Test del módulo · Semana 6

Test: Redes en AWS (II): DNS, borde de red y protección

Preguntas al estilo del examen. Contesta, pulsa «Comprobar» y lee siempre la explicación, también cuando aciertes: ahí está lo que de verdad se aprende.

33 preguntasComprobadas: 0/33

1. Una empresa quiere que su dominio raíz ejemplo.com (sin www) apunte a un Application Load Balancer. El dominio está alojado en una zona pública de Amazon Route 53. ¿Qué registro debe crear?

A. Un registro CNAME ejemplo.com con el nombre DNS del ALBB. Un registro A ejemplo.com con las direcciones IP actuales del ALBC. Un registro alias A ejemplo.com que apunte al ALBD. Un registro MX ejemplo.com con el nombre DNS del ALB

2. Un arquitecto explica al equipo por qué prefiere registros alias de Route 53 frente a registros CNAME para apuntar a recursos de AWS. ¿Qué dos ventajas de los registros alias son correctas? (Elige dos.)

A. Pueden crearse en el ápice de la zona (por ejemplo, ejemplo.com)B. Pueden apuntar a cualquier nombre DNS de internet, incluidos dominios de otros proveedoresC. Permiten fijar un TTL personalizado distinto del recurso de destinoD. Las consultas a alias que apuntan a recursos de AWS como ELB o CloudFront no se cobranE. Pueden apuntar directamente al nombre DNS público de una instancia EC2

3. Una aplicación web está desplegada detrás de ALB en eu-south-2, us-east-1 y ap-northeast-1. Los usuarios, repartidos por todo el mundo, deben llegar a la región que les ofrezca el mejor rendimiento. ¿Qué política de enrutamiento de Route 53 debe usarse?

A. GeolocationB. LatencyC. WeightedD. Multivalue answer

4. Por requisitos legales, los usuarios de la Unión Europea deben ser atendidos por el despliegue de eu-south-2 y los del resto del mundo por el de us-east-1, aunque para algunos usuarios otra región fuera más rápida. Algunas direcciones IP no se pueden asociar a ningún país. ¿Cómo debe configurarse Route 53?

A. Latency, con un registro por región y health checks en ambosB. Geoproximity con un bias positivo alto para la región eu-south-2C. Weighted, con pesos proporcionales al número de usuarios de cada zona geográficaD. Geolocation, con un registro para Europa y otro por defecto hacia us-east-1

5. Un equipo quiere probar una nueva versión de su API enviándole el 10 % del tráfico y el 90 % a la versión estable, cada una detrás de su propio balanceador, y poder volver atrás en segundos sin borrar recursos. ¿Qué configuración de Route 53 lo permite?

A. Dos registros weighted (90 y 10); para volver atrás, peso 0 a la nuevaB. Dos registros failover, con la versión estable como PRIMARY y la nueva como SECONDARYC. Un registro multivalue answer con los dos balanceadores y sus health checksD. Dos registros latency, uno por balanceador

6. Una empresa quiere una estrategia de recuperación ante desastres activo-pasivo: mientras su aplicación en eu-south-2 esté sana, todo el tráfico debe ir allí; si deja de responder, los usuarios deben ver una página estática de mantenimiento alojada en Amazon S3. ¿Qué solución lo cumple con la MENOR carga operativa?

A. Un registro weighted con peso 100 para la aplicación y 0 para S3, cambiando los pesos manualmente durante una incidenciaB. Registros multivalue para la aplicación y el bucket, sin health checksC. Registros failover: PRIMARY hacia la aplicación con un health check asociado y SECONDARY hacia la página estática de S3D. Una función Lambda que cada minuto comprueba la aplicación y reescribe el registro DNS

7. Una aplicación usa registros failover de Route 53. El arquitecto quiere que el primario se considere no sano también cuando falle su base de datos, que está en una subred privada sin acceso desde internet y ya publica una métrica de errores en Amazon CloudWatch. ¿Cómo debe configurar el health check?

