D 02

Um aplicativo foi instrumentado para usar o AWS X-Ray SDK para coletar dados sobre as solicitações que o aplicativo atende. O desenvolvedor definiu o campo de usuário em segmentos para uma string que identifica o usuário que enviou a solicitação.

Como o Desenvolvedor pode pesquisar segmentos associados a usuários específicos?

• Usando a API GetTraceGraph com uma expressão de filtro

• Usando a API GetTraceSummaries com uma expressão de filtro

• Usar uma expressão de filtro para pesquisar o campo do usuário nas anotações do segmento

• Usar uma expressão de filtro para pesquisar o campo do usuário nos metadados do segmento

Answer explanation

Um documento de segmento transmite informações sobre um segmento para o X-Ray. Um documento de segmento pode ter até 64 kB e conter um segmento inteiro com subsegmentos, um fragmento de segmento que indica que uma solicitação está em andamento ou um único subsegmento enviado separadamente. Você pode enviar documentos de segmento diretamente para o X-Ray usando a API PutTraceSegments.

Um subconjunto de campos de segmento é indexado pelo X-Ray para uso com expressões de filtro. Por exemplo, se você definir o campo de usuário em um segmento para um identificador exclusivo, poderá pesquisar segmentos associados a usuários específicos no console do X-Ray ou usando a API GetTraceSummaries.

Uma empresa deseja implementar a autenticação para seu novo serviço REST usando o Amazon API Gateway. Para autenticar as chamadas, cada solicitação deve incluir cabeçalhos HTTP com um ID de cliente e um ID de usuário. Essas credenciais devem ser comparadas aos dados de autenticação em uma tabela do Amazon DynamoDB.

O que a empresa DEVE fazer para implementar essa autenticação no API Gateway?

• Implementar um autorizador do AWS Lambda que faz referência à tabela de autenticação do DynamoDB

• Implementar um autorizador do Amazon Cognito que faz referência à tabela de autenticação do DynamoDB

• Modificar as solicitações de integração para exigir as credenciais e conceder acesso do API Gateway à tabela de autenticação

• Criar um modelo que exija as credenciais e, em seguida, conceder acesso ao API Gateway à tabela de autenticação

Answer explanation

Um autorizador do Lambda (anteriormente conhecido como autorizador personalizado) é um recurso do API Gateway que usa uma função do Lambda para controlar o acesso à sua API.

Um autorizador do Lambda é útil se você deseja implementar um esquema de autorização personalizado que usa uma estratégia de autenticação de token de portador, como OAuth ou SAML, ou que usa parâmetros de solicitação para determinar a identidade do chamador.

Quando um cliente faz uma solicitação a um dos métodos de sua API, o API Gateway chama seu autorizador do Lambda, que recebe a identidade do chamador como entrada e retorna uma política do IAM como saída.

Existem dois tipos de autorizadores Lambda:

• Um autorizador Lambda baseado em token (também chamado de autorizador TOKEN) recebe a identidade do chamador em um token de portador, como um JSON Web Token (JWT) ou um token OAuth.

• Um autorizador Lambda baseado em parâmetro de solicitação (também chamado de autorizador REQUEST) recebe a identidade do chamador em uma combinação de cabeçalhos, parâmetros de string de consulta, stageVariables e variáveis ​​$context.

• Para APIs de WebSocket, somente autorizadores baseados em parâmetros de solicitação são suportados.

Nesse cenário, a autenticação está usando cabeçalhos na solicitação e, portanto, o autorizador do Lambda baseado em parâmetro de solicitação deve ser usado.

Uma empresa está criando um aplicativo sem servidor que usa funções do AWS Lambda. O desenvolvedor escreveu o código para inicializar o AWS SDK fora da função do manipulador do Lambda.

Qual é o principal benefício desta ação?

• Cria uma nova instância do SDK para cada chamad

• Aproveita a reutilização do ambiente de execução

• Minimiza o tamanho do pacote de implantação

• Melhora a legibilidade e reduz a complexidade

Answer explanation

Você deve inicializar clientes SDK e conexões de banco de dados fora do manipulador de função e armazenar em cache os ativos estáticos localmente no diretório /tmp. Invocações subsequentes processadas pela mesma instância de sua função podem reutilizar esses recursos. Isso economiza custos reduzindo o tempo de execução da função.

