때, 언제 AWS Config가 rule을 실행할지 특정할 수 있다(= trigger).
  • Trigger의 종류에는 Configuration changes와 Periodic이 존재한다.
  • Configuration change와 periodic을 선택하면 AWS Config가 Lambda 기능을 사용하여 이 모두를 탐지한다.
• 다른 옵션에 대한 설명
  1. 환경 설정 변화 및 주기적인 trigger 각각에 대해 rule을 생성한다.

•