Tóm tắt
Với SAP-C02, cố gắng ghi nhớ toàn bộ danh mục AWS là cách tiếp cận sai. Exam guide hiện tại của AWS cho biết chứng chỉ này đánh giá khả năng thiết kế các giải pháp tối ưu trong bốn nhóm: độ phức tạp của tổ chức, giải pháp mới, cải tiến liên tục và di chuyển/hiện đại hóa. Tỷ trọng hiện tại lần lượt là 26%, 29%, 25% và 20%. AWS cũng nói rõ danh sách dịch vụ nằm trong phạm vi thi là không đầy đủ và có thể thay đổi. Exam guide SAP-C02 của AWS
Với người học theo cơ chế, lượt học đầu tiên không nên là “học mọi tính năng”. Cách hữu ích hơn là:
Biết mỗi dịch vụ chịu trách nhiệm cho bài toán kiến trúc nào, cơ chế nào làm nó khác biệt và ràng buộc nào khiến ta chọn nó thay vì lựa chọn gần nhất.
AWS Well-Architected Framework cũng nhấn mạnh cách tư duy này: quyết định kiến trúc luôn là sự đánh đổi giữa vận hành xuất sắc, bảo mật, độ tin cậy, hiệu năng, tối ưu chi phí và tính bền vững. AWS Well-Architected Framework
Khoảng 60 tên dịch vụ dưới đây là vốn từ vựng lượt đầu tiên cần có trước khi học sâu. Thứ tự ưu tiên này là tổng hợp phục vụ việc ôn thi, không phải tỷ trọng chính thức của AWS. AWS không xếp hạng mức độ quan trọng của từng dịch vụ trong danh sách nằm trong phạm vi thi. Exam guide SAP-C02 của AWS
Bản đồ tư duy cần nhớ:
- Identity: ai được làm gì?
- Compute: ai quản lý môi trường chạy?
- Storage: object, block hay file?
- Database: kiểu truy cập và mô hình nhất quán nào?
- Networking: traffic nên đi theo đường nào?
- Security: ngăn chặn, phát hiện hay tổng hợp/xử lý?
- Observability: metric, hành động API, trạng thái cấu hình hay trace request?
- Integration: xếp hàng, fan-out, định tuyến hay điều phối workflow?
- Governance: kiểm soát nhiều account một cách nhất quán ra sao?
- Cost: quan sát, cảnh báo, right-size hay cam kết chi tiêu?
- Migration: di chuyển thứ gì, với downtime và băng thông ra sao?
- Data/ML: truy vấn ad hoc, ETL, kho dữ liệu, stream, Kafka hay ML tùy chỉnh?
Tổng quan theo nhóm
Đây là những nhóm và tên dịch vụ cần nhận ra ngay trước khi học sâu từng chủ đề. Danh sách chủ yếu dựa trên phạm vi hiện tại của SAP-C02, sau đó được ưu tiên theo các nhiệm vụ mà bốn domain của bài thi nhấn mạnh. Exam guide SAP-C02 của AWS
| Nhóm | Dịch vụ cần biết trước | Câu hỏi nên tự hỏi |
|---|---|---|
| Identity | IAM, IAM Identity Center, STS, Cognito, Directory Service, RAM | Principal là ai và authorization được kiểm soát ở đâu? |
| Compute | EC2, EC2 Auto Scaling, Lambda, ECS, EKS, Fargate | Tôi thực sự cần kiểm soát runtime/hạ tầng đến mức nào? |
| Storage | S3, EBS, EFS, FSx, AWS Backup, Storage Gateway | Object, block, file dùng chung, file chuyên dụng, backup hay hybrid? |
| Database | RDS, Aurora, DynamoDB, ElastiCache, DocumentDB, Neptune | Relational, key-value, cache, document hay graph? |
| Networking | VPC, ELB, Route 53, Transit Gateway, Direct Connect, CloudFront | Cô lập, routing nội bộ, routing toàn cầu, hub, kết nối hybrid hay edge? |
| Security | KMS, Secrets Manager, GuardDuty, Inspector, Security Hub, WAF/Shield | Mã hóa, bảo vệ secret, phát hiện mối đe dọa, tìm lỗ hổng, tổng hợp hay chặn? |
| Observability | CloudWatch, CloudTrail, Config, X-Ray | Metric/log, audit API, trạng thái cấu hình hay distributed trace? |
| Application Integration | SQS, SNS, EventBridge, Step Functions, Amazon MQ, API Gateway | Buffer, fan-out, định tuyến event, điều phối, giữ tương thích legacy hay mở API? |
| Management & Governance | Organizations, Control Tower, CloudFormation, Systems Manager, Service Catalog | Guardrail, landing zone, IaC, vận hành fleet hay self-service có kiểm soát? |
| Cost & Billing | Cost Explorer, CUR, Budgets, Compute Optimizer, Savings Plans, Pricing Calculator | Phân tích, phân bổ, cảnh báo, right-size, cam kết hay ước tính? |
| Migration & Modernization | Migration Hub, MGN, DMS, DataSync, Snow Family, Transfer Family | Server, database, dữ liệu lớn, offline data hay managed file transfer? |
| Analytics & ML | Athena, Glue, Redshift, Kinesis Data Streams, MSK, SageMaker AI | Query, transform, warehouse, stream, Kafka hay xây ML? |
Bảng trên chính là service map cần dùng cho phần tổng quan này.