A. Un health check HTTP que apunte a la IP privada de la base de datosB. Un health check basado en una alarma de CloudWatchC. Un health check TCP contra el puerto de la base de datos a través de un NAT gatewayD. Activar Evaluate target health en un registro alias que apunte a la base de datos

8. Un servicio sencillo se ejecuta en seis instancias EC2 con Elastic IP y no usa balanceador. Se quiere que las respuestas DNS devuelvan varias direcciones al azar, pero nunca las de instancias que no respondan, con el mínimo coste. ¿Qué configuración de Route 53 cumple el requisito?

A. Un registro simple con las seis direcciones IPB. Seis registros weighted con el mismo peso y sin health checksC. Un registro failover por instancia, con la primera como PRIMARYD. Seis registros multivalue answer con health checks

9. Una empresa abre una nueva región en eu-west-1 y quiere que atienda a los usuarios más cercanos, ampliando gradualmente su zona de influencia frente a la región existente para aumentar el tráfico que recibe. ¿Qué política de enrutamiento permite ajustar ese área?

A. Geoproximity, subiendo poco a poco el bias de eu-west-1B. Geolocation, añadiendo países al registro de eu-west-1 uno a unoC. Latency, reduciendo el TTL del registro de eu-west-1D. IP-based, con una colección CIDR por proveedor de internet

10. Los servidores del centro de datos, conectados a una VPC mediante AWS Site-to-Site VPN, deben resolver nombres de una zona privada de Route 53 (aws.empresa.interno) asociada a esa VPC. ¿Qué debe configurar el arquitecto?

A. Un outbound endpoint de Route 53 Resolver con una regla de reenvío para aws.empresa.internoB. Convertir la zona privada en una zona pública con los mismos registrosC. Un inbound endpoint de Resolver, al que reenvíe el DNS localD. Asociar la zona privada directamente a la red del centro de datos

11. Una empresa con conectividad híbrida por AWS Direct Connect necesita que las instancias EC2 resuelvan el dominio corp.empresa.interno de su centro de datos y que los servidores locales resuelvan una zona privada de Route 53, con la MENOR carga operativa. ¿Qué dos componentes debe desplegar? (Elige dos.)

A. Servidores DNS BIND en instancias EC2 configurados como reenviadores en ambos sentidosB. Un inbound endpoint de Route 53 Resolver al que reenvíe el DNS localC. Una zona pública de Route 53 para corp.empresa.internoD. Route 53 Resolver DNS Firewall en la VPCE. Un outbound endpoint de Route 53 Resolver con una regla de reenvío para corp.empresa.interno

12. Una empresa sirve imágenes desde un bucket S3 a través de Amazon CloudFront. Los objetos están cifrados con SSE-KMS con una clave gestionada por el cliente y el bucket debe permanecer privado, accesible solo a través de la distribución. ¿Qué solución lo cumple?

A. Una origin access identity (OAI) con permiso en la bucket policy y en la política de la clave KMSB. OAC, bucket policy limitada a la distribución (AWS:SourceArn) y permiso en la clave KMSC. Hacer público el bucket y limitar el acceso con una condición sobre la cabecera Referer de CloudFrontD. Usar como origen el endpoint de sitio web estático del bucket y activar OAC en la distribución

13. Una distribución de CloudFront tiene una tasa de aciertos de caché muy baja. El análisis muestra que la clave de caché incluye todas las cookies, todas las cabeceras y todas las query strings, aunque el origen solo varía el contenido según el parámetro lang. ¿Qué cambio mejora más el rendimiento?

A. Reducir a 0 segundos el TTL por defecto de la cache policyB. Crear cada hora una invalidación de /* para refrescar la cachéC. Cambiar la price class a PriceClass_All para usar todas las ubicacionesD. Una cache policy con solo la query string lang en la clave de caché

14. Un equipo despliega su aplicación web de página única decenas de veces al día. Los ficheros JavaScript y CSS se sirven por CloudFront con un TTL largo y los usuarios reciben a veces versiones antiguas. ¿Qué estrategia es la MÁS eficiente a largo plazo?