O principal benefício dessa técnica é aproveitar a reutilização do ambiente de execução para melhorar o desempenho de sua função.

Um aplicativo financeiro é hospedado em um grupo de Auto Scaling de instância do EC2 com um Elastic Load Balancer. Um desenvolvedor precisa capturar informações sobre o tráfego IP que entra e sai das interfaces de rede na VPC.

Como o Desenvolvedor pode capturar essas informações?

• Capture as informações diretamente no Amazon CloudWatch Logs

• Criar um log de fluxo na VPC e publicar dados no Amazon S3

• Criar um log de fluxo na VPC e publicar dados no Amazon CloudTrail

• Capturar as informações usando uma Network ACL

Answer explanation

VPC Flow Logs é um recurso que permite capturar informações sobre o tráfego IP que entra e sai das interfaces de rede em sua VPC. Os dados de log de fluxo podem ser publicados no Amazon CloudWatch Logs ou no Amazon S3. Depois de criar um log de fluxo, você pode recuperar e visualizar seus dados no destino escolhido.

Os registros de fluxo podem ajudá-lo com várias tarefas, como:

• Diagnosticar regras de grupo de segurança excessivamente restritivas

• Monitorando o tráfego que está chegando à sua instância

• Determinar a direção do tráfego de e para as interfaces de rede

Como você pode ver na imagem abaixo, você pode criar um log de fluxo para uma VPC, uma sub-rede ou uma interface de rede. Se você criar um log de fluxo para uma sub-rede ou VPC, cada interface de rede nessa sub-rede ou VPC será monitorada.

Portanto, o desenvolvedor deve criar um log de fluxo na VPC e publicar dados no Amazon S3. O desenvolvedor também pode escolher o CloudWatch Logs como destino para publicar os dados, mas isso não é apresentado como uma opção.

O código-fonte de um aplicativo é armazenado em um arquivo denominado index.js que está em uma pasta junto com um arquivo de modelo que inclui o seguinte código:

O que um desenvolvedor precisa fazer para preparar o modelo para que ele possa implantado usando um comando da AWS CLI?

• Executar o comando aws lambda zip para empacotar o arquivo de origem junto com o modelo do CloudFormation e implantar o arquivo zip resultante

• Execute o comando aws cloudformation package para fazer upload do código-fonte para um bucket do Amazon S3 e produzir um modelo do CloudFormation modificado

• Executar o comando aws cloudformation compile para codificar em base64 e incorporar o arquivo de origem em um modelo modificado do CloudFormation

• Executar o comando aws serverless create-package para incorporar o arquivo de origem diretamente no modelo existente do CloudFormation

Answer explanation

O modelo mostrado é um modelo do AWS SAM para implantar um aplicativo sem servidor. Isso pode ser identificado pelo cabeçalho do modelo: Transform: 'AWS::Serverless-2016-10-31'

O desenvolvedor precisará empacotar e implantar o modelo. Para isso, o código-fonte deve estar disponível no mesmo diretório ou referenciado usando o parâmetro “codeuri”. Em seguida, o desenvolvedor pode usar os comandos “aws cloudformation package” ou “sam package” para preparar os artefatos locais (caminhos locais) aos quais seu modelo do AWS CloudFormation faz referência.

O comando carrega artefatos locais, como código-fonte para uma função do AWS Lambda ou um arquivo Swagger para uma API REST do AWS API Gateway, em um bucket do S3. O comando retorna uma cópia do seu modelo, substituindo as referências a artefatos locais pelo local do S3 em que o comando carregou os artefatos.

Depois de concluído, o modelo pode ser implantado usando os comandos “aws cloudformation deploy” ou “sam deploy”. Portanto, a próxima etapa neste cenário é que o desenvolvedor execute o comando “aws cloudformation package” para fazer upload do código-fonte em um bucket do Amazon S3 e produzir um modelo do CloudFormation modificado. Um exemplo deste comando é fornecido abaixo:

aws cloudformation package --template-file /path_to_template/template.json --s3-bucket bucket-name --output-template-file packaged-template.json

Uma empresa precisa de um sistema de controle de versão para o desenvolvimento colaborativo de software. A solução deve incluir suporte para lotes de alterações em vários arquivos e ramificações paralelas.