Hạ tầng cốt lõi
Identity
AWS yêu cầu thí sinh SAP-C02 hiểu IAM, IAM Identity Center, truy cập cross-account, tích hợp danh tính bên thứ ba, môi trường nhiều account và governance tập trung. Tài liệu về identity của AWS tách workforce identity, application identity, AWS authorization và tích hợp directory thành các bài toán riêng, thay vì coi “IAM” là một chủ đề duy nhất. Tài liệu IAM của AWS
| Dịch vụ | Nhiệm vụ chính | Cơ chế / đánh đổi cần nhớ | Dấu hiệu thường gặp trong đề SAP-C02 |
|---|---|---|---|
| IAM | Cấp quyền cho principal AWS truy cập resource AWS | Quyền hiệu lực là kết quả của nhiều lớp policy; explicit deny luôn thắng. Với workload, role tốt hơn credential dài hạn. | “Cho workload/account X quyền tối thiểu vào Y”; cross-account role; permission boundary; resource policy và identity policy. |
| IAM Identity Center | Cấp quyền tập trung cho nhân sự truy cập account/app AWS | Federation + permission set trên nhiều account; dành cho người dùng nội bộ, không phải khách hàng của ứng dụng. | Doanh nghiệp có AD/IdP và 100 account AWS, muốn bỏ IAM user riêng ở từng account. |
| STS | Cấp credential AWS tạm thời | Assume role/federation tạo credential có thời hạn thay vì access key lâu dài. | Truy cập cross-account, user liên kết qua federation, credential tạm thời cho workload. |
| Cognito | Quản lý danh tính người dùng cuối của ứng dụng | User pool xác thực người dùng; identity pool có thể đổi danh tính thành credential AWS tạm thời. | Khách hàng đăng nhập web/mobile và cần truy cập có kiểm soát vào S3, DynamoDB hoặc API. |
| Directory Service | Kết nối/quản lý workload cần kiểu danh tính giống Microsoft directory | Chọn khi cần semantics hoặc tích hợp của AD, không chỉ cần SSO cho account AWS. | Windows workload, domain join, tích hợp Microsoft AD hiện có. |
| RAM | Chia sẻ resource AWS được hỗ trợ giữa các account | Chia sẻ một resource thay vì nhân bản resource hoặc mở rộng kết nối mạng không cần thiết. | Chia sẻ subnet, Transit Gateway và các resource do account trung tâm quản lý trong Organization. |
Cây quyết định về identity trong đề thi là: principal → loại credential → ranh giới authorization → phạm vi account. Trước hết, xác định đây là workforce, workload, customer hay Microsoft-directory identity. Sau đó xác định quyền nên được kiểm soát trong IAM policy, ở mức account/OU guardrail hay trên chính resource. Credential tạm thời nên là lựa chọn mặc định; AWS dùng STS làm nền tảng cho role và federation. Credential tạm thời với AWS STS
Compute
Hướng dẫn về compute của AWS phân biệt function serverless, container và virtual machine chủ yếu dựa trên mức độ kiểm soát và phần việc vận hành phải chịu trách nhiệm. Domain migration của SAP-C02 yêu cầu thí sinh chọn giữa EC2, ECS, EKS, Fargate và các nền tảng liên quan khi tái kiến trúc workload. Các dịch vụ compute của AWS
| Dịch vụ | Nhiệm vụ chính | Cơ chế / đánh đổi cần nhớ | Dấu hiệu thường gặp trong đề SAP-C02 |
|---|---|---|---|
| EC2 | Compute dạng VM tổng quát | Kiểm soát tối đa OS, runtime, network và storage; đổi lại phải tự vận hành nhiều việc ở cấp host. | Phần mềm legacy, yêu cầu OS/kernel/network đặc biệt, licensing, instance chuyên dụng. |
| EC2 Auto Scaling | Điều chỉnh số lượng EC2 theo tải và thay instance lỗi | Biến fleet host tĩnh thành pool co giãn; chi phí phụ thuộc scaling policy và mô hình mua instance. | Nhu cầu biến động, tự thay instance lỗi, HA trên nhiều AZ. |
| Lambda | Chạy function theo event | Không phải quản lý server và tự scale theo invocation/concurrency; execution model bị giới hạn nên không phù hợp với mọi workload. | Event tăng giảm đột biến, xử lý bất đồng bộ, serverless API, glue logic. |
| ECS | Điều phối container theo cách native của AWS | Có abstraction của container mà không cần vận hành hệ sinh thái Kubernetes. | “Chạy container với ít gánh nặng vận hành nhất” khi không cần Kubernetes. |
| EKS | Control plane Kubernetes được quản lý | Có compatibility và ecosystem của Kubernetes, nhưng vẫn phải chấp nhận độ phức tạp của Kubernetes. | Đã có nền tảng/tooling Kubernetes, cần portability, Kubernetes API hoặc operator. |