A. Crear en cada despliegue una invalidación de todas las rutas (/*) de la distribución afectadaB. Desactivar la caché de CloudFront para los ficheros JavaScript y CSSC. Versionar el nombre de cada fichero estático (app.3f9c1.js) y dar TTL corto a index.htmlD. Reducir a 60 segundos el TTL máximo de la cache policy de los estáticos

15. Una plataforma de formación en vídeo sirve sus cursos en formato HLS a través de CloudFront. Cada vídeo está formado por cientos de segmentos y solo los suscriptores autenticados deben poder verlos. La aplicación no debe cambiar las URL de los segmentos. ¿Qué mecanismo debe usarse?

A. Signed cookies de CloudFront tras autenticar al suscriptorB. Signed URLs de CloudFront, firmando la URL de cada segmento del vídeoC. Presigned URLs de Amazon S3 generadas para cada segmentoD. Restricción geográfica de CloudFront con una lista de países permitidos

16. Una empresa de software distribuye su instalador a clientes de pago mediante CloudFront. Cada enlace de descarga debe caducar a las 24 horas y algunos clientes usan un gestor de descargas que no admite cookies. ¿Qué debe implementar?

A. Signed cookies de CloudFront con una caducidad de 24 horasB. Una regla rate-based de AWS WAF que limite las descargas por IPC. Una bucket policy con la condición aws:SourceIp de cada clienteD. Signed URLs de CloudFront con caducidad de 24 horas, firmadas con un trusted key group

17. Una distribuidora audiovisual solo tiene derechos para emitir su catálogo en España y Portugal. Todo el catálogo se sirve a través de una única distribución de CloudFront. ¿Cuál es la forma MÁS sencilla de cumplir el contrato?

A. Configurar en Route 53 una política geolocation que solo responda a usuarios de España y PortugalB. Activar la restricción geográfica de CloudFront con una allowlist que contenga España y PortugalC. Crear un security group en el origen que solo permita IP de España y PortugalD. Usar Lambda@Edge para consultar la IP del usuario en un servicio externo en cada petición

18. Un formulario de pago envía por POST el número de tarjeta, que atraviesa varios servidores web y colas antes de llegar al microservicio de cobros. Seguridad exige que solo ese microservicio pueda leer el número de tarjeta, aunque el resto de la petición la procesen otros componentes. La aplicación ya usa CloudFront con HTTPS. ¿Qué debe añadirse?

A. Cifrado en reposo con SSE-KMS en el bucket y en las colas de la aplicaciónB. Una política de seguridad TLS 1.3 en el viewer protocol policyC. Field-level encryption de CloudFront para el campo de la tarjetaD. Una regla de AWS WAF que bloquee las peticiones con números de tarjeta

19. Un sitio con millones de peticiones por segundo necesita, en el borde, añadir cabeceras de seguridad a todas las respuestas y reescribir algunas URL antiguas hacia rutas nuevas. La lógica es sencilla y debe ejecutarse con la menor latencia y el menor coste posibles. ¿Qué opción es la adecuada?

A. Lambda@Edge en los eventos origin request y origin responseB. CloudFront Functions en los eventos viewer request y viewer responseC. Una función AWS Lambda regional detrás de Amazon API GatewayD. Reglas de AWS WAF con acciones personalizadas

20. Antes de enviar una petición al origen, una aplicación necesita consultar una tabla de Amazon DynamoDB con el AWS SDK para decidir a qué origen enrutar al usuario según su plan de suscripción. La lógica puede tardar decenas de milisegundos. ¿Dónde debe implementarse?

A. En una CloudFront Function asociada al evento viewer requestB. En una regla de AWS WAF con una condición sobre la cabecera de suscripciónC. En un registro weighted de Route 53D. En una función Lambda@Edge asociada al evento origin request

21. Una empresa de videojuegos tiene servidores de partidas basados en UDP detrás de Network Load Balancers en tres regiones. Necesita dos direcciones IP estáticas que sus socios puedan añadir a sus cortafuegos, enrutar a cada jugador por la red de AWS hacia la región sana más cercana y conmutar en segundos si una región falla. ¿Qué servicio debe usar?

