무료 온라인 액세스 Amazon.SAP-C01.v2023-02-07.q226 모의 시험 (Page 11)

SAP-C01 문제 46

솔루션 설계자는 AWS 환경에 대한 사용자 액세스를 인증하기 위해 회사의 온프레미스 자격 증명 공급자(IdP)와 함께 SAML 2.0 연동 자격 증명 솔루션을 구현했습니다. 솔루션 설계자가 연동 자격 증명 웹 포털을 통해 인증을 테스트하면 AWS 환경에 대한 액세스 권한이 부여됩니다. 그러나 테스트 사용자가 연동 자격 증명 웹 포털을 통해 인증을 시도하면 AWS 환경에 액세스할 수 없습니다.
솔루션 설계자가 ID 연합이 제대로 구성되었는지 확인하기 위해 어떤 항목을 확인해야 합니까? (3개를 선택하세요.)

A. IAM 사용자의 권한 정책이 해당 사용자에 대해 SAML 연동 사용을 허용했습니다.

B. 연동 사용자 또는 연동 그룹의 신뢰 정책에 대해 생성된 IAM 역할이 SAML 공급자를 보안 주체로 설정했습니다.

C. 테스트 사용자가 회사 IdR의 AWSFederatedUsers 그룹에 없습니다.

D. 웹 포털은 SAML 공급자의 ARN, IAM 역할의 ARN 및 IdR의 SAML 어설션을 사용하여 AWS STS AssumeRoleWithSAML API를 호출합니다.

E. AWS 환경 VPC에서 온프레미스 IdP의 DNS 호스트 이름에 연결할 수 있습니다.

F. 회사의 IdP는 회사의 사용자 또는 그룹을 적절한 권한이 있는 IAM 역할에 적절하게 매핑하는 SAML 어설션을 정의합니다.

SAP-C01 문제 47

회사는 Amazon EC2에서 여러 애플리케이션을 실행하고 있습니다. 각 애플리케이션은 여러 비즈니스 단위에서 배포 및 관리됩니다. 모든 애플리케이션은 단일 AWS 계정에 배포되지만 다른 가상 사설 클라우드(VPC)에 배포됩니다. 회사는 테스트 및 개발 목적으로 동일한 계정에서 별도의 VPC를 사용합니다.
사용자가 실수로 다른 사업부에 속한 리소스를 종료하고 수정하여 프로덕션 애플리케이션이 여러 번 중단되었습니다. Solutions Architect는 개발자가 필요한 리소스에 액세스할 수 있도록 허용하면서 회사 애플리케이션의 가용성을 개선해 달라는 요청을 받았습니다.
중단이 가장 적은 요구 사항을 충족하는 옵션은 무엇입니까?

A. 각 사업부에 대한 AWS 계정을 생성합니다. 각 사업부의 인스턴스를 자체 계정으로 이동하고 사용자가 해당 사업부의 계정에 액세스할 수 있도록 페더레이션을 설정합니다.

B. 사용자가 회사 자격 증명을 사용할 수 있도록 연합을 설정하고 사용자를 자신의 VPC로 잠급니다. 네트워크 ACL을 사용하여 각 VPC가 다른 VPC에 액세스하지 못하도록 차단합니다.

C. 사업부별로 태깅 정책을 구현합니다. 각 사용자가 자신의 사업부에 속한 인스턴스만 종료할 수 있도록 IAM 정책을 생성합니다.

D. 각 사용자에 대한 역할 기반 액세스를 설정하고 개별 역할 및 각 사용자가 담당하는 서비스에 따라 제한된 권한을 제공합니다.

SAP-C01 문제 48

기업에서 타사 SaaS 애플리케이션을 사용하려고 합니다. SaaS 애플리케이션은 기업 계정 내에서 실행되는 Amazon EC2 리소스를 검색하기 위해 여러 API 명령을 실행할 수 있는 액세스 권한이 있어야 합니다. 기업에는 환경에 대한 외부 액세스를 요구하는 내부 보안 정책이 있으며 최소 권한 원칙을 준수해야 하고 SaaS 공급업체가 사용하는 자격 증명을 다른 제3자가 사용할 수 없도록 합니다.
다음 중 이 모든 조건을 충족하는 것은?

A. AWS Management 콘솔에서 보안 자격 증명 페이지로 이동하여 계정에 대한 액세스 및 보안 키를 검색합니다.

B. 엔터프라이즈 계정 내에서 IAM 사용자 생성 SaaS 애플리케이션에 필요한 작업만 허용하는 사용자 정책을 IAM 사용자에게 할당하여 사용자에 대한 새 액세스 및 비밀 키를 생성하고 이러한 자격 증명을 SaaS 제공자에게 제공합니다.