| Fargate | Chạy task ECS/EKS mà không quản lý worker node | Đổi quyền kiểm soát host và việc bin-packing fleet lấy compute capacity được quản lý. | “Dùng container nhưng công ty không muốn quản lý EC2 worker node.” |
Điểm mấu chốt không phải là EC2, Lambda hay container là sản phẩm nào; mà là cần bao nhiêu quyền kiểm soát và phải trả bao nhiêu trách nhiệm vận hành. Hướng dẫn Well-Architected của AWS đối chiếu mô hình container serverless của Fargate với EC2 trong trường hợp cần cài đặt, cấu hình và kiểm soát môi trường compute. Tài liệu AWS Fargate
Storage
Decision guide về storage của AWS bắt đầu từ interface mà ứng dụng cần: object, block hay file. Sau đó mới xét đến hiệu năng, khả năng chia sẻ, availability, khả năng tương thích khi migration và chi phí. SAP-C02 cũng gọi đích danh S3, EBS, EFS, FSx và Storage Gateway khi chọn kiến trúc cho workload được di chuyển. Các dịch vụ storage của AWS
| Dịch vụ | Nhiệm vụ chính | Cơ chế / đánh đổi cần nhớ | Dấu hiệu thường gặp trong đề SAP-C02 |
|---|---|---|---|
| S3 | Object storage bền vững, có thể mở rộng | Dùng semantics của object, không phải block device hay filesystem POSIX truyền thống; lifecycle/storage class tách tần suất truy cập khỏi chi phí lưu giữ. | Data lake, static asset, nơi chứa backup, archive, bảo vệ dữ liệu cross-Region. |
| EBS | Block storage bền vững cho compute | Có semantics của block device và I/O hiệu năng cao gần EC2; volume gắn với AZ, còn snapshot là cơ chế bảo vệ riêng. | Database/filesystem cần block storage và I/O ổn định. |
| EFS | Filesystem Linux/NFS dùng chung được quản lý | Nhiều compute instance có thể mount cùng một namespace file co giãn; tiện cho việc chia sẻ nhưng trade-off khác block storage về chi phí/hiệu năng. | Chia sẻ file Linux giữa EC2/ECS/Lambda và nhiều AZ. |
| FSx | Filesystem chuyên dụng được quản lý | Giữ lại behavior/protocol cụ thể như Windows, Lustre, ONTAP hoặc OpenZFS. | Lift-and-shift SMB/Windows, phụ thuộc NetApp, workload HPC/Lustre. |
| AWS Backup | Tập trung hóa policy và thời gian lưu backup | Tách governance của backup khỏi script riêng cho từng dịch vụ; backup/restore không đồng nghĩa với active HA. | Policy backup cross-account, retention/compliance, bảo vệ tập trung. |
| Storage Gateway | Cầu nối giữa ứng dụng on-premises và storage AWS | Giữ interface quen thuộc như NFS/SMB/iSCSI ở on-prem, trong khi AWS trở thành backend/tầng lưu trữ bền vững. | Hybrid storage, migration theo giai đoạn, backup/archive trên cloud mà không phải sửa ứng dụng. |
Khi gặp câu hỏi về storage, hãy hỏi theo thứ tự: ứng dụng cần interface nào → nhiều host có cần dùng chung không → latency/IOPS → yêu cầu lỗi AZ/Region → tần suất truy cập và thời gian lưu → khả năng tương thích khi migration. “Shared filesystem” nên khiến bạn rời khỏi EBS; “SMB/NetApp/Lustre có sẵn” hướng bạn đến FSx; “object/archive/data lake” hướng đến S3. Các dịch vụ storage của AWS
Database
Database decision guide của AWS chọn dịch vụ dựa trên mô hình workload, không phải câu hỏi “database nào nhanh nhất”. Domain migration và modernization của SAP-C02 yêu cầu thí sinh biết chọn giữa RDS, DynamoDB, OpenSearch, database tự quản lý trên EC2, Aurora Serverless, ElastiCache và các database chuyên dụng khác. Các dịch vụ database của AWS
| Dịch vụ | Nhiệm vụ chính | Cơ chế / đánh đổi cần nhớ | Dấu hiệu thường gặp trong đề SAP-C02 |
|---|---|---|---|
| RDS | Database relational thông thường được quản lý | AWS lo phần việc hạ tầng nhưng giữ các engine quen thuộc; Multi-AZ chủ yếu giải quyết HA, read replica chủ yếu giải quyết read scaling. | Lift/replatform workload Oracle, SQL Server, MySQL hoặc PostgreSQL-compatible mà vẫn giữ semantics relational. |
| Aurora | Database relational tương thích MySQL/PostgreSQL được tối ưu cho AWS | Storage/replica architecture cloud-native cho nhiều lựa chọn scaling và HA hơn mô hình một DB host thông thường. | Relational workload throughput cao, nhiều reader, DR relational cross-Region hoặc global. |
| DynamoDB | Database key-value/document serverless | Khả năng scale phụ thuộc vào việc thiết kế theo partition key và access pattern đã biết, không phải các join tùy ý như relational database. | Lượng request rất lớn, truy cập theo key có thể dự đoán, ít vận hành. |