A. AWS Global Accelerator con un endpoint group por regiónB. Amazon CloudFront con un origin group por regiónC. Route 53 con política latency y health checksD. Un Transit Gateway con peering entre las tres regiones

22. Un arquitecto compara Amazon CloudFront y AWS Global Accelerator para una aplicación global. ¿Qué dos afirmaciones son correctas? (Elige dos.)

A. Global Accelerator permite ejecutar funciones Lambda@Edge en las ubicaciones del bordeB. CloudFront admite tráfico UDP para aplicaciones de voz sobre IPC. Global Accelerator proporciona dos direcciones IP estáticas anycast para la aplicaciónD. Global Accelerator necesita registros failover de Route 53 para conmutar entre regionesE. CloudFront almacena contenido en caché en el borde, mientras que Global Accelerator no cachea contenido

23. Una aplicación web detrás de un Application Load Balancer sufre intentos de inyección SQL en los parámetros de consulta. El equipo quiere bloquearlos con el MENOR esfuerzo de desarrollo y mantenimiento. ¿Qué debe hacer?

A. Reglas deny en la network ACL de las subredes del ALB para las IP atacantesB. Suscribirse a AWS Shield Advanced y activar su mitigación automáticaC. Una web ACL de AWS WAF en el ALB con el managed rule group de SQLD. Restringir el security group del ALB a las IP de los clientes conocidos

24. Unos pocos clientes hacen miles de peticiones por minuto a la API de una tienda online publicada con Amazon CloudFront, degradando el servicio para los demás. Se quiere bloquear temporalmente cualquier IP que supere 1.000 peticiones en 5 minutos. ¿Qué solución lo consigue?

A. Un health check de Route 53 que retire la distribución si recibe demasiadas peticionesB. Una regla rate-based de AWS WAF (1.000 peticiones por IP en 300 s)C. Una restricción geográfica de CloudFront para los países de esos clientesD. Una network ACL en la VPC del origen que deniegue las IP de los clientes

25. Un ingeniero crea una web ACL de AWS WAF en la región eu-west-1 para proteger una distribución de CloudFront, pero la distribución no aparece como recurso asociable. ¿Qué debe hacer?

A. Volver a crear la distribución de CloudFront en la región eu-west-1B. Asociar la web ACL al bucket S3 de origen en lugar de a la distribuciónC. Activar AWS Shield Advanced para poder asociar web ACL a CloudFrontD. Crear la web ACL en us-east-1 con ámbito CloudFront (Global) y asociarla a la distribución

26. Una plataforma de apuestas online sufre ataques DDoS frecuentes durante grandes eventos. Necesita mitigación avanzada también en capa 7, acceso 24/7 a expertos de AWS durante un ataque y que AWS compense el aumento de factura causado por el escalado durante los ataques. Ya tiene un plan de soporte Business. ¿Qué debe contratar?

A. AWS Shield Advanced en los recursos expuestosB. AWS Shield Standard, que ya está activo en todas las cuentas sin costeC. AWS WAF con los managed rule groups de Bot Control y rate-basedD. Amazon GuardDuty con la protección de runtime de EC2 activada

27. Un arquitecto diseña una aplicación web pública que debe ser resistente a ataques DDoS de capa 3, 4 y 7 sin intervención manual. ¿Qué dos prácticas son las más adecuadas? (Elige dos.)

