Bản đồ SAP-C03
Học bài toán → cơ chế → đánh đổi, không học thuộc danh mục AWS. Bài này là bản tra nhanh đi cùng các tình huống SAP-C03.
| Domain | Nội dung | Tỷ trọng câu hỏi được chấm điểm |
|---|---|---|
| 1 | Architecture Design and Implementation Built for the Cloud | 25% |
| 2 | Security, Compliance, and Governance | 25% |
| 3 | Cost-Optimized Architecture Design | 15% |
| 4 | Resilience, Migration, and Business Continuity | 15% |
| 5 | Operational Excellence and Automation | 20% |
Năm domain có 21 task. AI/ML integration là task 1.2; security và responsible AI là task 2.5, không phải phần học thêm có thể bỏ qua. Tỷ trọng trên là của domain, không phải thứ hạng từng dịch vụ hay tỷ lệ số bài trong bộ tình huống.
Nguồn: Exam guide SAP-C03. Danh sách dịch vụ của AWS không đầy đủ và có thể thay đổi; tên dịch vụ không thay thế việc đọc yêu cầu của task.
Identity và tenant isolation
Principal → credential → authorization boundary → resource. Tách workforce, workload, customer và directory identity trước khi chọn dịch vụ.
| Dịch vụ / cơ chế | Nhiệm vụ | Điểm phân biệt |
|---|---|---|
| IAM | Quyền truy cập resource AWS | Identity policy, resource policy và các lớp giới hạn cùng tham gia; explicit deny thắng. Role cho workload thay credential dài hạn. |
| IAM Identity Center | Workforce SSO vào account và ứng dụng | Permission set nhiều account; không phải hệ thống đăng nhập khách hàng của sản phẩm. |
| STS | Credential AWS tạm thời | Assume role và federation; tạm thời không có nghĩa là quyền tự động tối thiểu. |
| Cognito user pool | Xác thực người dùng ứng dụng | Token dùng với application/API; không tự cấp credential gọi mọi AWS API. |
| Cognito identity pool | Credential AWS tạm thời cho danh tính được hỗ trợ | Role phải giới hạn đúng resource và context người dùng. |
| Directory Service | Workload cần Microsoft AD semantics | Domain join, Windows integration; khác bài toán workforce SSO thuần túy. |
| EKS Pod Identity | Gắn quyền AWS cho workload Kubernetes | Cluster/namespace/service account và role association; không dùng node role cho mọi pod. |
| IAM Roles Anywhere | Danh tính workload ngoài AWS | X.509 trust anchor/profile → temporary credentials; vẫn phải bảo vệ private key và quản lý certificate. |
| RAM | Chia sẻ resource được hỗ trợ giữa account | Sharing không đồng nghĩa với mở mọi network path hoặc cấp mọi data permission. |
Authentication không phải tenant isolation. Pooled, siloed và bridge là các mô hình tổ chức resource. Tenant context phải đến từ identity/membership đã kiểm tra, không phải field do browser tự gửi. Áp dụng cả cho cache, queue, export và support tooling.
Bài: S01, S02, S11, A06. AWS IAM.
Compute, container và integration
Chọn runtime
| Dịch vụ | Chọn khi | Đánh đổi |
|---|---|---|
| EC2 | Cần OS/kernel, phần mềm hoặc cấu hình host riêng | Tự chịu trách nhiệm nhiều hơn về host, patching và capacity. |
| EC2 Auto Scaling | Fleet cần thay instance lỗi và co giãn | Startup time, warm-up và capacity khi mất AZ vẫn phải tính. |
| Lambda | Function theo event, burst, glue logic | Concurrency, timeout và downstream capacity là giới hạn kiến trúc. |
| Durable Lambda functions | Luồng nhiều bước cần checkpoint/resume theo mô hình được hỗ trợ | Không biến một bước CPU chạy liên tục thành invocation không giới hạn thời gian. |
| ECS | Container theo mô hình native AWS | Ít gánh nặng Kubernetes khi không cần Kubernetes API/ecosystem. |
| EKS | Cần Kubernetes API, operator hoặc tooling tương ứng | Managed control plane không xóa toàn bộ công việc Kubernetes. |
| Fargate | Container không cần quản lý worker host | Đổi quyền kiểm soát host và bin-packing lấy compute được quản lý. |
| ECR | Registry container image | Scan, signing, digest và lifecycle là các việc khác nhau; giữ image cần cho rollback. |
HPA tăng pod, node scaling tạo chỗ chạy pod; ECS service scaling tăng task. Pending pod không phải capacity đã sẵn sàng. ALB/NLB/API Gateway là ingress; AWS Load Balancer Controller nối cấu hình Kubernetes với load balancer AWS trong thiết kế được hỗ trợ.