Qual serviço da AWS atenderá a esses requisitos?

• Amazon S3

• AWS CodeBuild

• AWS CodePipeline

• AWS CodeCommit

Answer explanation

AWS CodeCommit é um serviço de controle de versão hospedado pela Amazon Web Services que você pode usar para armazenar e gerenciar ativos de forma privada (como documentos, código-fonte e arquivos binários) na nuvem.

O CodeCommit é otimizado para desenvolvimento de software em equipe. Ele gerencia lotes de alterações em vários arquivos, que podem ocorrer em paralelo com alterações feitas por outros desenvolvedores.

Um desenvolvedor está criando uma tabela do DynamoDB para armazenar logs de aplicativos. A tabela tem 5 unidades de capacidade de gravação (WCUs). O desenvolvedor precisa configurar as unidades de capacidade de leitura (RCUs) para a tabela.

Qual das configurações a seguir representa o uso mais eficiente da taxa de transferência?

• Leituras fortemente consistentes de 5 RCUs lendo itens com tamanho de 4 KB

• Leituras eventualmente consistentes de 5 RCUs lendo itens com tamanho de 4 KB

• Leituras eventualmente consistentes de 15 RCUs lendo itens com tamanho de 1 KB

• Leituras fortemente consistentes de 15 RCUs lendo itens com tamanho de 1 KB

Answer explanation

Neste cenário, o Desenvolvedor precisa maximizar a eficiência das RCUs. Portanto, o Desenvolvedor precisará considerar o tamanho do item e o modelo de consistência para determinar o uso mais eficiente de RCUs.

Tamanho do item/modelo de consistência: sabemos que itens de 1 KB e itens de 4 KB consomem o mesmo número de RCUs que uma unidade de capacidade de leitura representa uma leitura fortemente consistente por segundo, ou duas leituras eventualmente consistentes por segundo, para um item de até 4 KB de tamanho.

Os marcadores a seguir fornecem a taxa de transferência de leitura para cada configuração:

• Eventualmente consistente, 15 RCUs, 1 KB item = 30 itens/s = 2 itens por RCU

• Fortemente consistente, 15 RCUs, item de 1 KB = 15 itens/s = 1 item por RCU

• Eventualmente consistente, 5 RCUs, item de 4 KB = 10 itens/s = 2 itens por RCU

• Fortemente consistente, 5 RCUs, item de 4 KB = 5 itens/s = 1 item por RCU

Pelo exposto, podemos ver que itens de 4 KB com leituras eventualmente consistentes são a opção mais eficiente. Portanto, o Desenvolvedor deve escolher a opção “Leituras eventualmente consistentes de 5 RCUs lendo itens com tamanho de 4 KB”. Isso atingirá 2x 4 itens de KB por RCU.

Um desenvolvedor está usando o AWS SAM para criar um modelo para implantar um aplicativo sem servidor. Os planos do desenvolvedor implantam uma função do AWS Lambda e uma tabela do Amazon DynamoDB usando o modelo.

Quais tipos de recursos o desenvolvedor deve especificar? (Selecione DUAS.)

• AWS::Serverless:LayerVersion

• AWS::Serverless:Function

• AWS::Serverless:SimpleTable

• AWS::Serverless:API

• AWS::Serverless::Application

Answer explanation

Um aplicativo sem servidor é uma combinação de funções do Lambda, fontes de eventos e outros recursos que trabalham juntos para executar tarefas. Observe que um aplicativo sem servidor é mais do que apenas uma função do Lambda — ele pode incluir recursos adicionais, como APIs, bancos de dados e mapeamentos de origem de eventos.

Os modelos do AWS SAM são uma extensão dos modelos do AWS CloudFormation, com alguns componentes adicionais que facilitam o trabalho.

Para criar uma função do Lambda usando um modelo do AWS SAM, o desenvolvedor pode usar o tipo de recurso AWS::Serverless::Function. O tipo de recurso AWS::Serverless::Function pode ser usado para criar uma função do Lambda, uma função de execução do IAM e mapeamentos de origem de eventos que acionam a função.