A. Asignar una Elastic IP a cada instancia para que los clientes se conecten directamente a ellasB. Servir la aplicación a través de Amazon CloudFront con una web ACL de AWS WAF que incluya reglas rate-basedC. Añadir las IP atacantes a la network ACL a medida que se detectenD. Colocar las instancias en subredes privadas detrás de un Elastic Load Balancing con Auto ScalingE. Desactivar AWS Shield Standard para evitar falsos positivos

28. Una empresa con 120 cuentas en AWS Organizations exige que todos los Application Load Balancer y distribuciones de CloudFront, incluidos los que se creen en el futuro, tengan un conjunto común de reglas de AWS WAF, y quiere ver qué recursos no cumplen. ¿Qué solución requiere MENOS esfuerzo operativo?

A. Un script en AWS Lambda que recorre las cuentas cada noche y asocia la web ACL a los recursos nuevosB. Una plantilla de AWS CloudFormation con la web ACL que cada equipo debe desplegar en su cuentaC. Políticas de AWS WAF gestionadas con AWS Firewall Manager, con AWS Config activado en las cuentasD. Una SCP que deniegue la creación de ALB y distribuciones sin web ACL

29. Una aplicación en eu-south-2 usa un Application Load Balancer como origen de una distribución de CloudFront. Se quiere HTTPS con el dominio www.ejemplo.com entre los usuarios y CloudFront, y también entre CloudFront y el ALB, con certificados de AWS Certificate Manager. ¿Dónde deben solicitarse los certificados?

A. Ambos certificados en eu-south-2, la región de la aplicaciónB. El certificado de CloudFront en us-east-1 y el del ALB en eu-south-2C. Ambos certificados en us-east-1, porque CloudFront es globalD. El certificado de CloudFront en eu-south-2 y el del ALB en us-east-1

30. Una empresa ha sufrido dos caídas en un año porque caducaron certificados TLS de sus ALB, comprados a una autoridad externa e importados en ACM. Quiere evitarlo con la MENOR carga operativa. ¿Qué debe hacer?

A. Crear un recordatorio en el calendario del equipo 30 días antes de cada caducidadB. Importar certificados con una validez más larga de la autoridad externaC. Instalar los certificados directamente en las instancias EC2 detrás del ALBD. Certificados públicos de ACM con validación DNS

31. Una web sirve imágenes y vídeos cortos directamente desde instancias EC2 a usuarios de toda Europa. La transferencia de datos a internet supone la mayor parte de la factura y los usuarios lejanos se quejan de lentitud. ¿Qué cambio reduce el coste y mejora la latencia?

A. Poner Amazon CloudFront delante como CDN para cachear el contenidoB. Usar instancias EC2 más grandes, con más ancho de banda de redC. Añadir AWS Global Accelerator delante de las instancias EC2 actualesD. Replicar las instancias en todas las regiones europeas y usar Route 53 latency

32. Una aplicación heredada, que no se puede modificar, sirve contenido estático desde un bucket S3 en eu-south-2 a través de CloudFront. Los objetos se replican con S3 Cross-Region Replication a un bucket en eu-west-1. Se quiere que, si el bucket principal devuelve errores 5xx, CloudFront siga sirviendo contenido automáticamente. ¿Qué debe configurarse?

A. Un registro failover de Route 53 entre los endpoints de los dos bucketsB. Una CloudFront Function que reescriba la URL hacia el bucket secundarioC. Un origin group con el bucket de eu-west-1 como origen secundarioD. Aumentar el TTL máximo para que los objetos cacheados no caduquen nunca

33. Una empresa diseña una arquitectura multirregión activo-pasivo (warm standby) para su aplicación web con base de datos Amazon Aurora MySQL. Quiere conmutar automáticamente el tráfico si falla la región primaria y minimizar el RTO. ¿Qué tres componentes debe incluir? (Elige tres.)

A. Registros failover de Route 53 con un health check sobre el ALB de la región primariaB. Un único NAT gateway compartido entre las dos regionesC. Amazon Aurora Global Database con un clúster secundario en la región de respaldoD. Un VPC peering entre regiones, obligatorio para que funcione el failover de Route 53E. Un ALB y un grupo de Auto Scaling ya desplegados con capacidad reducida en la región secundariaF. CloudFront signed cookies para redirigir a los usuarios a la región secundaria