| ElastiCache | Cache hoặc data layer trong memory | Đổi durability và semantics của authoritative state lấy tốc độ truy cập rất cao; phải xử lý consistency/invalidation của cache. | Giảm read pressure cho RDS, session, dữ liệu nóng, repeated read cần latency thấp. |
| DocumentDB | Document database được quản lý, tương thích MongoDB | Chọn cho workload document/Mongo-compatible thay vì ép access pattern document vào schema relational. | Di chuyển/quản lý ứng dụng kiểu Mongo mà không tự vận hành database host. |
| Neptune | Graph database chuyên dụng | Tối ưu cho việc duyệt quan hệ thay vì thực hiện nhiều join giữa các bảng. | Social graph, knowledge graph, fraud và các bài toán duyệt quan hệ. |
Thói quen quan trọng nhất khi chọn database là xác định access pattern trước khi nghĩ đến tên dịch vụ. Transaction và join relational hướng đến RDS/Aurora; lookup theo key và scale ngang rất lớn hướng đến DynamoDB; repeated hot read có thể cần ElastiCache; duyệt quan hệ hướng đến Neptune. Sau đó mới xét thêm RTO/RPO, topology theo Region, khả năng migration và công việc vận hành. Hướng dẫn DR của AWS cũng liên kết lựa chọn database và kiến trúc với yêu cầu RTO/RPO. Hướng dẫn disaster recovery của AWS
Kết nối và mức độ kiểm soát runtime
Networking
Domain One của SAP-C02 kiểm tra kết nối nhiều VPC, kết nối hybrid, DNS, phân đoạn network, lựa chọn Region/AZ, troubleshooting traffic flow và service endpoint. Networking decision guide của AWS coi đây là các bài toán kết nối khác nhau, không phải những sản phẩm có thể thay thế lẫn nhau. Các dịch vụ networking của AWS
| Dịch vụ | Nhiệm vụ chính | Cơ chế / đánh đổi cần nhớ | Dấu hiệu thường gặp trong đề SAP-C02 |
|---|---|---|---|
| VPC | Ranh giới network cô lập của AWS | Subnet và route quyết định đường đi; security group là control có state ở cấp workload, còn NACL hoạt động ở ranh giới subnet. | Thiết kế CIDR, phân đoạn, tầng private/public, VPC endpoint, network bị trùng CIDR. |
| ELB | Phân phối traffic đến các target ứng dụng | ALB xử lý ở HTTP/L7; NLB dành cho yêu cầu TCP/UDP/L4 hoặc hiệu năng rất cao. | HTTP routing theo host/path so với yêu cầu TCP/UDP, static IP hoặc hiệu năng cao. |
| Route 53 | DNS và điều hướng traffic dựa trên DNS | Thay đổi việc phân giải tên, không trực tiếp trở thành đường truyền packet/data. | Failover, weighted/latency/geolocation DNS, private hosted zone, hybrid DNS/Resolver. |
| Transit Gateway | Hub kết nối nhiều VPC và network on-prem | Thay nhiều kết nối point-to-point bằng routing hub-and-spoke có tính transitive; đổi lại có thêm routing tập trung và chi phí xử lý. | Hàng chục/hàng trăm VPC, nhiều account, hybrid network tập trung. |
| Direct Connect | Kết nối network private chuyên dụng đến AWS | Tạo đường hybrid private và dễ dự đoán hơn; resilience và encryption vẫn phải thiết kế riêng. | Băng thông hybrid ổn định, kết nối dễ dự đoán, tích hợp data center doanh nghiệp lớn. |
| CloudFront | CDN ở edge để phân phối web/content | Cache ở edge giảm traffic và latency đến origin; khác với việc tăng tốc TCP/UDP bất kỳ. | HTTP content toàn cầu, caching, S3 origin, bảo mật ở edge. |
Câu hỏi networking thường quy về phạm vi và đường đi: trong một VPC, giữa hai VPC, nhiều VPC, truy cập private giữa các service, on-prem đến AWS hay user đến ứng dụng toàn cầu. Với topology nhiều account và nhiều VPC, Transit Gateway là mô hình hub trung tâm mà AWS thường đề cập. Với traffic ở edge toàn cầu, nhớ rằng CloudFront chủ yếu dành cho content/CDN; còn Global Accelerator cần được xem xét khi yêu cầu là tăng tốc TCP/UDP toàn cầu qua network của AWS thay vì cache content. PrivateLink cũng là từ khóa cần học tiếp khi muốn expose một service private mà không mở kết nối mạng diện rộng. Các dịch vụ networking của AWS
Security
Guide SAP-C02 yêu cầu hiểu chiến lược mã hóa, quản lý certificate/key, security event tập trung, least privilege, phát hiện lỗ hổng, response tự động và security control cho nhiều account. Hướng dẫn security của AWS tách preventive, detective và governance thành các nhóm chức năng khác nhau. Các dịch vụ security của AWS
| Dịch vụ | Nhiệm vụ chính | Cơ chế / đánh đổi cần nhớ | Dấu hiệu thường gặp trong đề SAP-C02 |
|---|---|---|---|