Para criar uma tabela do DynamoDB usando um modelo do AWS SAM, o desenvolvedor pode usar o tipo de recurso AWS::Serverless::SimpleTable, que cria uma tabela do DynamoDB com uma chave primária de atributo único. É útil quando os dados só precisam ser acessados ​​por meio de uma chave primária.

Um desenvolvedor está criando um aplicativo web que será hospedado em instâncias do Amazon EC2. As instâncias do EC2 armazenarão dados de configuração em um bucket do Amazon S3.

Qual é a maneira MAIS SEGURA de permitir que as instâncias do EC2 acessem o bucket do S3?

• Usar o AWS SDK e autenticar com uma conta de usuário que tenha as permissões necessárias nas instâncias do EC2

• Criar uma função do IAM com uma política gerenciada pela AWS anexada que tenha as permissões necessárias e anexar a função às instâncias do EC2

• Armazenar uma chave de acesso e um ID secreto que tenha as permissões necessárias nas instâncias do EC2

• Crie uma função do IAM com uma política gerenciada pelo cliente anexada que tenha as permissões necessárias e anexe a função às instâncias do EC2

Answer explanation

Os aplicativos executados em uma instância do EC2 devem incluir credenciais da AWS em suas solicitações de API da AWS. Você pode fazer com que seus desenvolvedores armazenem credenciais da AWS diretamente na instância do EC2 e permitam que os aplicativos nessa instância usem essas credenciais. Mas os desenvolvedores teriam que gerenciar as credenciais e garantir que eles passem as credenciais com segurança para cada instância e atualizem cada instância do EC2 quando for a hora de alternar as credenciais. Isso é muito trabalho adicional.

Em vez disso, você pode e deve usar uma função do IAM para gerenciar credenciais temporárias para aplicativos executados em uma instância do EC2. Ao usar uma função, você não precisa distribuir credenciais de longo prazo (como nome de usuário e senha ou chaves de acesso) para uma instância do EC2. Em vez disso, a função fornece permissões temporárias que os aplicativos podem usar ao fazer chamadas para outros recursos da AWS. Ao executar uma instância do EC2, você especifica uma função do IAM para associar à instância. Os aplicativos executados na instância podem usar as credenciais temporárias fornecidas pela função para assinar solicitações de API.

Existem duas respostas que funcionariam nesse cenário. Em um é usada uma política gerenciada pelo cliente e no outro é usada uma política gerenciada pela AWS. A política gerenciada pelo cliente é mais segura nessa situação, pois pode ser bloqueada com mais granularidade para garantir que as instâncias do EC2 só possam ler e gravar no bucket específico.

Com uma política gerenciada pela AWS, você deve escolher entre somente leitura ou acesso total, e o acesso total forneceria mais acesso do que o necessário.

Um aplicativo de comércio eletrônico usa um banco de dados do Amazon RDS com o Amazon ElastiCache na frente. Os dados de volume de estoque são atualizados dinamicamente nas listagens à medida que as vendas são feitas. Os clientes reclamaram que ocasionalmente os dados de volume de estoque estão incorretos e acabam comprando itens que estão em falta. Um desenvolvedor verificou o front-end e, de fato, alguns itens exibem a contagem de estoque incorreta.

O que poderia estar causando esse problema?

• O banco de dados do Amazon RDS é implantado como Multi-AZ e o modo de espera é inconsistente

• Os dados do volume de estoque estão sendo recuperados usando um cluster ElastiCache de gravação

• O banco de dados do Amazon RDS tem IOPS insuficiente provisionado para seus volumes do EBS

• O cache não está sendo invalidado quando os dados do volume de estoque são alterados

Answer explanation

O Amazon ElastiCache está sendo usado para armazenar em cache os dados do banco de dados do Amazon RDS para melhorar o desempenho ao realizar consultas. Nesse caso, o cache tem dados de volume de estoque obsoletos armazenados e está retornando essas informações quando os clientes estão comprando itens.

A resolução é garantir que o cache seja invalidado sempre que os dados do volume de estoque forem alterados. Isso pode ser feito na camada de aplicação.