Tích hợp và service networking
| Dịch vụ / pattern | Cơ chế cần nhớ | Không đồng nghĩa với |
|---|---|---|
| SQS | Durable work queue, buffer/backpressure, retry/DLQ | Exactly-once business effect chỉ nhờ có queue. |
| SNS | Push fan-out; ghép SQS để mỗi consumer có buffer | Một consumer chậm phải giữ chân mọi consumer khác. |
| EventBridge | Event routing theo rule, cross-account integration | Quyền vào event bus tự cấp quyền vào mọi target/KMS key. |
| Step Functions | Workflow state, retry, timeout, branch, callback | Tự rollback side effect đã thành công ở hệ thống ngoài. |
| Amazon MQ | Giữ ActiveMQ/RabbitMQ protocol và semantics | Lựa chọn mặc định khi một queue cloud-native đã đủ. |
| API Gateway WebSocket | Kết nối hai chiều cho cập nhật trực tiếp | Durable event store hoặc replay cho client offline. |
| VPC Lattice | Application networking qua compute/VPC/account được hỗ trợ | Thay thế mọi routing hoặc mọi giao thức network. |
| ECS Service Connect | Discovery/connectivity cho service ECS theo cấu hình được hỗ trợ | Một nền tảng kết nối mọi compute bất kỳ. |
| Cloud Map | Service discovery | Tự tạo route, TLS hay quyền truy cập. |
Retries cần idempotency; workflow cần compensation; timeout có thể là kết quả chưa biết, không phải bằng chứng thao tác thất bại. WebSocket cần authorization liên tục và reconnect/snapshot; tenant isolation vẫn nằm ở backend.
Bài: A01–A07, N10, D01. AWS application integration.
Networking và hybrid
| Dịch vụ / cơ chế | Bài toán | Điểm phân biệt |
|---|---|---|
| VPC, subnet, IPAM | Địa chỉ, phân đoạn và đường đi | Route, security group và NACL làm việc khác nhau. |
| Transit Gateway | Hub routing nhiều VPC/on-premises | Route table quyết định segmentation; thêm data-processing cost. |
| PrivateLink | Expose service private được hỗ trợ | Không phải kết nối toàn bộ hai mạng; hữu ích khi CIDR trùng. |
| VPC endpoints | Private path tới dịch vụ được hỗ trợ | Endpoint policy không thay identity/resource/KMS policy. |
| Direct Connect | Đường hybrid private có tính dự đoán | Encryption, dự phòng location và capacity vẫn phải thiết kế riêng. |
| Site-to-Site VPN | Đường IPsec qua network | Có thể làm backup, nhưng phải đủ throughput và được kiểm thử failover. |
| Route 53 / Resolver | DNS public/private và hybrid DNS | DNS trả địa chỉ, không trở thành data path. |
| CloudFront | HTTP content delivery và caching ở edge | Không phải tăng tốc TCP/UDP tùy ý. |
| Global Accelerator | Entry point toàn cầu và routing tới endpoint được hỗ trợ | Không phải CDN cache. |
| Network Firewall / Gateway Load Balancer | Inspection managed hoặc appliance trong traffic path | Phải đảm bảo routing đối xứng, capacity và failure behavior. |
| WAF / Shield | Lọc request ứng dụng / bảo vệ DDoS | WAF không thay IAM hoặc mọi network firewall. |
IPv6: migrate dual-stack theo dependency thực tế. Native IPv6 outbound dùng egress-only internet gateway khi cần chặn kết nối khởi tạo từ internet. DNS64 + NAT64 giúp IPv6-only client tới IPv4 destination; egress-only gateway không làm translation. Thêm IPv6 route và firewall rule riêng.