| KMS | Quản lý key mã hóa | Các dịch vụ lưu trữ thường tích hợp với KMS để tách quyền kiểm soát key khỏi storage; cần nghĩ đến envelope encryption và quyền sở hữu key. | Mã hóa at rest do khách hàng kiểm soát, encryption cross-account, rotation/quản lý key. |
| Secrets Manager | Lưu trữ và xoay vòng secret của ứng dụng | Quản lý vòng đời và rotation của secret thay vì nhúng credential tĩnh vào code/config. | Credential RDS, tự động rotation secret, secret của ứng dụng. |
| GuardDuty | Phát hiện mối đe dọa được quản lý | Thu thập tín hiệu hoạt động/security của AWS và tạo finding; nó phát hiện, không phải firewall inline để chặn. | Credential đáng ngờ, hành vi bất thường của API/network/S3/EKS. |
| Inspector | Tìm lỗ hổng và mức độ phơi nhiễm của workload/package | Vulnerability assessment khác với phát hiện hành vi đáng ngờ. | Quét CVE/lỗ hổng cho workload kiểu EC2, container hoặc Lambda. |
| Security Hub | Tập trung và ưu tiên security posture/finding | Tổng hợp và liên kết các tín hiệu bảo mật; không thay thế detector tạo ra tín hiệu. | Security account trung tâm cho nhiều account/Region, finding và compliance posture hợp nhất. |
| WAF / Shield | Bảo vệ ứng dụng public trước request độc hại và DDoS | WAF = rule trên request ở tầng ứng dụng; Shield = bảo vệ DDoS. | SQL injection/rate/IP rule → WAF; yêu cầu chống DDoS → Shield. |
Phân biệt ở cấp độ đề thi là ngăn chặn vs phát hiện vs tổng hợp vs khắc phục. GuardDuty phát hiện hành vi đáng ngờ; Inspector tìm lỗ hổng; Security Hub tập trung và ưu tiên finding; WAF lọc request ứng dụng. Security Reference Architecture của AWS xem GuardDuty, Inspector, Macie và Security Hub là các khối bổ trợ cho nhau, không phải sản phẩm cạnh tranh. AWS Security Reference Architecture
Observability
Exam guide hiện tại gọi đích danh CloudWatch cho monitoring/logging và AWS Config cho configuration compliance. CloudTrail xuất hiện trong yêu cầu audit và security tập trung, còn X-Ray vẫn nằm trong danh sách phạm vi thi chính thức. Exam guide SAP-C02 của AWS
| Dịch vụ | Nhiệm vụ chính | Cơ chế / đánh đổi cần nhớ | Dấu hiệu thường gặp trong đề SAP-C02 |
|---|---|---|---|
| CloudWatch | Telemetry vận hành: metric, log, alarm | Đo hệ thống đang hoạt động ra sao và có thể kích hoạt alarm/action; hỗ trợ observability tập trung giữa nhiều account. | CPU/latency/error, giám sát log, alarm, dashboard, trigger remediation tự động. |
| CloudTrail | Audit hoạt động API/account AWS | Ghi lại ai/cái gì đã gọi API AWS, không phải metric hiệu năng của ứng dụng. | “Ai đã xóa/thay đổi resource này?”, governance, security audit, compliance. |
| Config | Theo dõi cấu hình resource và đánh giá compliance | Trả lời resource đang được cấu hình thế nào/đã thay đổi gì, không trả lời ai gọi API. | “Đảm bảo mọi bucket có setting X”; phát hiện drift và noncompliance. |
| X-Ray | Trace request phân tán | Truyền trace context qua toàn bộ request path để tìm latency/error ở dependency phía sau. | Request microservice mất 4 giây; cần tìm dependency gây chậm. |
Một phân biệt rất đáng điểm trong đề là: CloudWatch = behavior, CloudTrail = activity/audit, Config = resource state/compliance, X-Ray = request path. AWS có decision guide riêng cho CloudTrail và CloudWatch; Config liên tục đánh giá cấu hình resource được hỗ trợ, còn X-Ray xây trace và service graph qua các dependency. Hướng dẫn observability của AWS
Application Integration
Domain modernization gọi đích danh SQS, SNS, EventBridge và Step Functions, đồng thời yêu cầu thí sinh nhận ra cơ hội tách rời các thành phần ứng dụng và chọn đúng dịch vụ tích hợp. AWS cũng có decision guide so sánh SQS, SNS và EventBridge. Các dịch vụ application integration của AWS
| Dịch vụ | Nhiệm vụ chính | Cơ chế / đánh đổi cần nhớ | Dấu hiệu thường gặp trong đề SAP-C02 |
|---|---|---|---|
| SQS | Durable asynchronous work queue | Consumer chủ động lấy work; queue hấp thụ burst/backpressure. Standard ưu tiên scale và at-least-once delivery; FIFO thêm ordering/deduplication nhưng có ràng buộc hơn. | Producer và consumer scale độc lập; job không được mất; retry/DLQ. |
| SNS | Push pub/sub fan-out | Một lần publish có thể push đến nhiều subscriber; kết hợp với SQS khi mỗi subscriber cần buffer bền vững riêng. | Một event phải đến email, Lambda và nhiều processing queue. |