C. 교차 계정 액세스를 위한 IAM 역할 생성은 SaaS 제공자의 계정이 역할을 맡도록 허용하고 SaaS 애플리케이션에 필요한 작업만 허용하는 정책을 할당합니다.

D. EC2 인스턴스에 대한 IAM 역할을 생성하고, SaaS 애플리케이션이 작동하는 데 필요한 작업만 허용하는 정책을 할당하고, 애플리케이션 인스턴스를 시작할 때 사용할 역할 ARN을 SaaS 공급자에게 제공합니다.

정답: C

설명
소유하지 않은 개체에 교차 계정 권한 부여
이 예제 시나리오에서는 버킷을 소유하고 다른 AWS 계정이 객체를 업로드하도록 설정했습니다. 즉, 버킷에는 다른 AWS 계정이 소유한 객체가 있을 수 있습니다.
이제 버킷 소유자가 소유자에 관계없이 다른 계정의 사용자에게 객체에 대한 교차 계정 권한을 부여해야 한다고 가정합니다. 예를 들어, 해당 사용자는 객체 메타데이터에 액세스해야 하는 청구 애플리케이션일 수 있습니다. 두 가지 핵심 문제가 있습니다.
버킷 소유자는 다른 AWS 계정에서 생성한 객체에 대한 권한이 없습니다. 따라서 버킷 소유자가 자신이 소유하지 않은 객체에 대한 권한을 부여하려면 먼저 객체를 생성한 AWS 계정인 객체 소유자가 버킷 소유자에게 권한을 부여해야 합니다. 그러면 버킷 소유자가 해당 권한을 위임할 수 있습니다.
버킷 소유자 계정은 자체 계정의 사용자에게 권한을 위임할 수 있지만 교차 계정 위임이 지원되지 않기 때문에 다른 AWS 계정에는 권한을 위임할 수 없습니다.
이 시나리오에서 버킷 소유자는 객체에 액세스할 수 있는 권한이 있는 AWS Identity and Access Management(IAM) 역할을 생성하고 다른 AWS 계정에 버킷의 객체에 액세스할 수 있도록 일시적으로 역할을 맡을 수 있는 권한을 부여할 수 있습니다.
배경: 교차 계정 권한 및 IAM 역할 사용
IAM 역할을 사용하면 여러 시나리오에서 리소스에 대한 액세스 권한을 위임할 수 있으며 교차 계정 액세스는 주요 시나리오 중 하나입니다. 이 예에서 버킷 소유자 계정 A는 IAM 역할을 사용하여 객체 액세스 교차 계정을 다른 AWS 계정 계정의 사용자에게 임시로 위임합니다.
C. 생성한 각 IAM 역할에는 두 개의 정책이 연결되어 있습니다.
역할을 맡을 수 있는 다른 AWS 계정을 식별하는 신뢰 정책.
누군가가 역할을 맡을 때 허용되는 권한(예: s3:GetObject)을 정의하는 액세스 정책입니다. 정책에서 지정할 수 있는 권한 목록은 정책에서 권한 지정을 참조하십시오.
그런 다음 신뢰 정책에서 식별된 AWS 계정은 역할을 맡을 수 있는 권한을 사용자에게 부여합니다. 그런 다음 사용자는 다음을 수행하여 개체에 액세스할 수 있습니다.
역할을 수임하고 이에 대한 응답으로 임시 보안 자격 증명을 얻습니다.
임시 보안 자격 증명을 사용하여 버킷의 객체에 액세스합니다.
IAM 역할에 대한 자세한 내용은 IAM 사용 설명서의 역할(위임 및 연동)을 참조하십시오.
다음은 연습 단계를 요약한 것입니다.