Hybrid compute: ECS Anywhere/EKS Anywhere dùng môi trường khách hàng theo mô hình hỗ trợ; Outposts đưa hạ tầng AWS tới site; Local Zones đặt resource gần khu vực đô thị. Gần site không phải nằm trong site; task còn chạy không chứng minh deploy/recovery vẫn hoạt động khi mất WAN.
Bài: N01–N09, M09. AWS networking.
Storage, database và analytics
Interface và access pattern
| Dịch vụ | Chọn theo | Bẫy cần tránh |
|---|---|---|
| S3 | Object, data lake, asset, archive | Không có semantics filesystem POSIX như EFS. |
| EBS | Block I/O cho compute | Volume gắn AZ; free space không chứng minh đủ IOPS/throughput. |
| EFS | Shared Linux/NFS filesystem | Chọn Regional/One Zone và throughput theo yêu cầu, không mặc định mọi cấu hình đều multi-AZ. |
| FSx | Windows/SMB, Lustre, ONTAP, OpenZFS | Chọn filesystem theo protocol/semantics, không chỉ theo nhãn file storage. |
| Storage Gateway | Interface local với backend AWS | Local cache, upload lag và WAN failure có ảnh hưởng tới ứng dụng. |
| RDS / Aurora | Relational transaction, join, engine compatibility | Phân biệt HA, read scaling và cross-Region DR; không coi mọi Multi-AZ topology giống nhau. |
| DynamoDB | Key-based access, scale và vận hành serverless | Partition/access pattern trước; lựa chọn consistency và global replication theo yêu cầu. |
| ElastiCache | Dữ liệu nóng và giảm tải backend | Cache invalidation không tự đảm bảo giá/stock authoritative. |
| DocumentDB / Neptune | Document compatibility / graph traversal | Kiểm tra compatibility và query pattern, không chỉ tên engine. |
| OpenSearch | Search và index phục vụ truy vấn | Index thường là bản sao dẫn xuất, không phải transaction source of truth. |
Lakehouse và data pipeline
| Dịch vụ / thành phần | Vai trò | Điểm phân biệt |
|---|---|---|
| Glue / Data Catalog | Integration, ETL, catalog metadata | Catalog không phải storage hay quyền đọc mọi byte. |
| Lake Formation | Governance và data sharing được hỗ trợ | Broad direct S3 access có thể phá boundary của governed query. |
| Apache Iceberg | Table metadata, snapshot, schema/partition evolution | Engine compatibility và bảo trì file/snapshot vẫn cần quản lý. |
| Athena | Ad hoc SQL trên dữ liệu được hỗ trợ | Scan volume, format và partition ảnh hưởng mạnh tới cost. |
| Redshift / Spectrum | Warehouse và truy vấn external data | Chọn theo workload BI, không thay OLTP. |
| EMR | Distributed processing cần engine/control phù hợp | Đánh đổi khả năng điều chỉnh với công việc vận hành. |
| Kinesis Data Streams / MSK | Stream native AWS / Kafka-compatible | Ordering, retention và replay khác với work queue. |
| AppFlow | Tích hợp dữ liệu SaaS qua connector được hỗ trợ | Scheduled extraction không thay live business-event delivery. |
| Clean Rooms | Collaboration theo analysis rules | Không phải chia sẻ unrestricted raw customer records. |
Object/file/block → access pattern → consistency → RTO/RPO → cost. Lakehouse có transactional table semantics không có nghĩa là phù hợp cho mọi operational transaction.
Bài: P02–P10, R04, X05, X06. AWS storage · AWS Lake Formation.