| EventBridge | Định tuyến event theo nội dung/nguồn | Event bus tách producer khỏi destination và route bằng rule. | AWS/SaaS/domain event, route event cross-account, content-based routing. |
| Step Functions | Điều phối workflow rõ ràng | Lưu state của workflow và điều phối branch/retry/timeout thay vì dựa vào choreography ngầm giữa các service. | Quy trình nhiều bước, retry, xử lý song song, approval/orchestration. |
| Amazon MQ | Message broker truyền thống được quản lý | Giữ protocol/semantics của ActiveMQ/RabbitMQ; compatibility khi migration có thể quan trọng hơn sự đơn giản cloud-native. | Ứng dụng cũ phụ thuộc JMS/AMQP/broker và cần sửa ít nhất có thể. |
| API Gateway | Cửa ngõ được quản lý cho API | Tách authentication/throttling/routing ở lớp ingress khỏi compute phía sau. | Public/serverless API, Lambda backend, cần throttle/auth mà không tự quản lý proxy. |
Về cơ chế: SQS giữ work, SNS phát tán, EventBridge định tuyến event, Step Functions giữ state của workflow. Amazon MQ xuất hiện khi ràng buộc là tương thích protocol legacy; API Gateway là ingress, không phải cơ chế decouple bất đồng bộ bên trong. Phân biệt này có giá trị hơn việc học thuộc từng service limit. Các dịch vụ application integration của AWS
Mô hình vận hành doanh nghiệp
Management & Governance
Kiến trúc nhiều account là chủ đề trọng tâm của SAP-C02. Domain One yêu cầu hiểu Organizations, Control Tower, cấu trúc account, logging tập trung và mô hình governance nhiều account. Hướng dẫn governance hiện tại của AWS tách guardrail toàn tổ chức, governance của landing zone, triển khai infrastructure, vận hành fleet và self-service có phê duyệt. Hướng dẫn governance của AWS
| Dịch vụ | Nhiệm vụ chính | Cơ chế / đánh đổi cần nhớ | Dấu hiệu thường gặp trong đề SAP-C02 |
|---|---|---|---|
| Organizations | Tạo, nhóm và quản trị nhiều account AWS | OU tạo cấu trúc quản trị; SCP đặt trần quyền nhưng không tự cấp quyền. | Chặn một Region/service cho toàn bộ account trong OU; governance và billing hợp nhất. |
| Control Tower | Dựng và quản trị multi-account landing zone | Điều phối có opinionated trên Organizations, IAM Identity Center và các dịch vụ liên quan; đổi bớt tự do tùy chỉnh lấy tốc độ chuẩn hóa. | Công ty muốn baseline nhiều account an toàn, Account Factory và control tập trung. |
| CloudFormation | Infrastructure as code dạng khai báo | Infrastructure trở thành desired state trong template; StackSets mở rộng triển khai qua nhiều account và Region. | Triển khai baseline/resource giống nhau cho 50 account trên nhiều Region. |
| Systems Manager | Vận hành fleet tập trung | Quản lý, automation và patching mà không biến từng server thành một “snowflake” phải làm thủ công. | Patch server, chạy runbook, quản lý node AWS/on-prem ở quy mô lớn. |
| Service Catalog | Cung cấp sản phẩm hạ tầng đã được phê duyệt cho self-service | Platform team xuất bản product có giới hạn; developer dùng mà không cần quyền infrastructure tùy ý. | Team được tự provision nhưng chỉ qua template/cấu hình đã được công ty duyệt. |
Có thể nhớ theo thứ tự: Organizations = cấu trúc account/guardrail; Control Tower = mô hình landing zone được quản trị; CloudFormation = triển khai resource; Service Catalog = self-service có giới hạn; Systems Manager = vận hành fleet lâu dài. CloudFormation StackSets đẩy template chung qua nhiều account và Region, còn Control Tower dựng môi trường multi-account có governance trên nền Organizations và các dịch vụ liên quan. Hướng dẫn governance của AWS
Cost & Billing
Tối ưu chi phí xuất hiện rõ trong Domain One và Domain Three. AWS kỳ vọng thí sinh hiểu monitoring, tagging, mô hình mua, right-sizing, chi phí network/data transfer, cảnh báo/báo cáo, Cost Explorer, Budgets, Cost and Usage Reports, Compute Optimizer và Savings Plans. Exam guide SAP-C02 của AWS
| Dịch vụ/công cụ | Nhiệm vụ chính | Cơ chế / đánh đổi cần nhớ | Dấu hiệu thường gặp trong đề SAP-C02 |
|---|---|---|---|
| Cost Explorer | Phân tích cost/usage tương tác | Phù hợp để xem xu hướng, filter/group và recommendation về commitment; không phải dataset billing chi tiết nhất. | “Service/account nào làm chi phí tăng?” |
