Revisão
Leia a descrição, tente lembrar o serviço ou o conceito e abra o cartão para conferir.
O exame
Qual é?Exame de nível Associate que valida a capacidade de projetar soluções com base no AWS Well-Architected Framework: seguras, resilientes, de alto desempenho e com custo otimizado.Mostrar resposta
FormatoAWS Certified Solutions Architect - Associate (SAA-C03)
Os distratores são respostas plausíveis da mesma área. Espere duas opções que funcionam e escolha a que atende todos os requisitos do enunciado.
Qual é?O resultado é aprovado ou reprovado, informado como pontuação escalonada para que versões do exame com dificuldade um pouco diferente sejam comparáveis.Mostrar resposta
Pontuação
Um domínio fraco não reprova sozinho. Os Domínios 1 (30%) e 2 (26%) somam mais da metade do conteúdo pontuado e merecem a maior parte do estudo.
Qual é?Quatro domínios de conteúdo, cada um dividido em tarefas. O guia lista o conhecimento e as habilidades de cada tarefa, e por isso é o programa de verdade.Mostrar resposta
Domínios
Os nomes dos domínios espelham quatro pilares do Well-Architected. Quando a questão pede "mais seguro", "mais resiliente", "melhor desempenho" ou "menor custo", ela está dizendo qual domínio, e qual trade-off, está avaliando.
Qual é?O exame mira quem tem pelo menos 1 ano de experiência prática projetando soluções com serviços da AWS. O guia publica uma lista de serviços dentro e outra fora do escopo.Mostrar resposta
Candidato e escopo
Uma opção baseada em serviço fora do escopo (Lightsail, CDK, CodeDeploy) quase nunca é a resposta esperada. Prefira o serviço gerenciado do escopo que atende o requisito.
Qual é?A maioria das questões é um cenário com várias respostas tecnicamente válidas. O qualificador da última frase decide qual é a correta.Mostrar resposta
Lendo as questões
Leia a última frase primeiro. "Mais seguro" e "menor esforço operacional" podem levar a respostas diferentes no mesmo cenário, e o distrator costuma otimizar o qualificador errado.
Qual é?A certificação vale por 3 anos. Para renovar, ela precisa estar ativa.Mostrar resposta
Validade
Não cai na prova, mas planeje: com o voucher de 50%, o exame de renovação custa metade da taxa de 150 USD.
Well-Architected e infraestrutura global
Qual é?Um conjunto de princípios de design, boas práticas e perguntas para construir cargas seguras, confiáveis, eficientes, econômicas e sustentáveis. A revisão é uma conversa sobre trade-offs, não uma auditoria.Mostrar resposta
O frameworkAWS Well-Architected Framework
Os quatro domínios do exame são quatro pilares. Excelência operacional e sustentabilidade não têm domínio próprio, mas aparecem como qualificadores, por exemplo "least operational overhead".
Qual é?Os princípios de design por trás dos Domínios 1 e 2. A maioria das respostas certas nesses domínios aplica um deles.Mostrar resposta
Segurança e confiabilidade
Chaves de acesso de longo prazo numa instância perdem para uma IAM role. Uma instância grande sozinha perde para um Auto Scaling group em várias AZs. As duas são esses princípios em forma de resposta.
Qual é?Os princípios de design por trás dos Domínios 3 e 4: consumir tecnologia como serviço, casar com o padrão de acesso e pagar só pelo que gera valor.Mostrar resposta
Performance e custo
"Consultas chave-valor em qualquer escala" é simpatia mecânica apontando para DynamoDB, não uma instância relacional maior. "Ambientes ociosos à noite" é o modelo de consumo: agende o desligamento.
Qual é?Os dois pilares sem domínio próprio. Mesmo assim decidem muitas respostas por meio de automação, serviços gerenciados e utilização.Mostrar resposta
Operações e sustentabilidade
Infraestrutura como código com deploys pequenos e reversíveis é a resposta de excelência operacional. Rightsizing e S3 Lifecycle para classes mais frias servem tanto a sustentabilidade quanto o custo.
Qual é?Uma Região é uma área geográfica separada e isolada das outras. Cada Região tem pelo menos 3 Availability Zones, cada uma com um ou mais data centers distintos.Mostrar resposta
Regiões e AZs
"Sobreviver à perda de um data center" é multi-AZ. "Sobreviver à perda de uma Região" ou "o regulador exige outra geografia" é multi-Região, que custa mais. Para alinhar zonas entre contas, use o AZ ID.
Qual é?Infraestrutura fora do núcleo da Região: locais de borda para conteúdo e tráfego, e zonas ou racks que levam a AWS para perto dos usuários ou para dentro do seu data center.Mostrar resposta
Borda e híbrido
"Latência de milissegundos de um dígito até um sistema on-premises" ou "os dados precisam ficar no nosso prédio" é Outposts. "Usuários numa cidade sem Região" é Local Zones. "Dispositivos móveis 5G" é Wavelength. "IP estático e aceleração TCP/UDP" é Global Accelerator, não CloudFront.
Qual é?A AWS responde pela segurança da nuvem, o cliente pela segurança na nuvem. Quanto fica com você depende de quão abstraído é o serviço.Mostrar resposta
Responsabilidade compartilhada
No nível Associate a pergunta vira design: trocar EC2 por um serviço gerenciado é o jeito de transferir patches e hardening do sistema operacional para a AWS. Criptografar dados e restringir permissões do IAM continuam sempre com você.