Security, encryption và governance
| Dịch vụ / control | Nhiệm vụ | Phân biệt quan trọng |
|---|---|---|
| KMS | Key management và cryptographic operations | Key policy, IAM và resource policy phối hợp; encryption không tự cấp quyền decrypt. |
| CloudHSM | Dedicated HSM và quyền kiểm soát phù hợp | Thêm trách nhiệm vận hành; không phải cách sửa một KMS policy thiếu allow. |
| ACM / Private CA | Public/private certificate lifecycle | Issuance, renewal, trust distribution và TLS negotiation là các bước khác nhau. |
| Secrets Manager | Vòng đời/rotation secret | Rotation phải phối hợp với ứng dụng và connection pool. |
| Organizations SCP / RCP | Trần quyền principal / resource-side guardrail được hỗ trợ | Không tự cấp quyền; phạm vi hỗ trợ và điều kiện phải kiểm tra. |
| Control Tower | Landing zone, Account Factory và controls | Account tạo xong chưa chắc baseline ứng dụng đã sẵn sàng. |
| Config | Cấu hình resource và compliance | Phát hiện sau deploy khác chặn trước provisioning. |
| GuardDuty / Inspector / Security Hub | Threat detection / vulnerability / tổng hợp và ưu tiên finding | Detector không tự trở thành inline firewall. |
| Security Lake | Tập trung dữ liệu bảo mật theo mô hình được hỗ trợ | Data lake bảo mật không thay toàn bộ app observability. |
| Artifact / Audit Manager | Báo cáo AWS / tổ chức evidence khách hàng | Không tự chứng nhận ứng dụng tuân thủ. |
Post-quantum: ML-KEM phục vụ key encapsulation; ML-DSA là digital signature. KMS hỗ trợ hybrid post-quantum TLS và ML-DSA theo tài liệu hiện hành. Signature không mã hóa payload; đổi key không đồng nghĩa đổi algorithm. Kiểm tra client, proxy, verifier và trust-root lifecycle.
Residency theo toàn bộ data flow: primary, replica, backup, log, export, AI context và inference destination. Region restriction không phải phép bảo đảm phổ quát cho mọi service-driven transfer. Threat modeling xác định tài sản, trust boundary, đường tấn công và mitigation; evidence phải có owner và kiểm tra vận hành.
Bài: O01–O05, S03, S06, S08–S10. AWS KMS post-quantum.
AI/ML integration và responsible AI
| Dịch vụ / pattern | Chọn khi | Không được hiểu nhầm |
|---|---|---|
| Bedrock | Tích hợp foundation model qua dịch vụ managed | Model, API, Region và feature support cần đối chiếu theo workload. |
| Knowledge Bases / RAG | Cần evidence cập nhật và retrieval | Ingestion, chunking, embeddings, filter, deletion và freshness là một pipeline. |
| SageMaker AI | Cần model/training/serving lifecycle riêng | Không nhất thiết train mới nếu đã có model phù hợp. |
| Real-time / serverless / asynchronous / batch inference | Interactive / intermittent / queued long work / offline dataset | Khác latency contract và feature support, không chỉ khác giá. |
| AgentCore | Agent runtime, tool integration, identity và vận hành | Managed loop không thay business authorization hoặc transaction recovery. |
| Bedrock Guardrails | Content/topic/sensitive-information checks được hỗ trợ | Không phải tenant authorization hoặc bảo đảm câu trả lời luôn đúng. |
| Clarify / Model Monitor | Bias/explainability / model-data monitoring phù hợp | Drift là tín hiệu điều tra; không tự cho phép retrain và deploy. |
| Bedrock Evaluations | Đánh giá ứng dụng/model theo phương pháp được hỗ trợ | Model judge phải được hiệu chuẩn; điểm trung bình không xóa lỗi truy cập trái phép. |
RAG không phải fine-tuning: RAG đưa evidence vào lúc trả lời; fine-tuning điều chỉnh hành vi/model theo dữ liệu huấn luyện. Policy thay hằng ngày và permission theo user thường cần retrieval có kiểm soát, không phải cứ train lại model.