| Cost and Usage Report — CUR | Dataset billing/usage chi tiết | Dữ liệu line-item hỗ trợ chargeback và pipeline phân tích sâu; linh hoạt hơn nhưng ít trực quan hơn Cost Explorer. | Chargeback chi tiết, phân tích SQL/BI, FinOps doanh nghiệp. |
| AWS Budgets | Theo dõi cost/usage theo ngưỡng và thực hiện action | So sánh usage thực tế/dự báo với điều kiện ngân sách đã đặt. | Cảnh báo hoặc hành động khi chi phí team/account vượt ngưỡng. |
| Compute Optimizer | Đưa ra recommendation right-size | Dùng utilization quan sát được để đề xuất kích thước resource; không thay đổi purchase commitment. | EC2/Fargate bị dùng thiếu; giảm lãng phí mà không rewrite kiến trúc. |
| Savings Plans | Giảm giá compute đủ điều kiện bằng commitment | Cam kết mức sử dụng để nhận discount; độ linh hoạt tùy loại plan nhưng vẫn có rủi ro commitment. | Có baseline compute ổn định và không muốn trả toàn bộ giá On-Demand. |
| Pricing Calculator | Ước tính chi phí kiến trúc trước khi triển khai | Là dự toán tương lai, không phải phân tích chi phí lịch sử. | So sánh kiến trúc đề xuất hoặc lập TCO cho migration. |
Đề thi thường tách tối ưu lượng sử dụng khỏi tối ưu đơn giá. Right-sizing/scaling/Spot giảm lượng tài nguyên tiêu thụ; Savings Plans hoặc RI tối ưu mô hình giá; Cost Explorer/CUR tạo visibility; Budgets tạo control signal. Hãy xem topology network cũng là một quyết định về chi phí: SAP-C02 có data-transfer cost, vì vậy không thể đánh giá kiến trúc chỉ bằng giá compute nếu có NAT, traffic cross-AZ/Region hoặc network tập trung. AWS cost management
Migration & Modernization
Migration chiếm 20% nội dung được chấm điểm của SAP-C02. AWS kiểm tra portfolio assessment, 7R, TCO, data transfer, migration server/database, network/DNS, identity, governance, chọn compute/storage/database đích và hiện đại hóa bằng serverless, container và decoupling. Exam guide SAP-C02 của AWS
| Dịch vụ | Nhiệm vụ chính | Cơ chế / đánh đổi cần nhớ | Dấu hiệu thường gặp trong đề SAP-C02 |
|---|---|---|---|
| Migration Hub | Điều phối và theo dõi portfolio migration | Lớp quản lý/visibility, không phải cơ chế truyền dữ liệu. | Nhiều ứng dụng, wave và tool cần một nơi theo dõi trạng thái migration. |
| Application Migration Service / AWS Transform MGN | Rehost server vào AWS | Replication liên tục ở cấp block để chuẩn bị cutover với downtime thấp. | “Di chuyển hàng trăm server VMware/vật lý lên EC2 mà sửa ứng dụng ít nhất.” |
| DMS | Di chuyển/replicate dữ liệu database | Full load kết hợp CDC giúp giảm downtime; khác engine còn phát sinh vấn đề chuyển schema/code. | Database vẫn online trong lúc di chuyển; source và target khác loại database. |
| DataSync | Di chuyển file/object online với khối lượng lớn | Copy ban đầu rồi incremental transfer, phù hợp khi có network để chuẩn bị cutover. | Dữ liệu NAS/NFS/SMB/object đến S3/EFS/FSx khi có kết nối mạng. |
| Snow Family | Di chuyển dữ liệu offline và chạy workload ở edge | Chuyển dữ liệu bằng thiết bị vật lý thay vì đẩy toàn bộ byte qua WAN khi network không đủ. | Dataset rất lớn hoặc kết nối mạng bị giới hạn. |
| Transfer Family | Managed transfer theo kiểu SFTP/FTPS/FTP vào AWS storage | Giữ interface file transfer quen thuộc cho partner nhưng bỏ server transfer tự quản lý. | Đối tác yêu cầu SFTP nhưng dữ liệu đích phải vào storage được AWS quản lý. |
Khi gặp câu hỏi migration, hãy hỏi bốn điều: di chuyển thứ gì (server/database/file) → rehost/replatform/refactor? → downtime/RPO cho phép là bao nhiêu → băng thông/thời gian hiện có ra sao? MGN là replication server/block; DMS là migration database/CDC; DataSync là di chuyển file/object online; Snow đại diện cho pattern chuyển dữ liệu offline. Tài liệu AWS hiện tại có một điểm cần chú ý: Snow Family vẫn nằm trong danh sách phạm vi SAP-C02, trong khi tài liệu Snowball Edge hiện tại nói dịch vụ này không còn mở cho khách hàng mới. Khi ôn thi, hãy học pattern chuyển dữ liệu offline vì AWS vẫn liệt kê Snow Family trong phạm vi, thay vì học thuộc tình trạng mua dịch vụ hiện tại. AWS migration decision guide
Ngoài ra có một thay đổi về tên gọi: tài liệu AWS hiện tại dùng AWS Transform MGN cho MGN, trong khi trang phạm vi SAP-C02 hiện tại vẫn ghi AWS Application Migration Service. DMS hiện cũng hỗ trợ DMS Schema Conversion, dù AWS SCT vẫn xuất hiện trong danh sách phạm vi thi. Nhận ra cả hai tên giúp tránh nhầm lẫn khi tài liệu AWS thay đổi. Các dịch vụ migration của AWS