계정 A 관리자 사용자는 계정 B에 객체 업로드에 대한 조건부 권한을 부여하는 버킷 정책을 연결합니다.
계정 A 관리자는 IAM 역할을 생성하여 계정 C와 신뢰를 구축하여 해당 계정의 사용자가 계정에 액세스할 수 있도록 합니다.
A. 역할에 연결된 액세스 정책은 사용자가 계정 A에 액세스할 때 계정 C의 사용자가 수행할 수 있는 작업을 제한합니다.
계정 B 관리자는 계정 A가 소유한 버킷에 객체를 업로드하여 버킷 소유자에게 모든 권한을 부여합니다.
계정 C 관리자는 사용자를 생성하고 사용자가 역할을 맡도록 허용하는 사용자 정책을 연결합니다.
계정 C의 사용자가 먼저 역할을 맡아 사용자에게 임시 보안 자격 증명을 반환합니다. 그런 다음 사용자는 이러한 임시 자격 증명을 사용하여 버킷의 객체에 액세스합니다.
이 예에서는 세 개의 계정이 필요합니다. 다음 표는 이러한 계정과 이러한 계정의 관리자 사용자를 참조하는 방법을 보여줍니다. IAM 지침(관리자 사용자를 사용하여 리소스 생성 및 권한 부여 참조)에 따라 이 연습에서는 계정 루트 자격 증명을 사용하지 않습니다. 대신, 각 계정에서 관리자 사용자를 만들고 리소스를 생성하고 권한을 부여할 때 해당 자격 증명을 사용합니다.

SAP-C01 문제 49

솔루션 설계자가 AWS Import/Export의 Amazon EC2 VM 가져오기 기능을 사용하여 온프레미스 환경에서 VM을 가져오고 있습니다. 솔루션 설계자가 AMI를 생성하고 해당 AMI를 기반으로 하는 Amazon EC2 인스턴스를 프로비저닝했습니다. EC2 인스턴스가 실행됩니다. VPC의 퍼블릭 서브넷 내부에 할당된 퍼블릭 IP 주소가 있습니다.
EC2 인스턴스가 AWS Systems Manager 콘솔에서 관리형 인스턴스로 표시되지 않음
솔루션 설계자가 이 문제를 해결하기 위해 취해야 하는 단계의 조합은 무엇입니까?(2개 선택)

A. 인스턴스에 Systems Manager에 대한 적절한 IAM 역할이 할당되었는지 확인합니다.

B. Systems Manager Agent가 인스턴스에 설치되어 실행 중인지 확인합니다.

C. Systems Manager에 대한 서비스 연결 역할의 올바른 구성을 확인합니다.

D. VPC에 VPC 엔드포인트가 있는지 확인

E. AWS Application Discovery 에이전트가 구성되었는지 확인

SAP-C01 문제 50

유럽에 사용자가 있는 모바일 앱이 있는 회사가 있습니다. 앱을 사용할 때 기기 및 앱 버전별 구성 파일을 다운로드합니다. 회사의 아키텍처는 다음과 같습니다.
* 구성 파일은 eu-west-1 리전의 Amazon S3에 저장되며 Amazon CloudFront를 사용하여 사용자에게 제공됩니다.
* Lambda@Edge는 앱 요청에서 디바이스 및 버전 정보를 추출하는 데 사용됩니다. 그런 다음 올바른 구성을 로드하도록 요청을 업데이트합니다.
회사는 구성 파일 로드 시간을 핵심 성능 지표로 사용하며 100ms 이하의 응답 시간을 목표로 합니다. 앱은 최근 ap-southeast-2 리전에서 출시되었으며 호주 사용자의 요청 지연 시간은 100ms 목표를 훨씬 초과합니다. 솔루션 설계자는 솔루션을 추천해야 합니다.
오스트레일리아 사용자의 지연 시간을 줄이는 솔루션은 무엇입니까?

A. ap-southeast-2 리전에 S3 버킷을 생성합니다. 교차 리전 복제를 사용하여 eu-west-1 리전의 버킷에서 동기화 사용자와 가장 가까운 리전의 Amazon S3에 액세스하도록 Lambda@Edge를 수정합니다.

B. 버킷에 S3 Transfer Acceleration을 구성합니다. 사용자와 가장 가까운 리전에서 Transfer Acceleration 엔드포인트를 사용하여 Amazon S3에 액세스하도록 Lambda@Edge를 수정합니다.

C. 버킷에 S3 Transfer Acceleration을 구성합니다. 오스트레일리아 및 유럽에 대한 Transfer Acceleration Edge 엔드포인트를 CloudFront 오리진으로 추가합니다. Lambda@Edge를 수정하여 사용자와 가장 가까운 리전에서 Transfer Acceleration 엔드포인트가 되도록 요청의 출처를 업데이트합니다.

D. ap-southeast-2 리전에 S3 버킷을 생성합니다. 교차 리전 복제를 사용하여 eu-west-1 리전의 버킷에서 동기화합니다. 두 버킷에 대해 구성된 지연 시간 기반 라우팅을 사용하여 Amazon Route 53 호스팅 영역을 생성합니다. Lambda@Edge를 수정하여 요청의 출처를 사용자에게 가장 가까운 Route 53 호스팅 영역으로 업데이트합니다.