Authorize trước retrieval, validate trước tool execution, approve đúng payload trước hành động quan trọng. Giữ secret ngoài model context. Guardrail masking ở response không tự chứng minh upstream logs đã được làm sạch. Session/memory phải tách user/tenant.
AI cost: đúng model/tier, bounded output/retry, prompt caching được hỗ trợ, batch cho offline work, routing có evaluation. Đo cost per successful outcome, gồm retrieval, embedding, reranking, tool và retry. Cross-Region inference profile là cả quyết định capacity lẫn residency; không route ra ngoài phạm vi được phép chỉ để giảm giá.
Bài: E01–E05, C07, D08. AWS Bedrock · SageMaker inference options.
Cost optimization
| Công cụ / cơ chế | Vai trò | Câu hỏi cần trả lời |
|---|---|---|
| Cost Explorer / CUR / Data Exports | Phân tích tương tác / dữ liệu billing chi tiết | Service, account, team nào tăng và phần shared cost phân bổ thế nào? |
| Budgets / Cost Anomaly Detection | Ngưỡng ngân sách / phát hiện bất thường | Ai nhận alert và action nào đã được phê duyệt? Đây không phải hard spending cap thời gian thực. |
| Compute Optimizer | Recommendation theo utilization | Peak, seasonal load và performance constraint có được giữ không? |
| Savings Plans / RI | Commitment cho usage đủ điều kiện | Baseline có bền vững không; scope, eligibility và coverage/utilization là gì? |
| Spot / Fargate Spot | Capacity giảm giá có thể bị gián đoạn | Job có checkpoint, retry và deadline phù hợp không? |
| Graviton / Inferentia / Trainium | CPU / inference / training economics | Framework, model, binary có tương thích và benchmark theo output thực tế không? |
| S3 lifecycle / Intelligent-Tiering | Storage class theo access/retention | Retrieval latency, request charge, minimum duration và legal retention? |
| Database capacity/pricing | DynamoDB modes, reservation/plan đủ điều kiện, Aurora capacity/I/O | Tổng request, storage, I/O, idle capacity và availability cost là bao nhiêu? |
| Pricing Calculator | Ước tính kiến trúc | Input có phản ánh traffic, replicas và failure capacity không? |
Dùng ít hơn khác trả ít hơn trên mỗi đơn vị. Right-size và scaling giảm tài nguyên cần dùng; Spot và commitment thay đơn giá/điều kiện mua. Không tính savings hai lần.
Network cũng là cost architecture: NAT, cross-AZ/Region, Transit Gateway, PrivateLink, replication và origin fetch. Observability cũng vậy: ingestion, custom-metric cardinality, query, tracing và retention. Tối ưu không được phá HA, RPO hay thời gian lưu bắt buộc.
Bài: C01–C07, O06, D05. AWS cost management.
Migration, resilience và continuity
| Dịch vụ / strategy | Cơ chế | Điều cần chứng minh |
|---|---|---|
| AWS Transform / Migration Evaluator | Assessment, modernization hoặc business case theo capability hỗ trợ | Inventory và dependency cần owner xác nhận; tool không biết mọi annual job. |
| AWS Transform MGN | Rehost server bằng replication | Test launch, cutover, rollback và writer ownership. Tên trước đây: Application Migration Service. |
| DMS / DMS Schema Conversion | Data migration/CDC và schema conversion được hỗ trợ | Data transfer không tự chuyển mọi procedure hoặc application behavior. |
| DataSync | Online file/object transfer | Effective bandwidth, delta và validation trước cutover. |
| Data Transfer Terminal | Địa điểm transfer băng thông cao | Physical transport, site access, upload và final delta; không mặc định AWS gửi thiết bị tới mọi khách hàng. |
| Transfer Family | Managed partner file-transfer interface | Protocol compatibility, identity và storage permissions. |
| AWS Backup / DLM | Backup governance / EBS lifecycle theo phạm vi phù hợp | Backup thành công không chứng minh restore đạt RTO. |
| Elastic Disaster Recovery | Recovery cho server workload được hỗ trợ | Không thay mọi managed database replication mechanism. |
| Resilience Hub / FIS | Assessment / fault experiments | Assessment không phải measured recovery; experiment cần scope, stop condition và rollback. |
7R là lựa chọn theo từng workload, không phải khẩu hiệu rehost mọi thứ. Strangler migration cần boundary và data ownership trong giai đoạn old/new cùng tồn tại.