Data và ML
AWS liệt kê khá nhiều sản phẩm analytics và ML trong phạm vi SAP-C02. Ở lượt đầu, điều quan trọng nhất là phân biệt query, integration/ETL, warehouse, streaming, Kafka compatibility và ML tùy chỉnh. Analytics decision guide của AWS cũng phân loại theo workload tương tự. Các dịch vụ analytics của AWS
| Dịch vụ | Nhiệm vụ chính | Cơ chế / đánh đổi cần nhớ | Dấu hiệu thường gặp trong đề SAP-C02 |
|---|---|---|---|
| Athena | Query SQL serverless trên dữ liệu, đặc biệt là S3 | Query trực tiếp tại nơi dữ liệu đang nằm thay vì phải load vào warehouse; chi phí phụ thuộc mạnh vào lượng dữ liệu bị scan. | Ad hoc SQL trên log/data lake trong S3 với ít hạ tầng phải quản lý. |
| Glue | Data integration/catalog/ETL serverless | Tự phát hiện/catalog schema và transform dữ liệu giữa các hệ thống; bổ trợ query engine chứ không thay storage layer. | Xây ETL/data catalog quanh S3/Athena/Redshift; schema discovery. |
| Redshift | Data warehouse cho phân tích | Tối ưu cho workload BI/phân tích lặp lại, không phải OLTP hoặc query thỉnh thoảng trên raw S3. | Enterprise warehouse, query phân tích phức tạp và lặp lại, BI. |
| Kinesis Data Streams | Event stream real-time native của AWS | Producer ghi record có thứ tự vào stream, nhiều consumer xử lý độc lập; chọn khi ứng dụng tự sở hữu logic stream processing. | Clickstream/telemetry/event được xử lý liên tục bởi nhiều consumer AWS. |
| MSK | Apache Kafka được quản lý | Giữ Kafka API, ecosystem và semantics vận hành; chọn vì cần compatibility dù phải chấp nhận độ phức tạp của Kafka. | Đã có Kafka producer/consumer, cần ecosystem Kafka hoặc migration mà không rewrite client. |
| SageMaker AI | Xây, train và deploy model ML tùy chỉnh | Phù hợp khi cần lifecycle và model ML riêng, không chỉ gọi một AI API dựng sẵn. | Custom training/inference pipeline, deploy model và nền tảng ML. |
Phân biệt nhanh cho đề thi: Athena = query dữ liệu tại chỗ; Glue = catalog/transform; Redshift = warehouse; Kinesis = stream native AWS; MSK = stream Kafka. SageMaker AI là nền tảng ML tùy chỉnh tổng quát. OpenSearch là từ khóa nên học tiếp khi gặp search/log analytics; Comprehend, Rekognition, Textract, Transcribe và Translate là các ML API chuyên dụng, thường dễ chọn khi đề gọi đích danh loại dữ liệu cần xử lý. Trang phạm vi hiện tại của AWS có liệt kê các dịch vụ này. Các dịch vụ analytics và machine learning của AWS
Một điểm mới trong phạm vi thi: guide SAP-C02 chính thức hiện liệt kê các chủ đề emerging về bảo mật AI tạo sinh và responsible AI, trong đó có Amazon Bedrock Guardrails. Tuy nhiên AWS nói các câu hỏi về emerging topic có thể là câu pretest không tính điểm. Vì vậy nên biết Bedrock tồn tại, nhưng không nên để nó chiếm chỗ của các nền tảng kiến trúc có điểm ở trên trong lượt học đầu tiên. Exam guide SAP-C02 của AWS
Cách ôn nhanh nhất không phải là tạo 60 flashcard độc lập. Hãy nén toàn bộ bản đồ thành 12 cặp đối lập về kiến trúc:
- IAM vs Identity Center vs Cognito: AWS authorization, workforce, customer.
- EC2 vs Lambda vs Fargate: kiểm soát host, function, container được quản lý.
- S3 vs EBS vs EFS: object, block, file dùng chung.
- RDS/Aurora vs DynamoDB: mô hình relational, mô hình theo access pattern.
- Route 53 vs CloudFront vs Transit Gateway: DNS, phân phối edge, network hub.
- GuardDuty vs Inspector vs Security Hub: mối đe dọa, lỗ hổng, tổng hợp.
- CloudWatch vs CloudTrail vs Config vs X-Ray: behavior, audit, state, trace.
- SQS vs SNS vs EventBridge vs Step Functions: queue, fan-out, route, workflow.
- Organizations vs Control Tower vs CloudFormation: guardrail, landing zone, resource.
- Compute Optimizer vs Savings Plans: dùng ít hơn, trả ít hơn trên mỗi đơn vị.
- MGN vs DMS vs DataSync: server, database, file.
- Athena vs Redshift vs Kinesis/MSK: ad hoc, warehouse, stream.
Đây là lớp tổng quan nên có trước khi mở IAM, RDS, VPC, S3 hoặc học một chủ đề khác với tutor. Nó cung cấp đủ vốn từ để nhận ra đề SAP-C02 đang kiểm tra cơ chế kiến trúc nào, thay vì vội học thuộc các chi tiết vụn của từng dịch vụ. AWS Well-Architected Framework và exam guide SAP-C02