RTO = thời gian phục hồi cho phép; RPO = lượng dữ liệu mất cho phép đo theo thời gian. Backup/restore → pilot light → warm standby → active-active tăng mức sẵn sàng cùng cost/complexity. Multi-AZ, replica và backup không thay thế nhau.
Multi-cluster ECS/EKS DR còn cần image, identity, secrets, ingress, capacity và state recovery. Failover chưa kết thúc nếu chưa có failback giữ lại writes phát sinh tại recovery Region.
Bài: M01–M09, R01–R08. AWS disaster recovery.
Operations, IaC và DevSecOps
| Công cụ / cơ chế | Vai trò | Điểm phân biệt |
|---|---|---|
| CloudFormation / StackSets | Desired state / triển khai nhiều account-Region | Change set, replacement và drift cần review; template không dự trữ capacity. |
| CDK | Viết infrastructure bằng ngôn ngữ lập trình, synthesize template | Không bỏ qua CloudFormation replacement behavior. |
| CloudFormation Hooks / policy validation | Kiểm tra provisioning theo cấu hình được hỗ trợ | Khác Config phát hiện trạng thái sau deploy. |
| CodePipeline / CodeBuild / CodeDeploy | Điều phối / build / deployment | Promote đúng artifact đã test, không rebuild tùy ý ở production. |
| Inspector / ECR scanning / signing | Finding / vulnerability scan / provenance | Có scan không có nghĩa đã ký; có chữ ký không chứng minh artifact không có CVE. |
| Systems Manager / AppConfig | Fleet runbook, patching / configuration rollout | Batch, health alarm, rollback và safety limit phải rõ. |
| CloudWatch | Metrics, logs, alarms và service telemetry | Đo hành vi hệ thống; CPU khỏe không chứng minh checkout khỏe. |
| CloudTrail / Config | API activity / resource configuration | Ai làm gì khác resource đang ở trạng thái nào. |
| X-Ray / ADOT | Trace backend / instrumentation-collection | Cần correlation, sampling và dữ liệu không chứa secret. |
| Container Insights / Application Signals | Container telemetry / service signals và SLO | Không tự định nghĩa đúng business SLI. |
| Synthetics / RUM | Probe lặp lại / trải nghiệm user thật | Cần tránh side effect thật và thu thập dữ liệu vượt consent. |
Canary và blue/green không giải quyết schema không backward-compatible. Tách expand/migrate/contract và kiểm tra rollback cả app lẫn dữ liệu.
AI release phải version cả model, prompt, retrieval, tools và policy; gate bằng quality/safety/latency/cost. Controlled remediation cần circuit breaker, rate limit, bulkhead và bounded retry, không biến một alarm thành restart toàn fleet.
Bài: D01–D08, P01, R06. AWS SAP-C03 Domain 5.
Cách dùng khi làm tình huống
- Chốt ràng buộc: identity, data semantics, latency, RTO/RPO, residency, budget và khả năng vận hành.
- Vẽ flow: request/data đi qua đâu, quyền được kiểm tra ở đâu, state nằm ở đâu.
- Loại phương án vi phạm ràng buộc, rồi mới so cost và operational effort.
- Nêu điều kiện đổi đáp án: workload, failure tolerance hoặc requirement nào thay đổi thì lựa chọn khác hợp lý hơn.
- Chọn cách kiểm chứng: metric, restore drill, denied-access case hoặc deployment rollback cụ thể.
Tên dịch vụ giúp nhận ra phương án; cơ chế và ràng buộc mới quyết định đáp án.