Qual é?Serviço no console, sem custo adicional, para revisar uma carga de trabalho contra o framework, registrar decisões e acompanhar melhorias.Mostrar resposta
Well-Architected ToolAWS Well-Architected Tool
"Revisar uma carga contra as boas práticas da AWS e acompanhar a correção ao longo do tempo" é o Well-Architected Tool. O Trusted Advisor verifica problemas específicos na conta, ele não conduz a revisão de arquitetura.
Gerenciamento de identidade e acesso
Qual é?O IAM autentica os principals e autoriza cada requisição com políticas em JSON. Prefira roles com credenciais temporárias a usuários com chaves de longo prazo.Mostrar resposta
Blocos do IAMAWS Identity and Access Management
Aplicação no EC2 precisa acessar o S3 -> anexe uma role do IAM via instance profile. Guardar chaves de acesso na instância ou no código é sempre a resposta errada.
Qual é?Toda requisição começa com uma negação implícita. Uma negação explícita em qualquer política vence, e todo guardrail no caminho também precisa permitir a ação.Mostrar resposta
Avaliação de políticas
"Deixar desenvolvedores criarem roles sem escalar os próprios privilégios" -> permissions boundary obrigatório nas roles que eles criam. Limitar uma conta inteira ou uma OU é SCP, não boundary.
Qual é?O STS emite credenciais temporárias quando um principal assume uma role. É o mecanismo por trás de instance profiles, acesso entre contas e federação.Mostrar resposta
Roles e STSAWS Security Token Service
"Dar a um parceiro ou a outra conta acesso a recursos" -> role do IAM entre contas, com external ID para terceiros. Criar usuários do IAM para eles ou compartilhar chaves de acesso é o distrator.
Qual é?A identidade criada junto com a conta tem acesso irrestrito. Proteja com MFA e use só nas poucas tarefas que exigem root.Mostrar resposta
Usuário root
"Proteger o usuário root" -> MFA, sem chaves de acesso, uso só em tarefas exclusivas. Quando perguntarem qual tarefa exige root, procure encerrar uma conta avulsa ou restaurar um administrador trancado para fora.
Qual é?Single sign-on da força de trabalho para muitas contas e aplicações da AWS a partir de um só lugar. É a forma recomendada de dar acesso a pessoas numa organização com várias contas.Mostrar resposta
IAM Identity CenterAWS IAM Identity Center
"Funcionários precisam de single sign-on em várias contas com as credenciais corporativas" -> IAM Identity Center ligado ao IdP corporativo. O Cognito atende os clientes da sua aplicação, não a força de trabalho.
Qual é?Os usuários mantêm a identidade em um IdP externo e recebem credenciais temporárias da AWS, sem distribuir usuários do IAM nem chaves de longo prazo.Mostrar resposta
Federação
"Usuários do Active Directory on-premises precisam acessar o console sem novas credenciais" -> federação SAML 2.0 ou IAM Identity Center com AD. "Servidor ou pipeline fora da AWS precisa de credenciais" -> federação OIDC ou IAM Roles Anywhere, não chaves de acesso.
Qual é?Identidade de clientes para aplicações web e mobile. User pools respondem quem é o usuário, identity pools respondem quais recursos da AWS ele pode acessar.Mostrar resposta
Amazon Cognito
"Usuários do app mobile enviam arquivos direto para o próprio prefixo no S3" -> identity pool do Cognito emitindo credenciais temporárias. "Cadastro e login com Google no app" -> user pool.
Qual é?Formas gerenciadas de usar o Microsoft Active Directory com a AWS, desde um AD completo gerenciado até um proxy que mantém o diretório on-premises.Mostrar resposta
Directory ServiceAWS Directory Service
"Manter os usuários no AD on-premises e deixá-los entrar no WorkSpaces" -> AD Connector. "Trust com o AD on-premises" ou "RDS for SQL Server com autenticação Windows" -> AWS Managed Microsoft AD.
Governança de várias contas
Qual é?Agrupa contas numa hierarquia sob uma conta de gerenciamento, com políticas centrais, faturamento consolidado e integração com serviços.Mostrar resposta
AWS Organizations
"Isolar ambientes e aplicar controles por grupo de contas" -> contas separadas em OUs com políticas anexadas a cada OU. Só IAM dentro de uma conta não dá guardrail central.
Qual é?Políticas de autorização definem o máximo de permissões nas contas membro. SCPs limitam principals, RCPs limitam recursos, e nenhuma das duas concede nada.Mostrar resposta
SCPs e RCPsService control policies e resource control policies
"Impedir que qualquer conta da OU desative o CloudTrail ou use Regiões não aprovadas, mesmo administradores" -> SCP. "Bloquear principals de fora da organização nos buckets S3 de todas as contas" -> RCP.
Qual é?Monta e governa uma landing zone com várias contas seguindo as boas práticas da AWS, orquestrando Organizations, IAM Identity Center e Service Catalog.Mostrar resposta
AWS Control Tower
"Montar rápido um ambiente com várias contas, guardrails e criação automática de contas" -> Control Tower. Fazer o mesmo à mão com o Organizations dá mais trabalho operacional.
Qual é?Compartilhe recursos seus com outras contas, OUs ou a organização inteira em vez de duplicá-los em cada conta.Mostrar resposta
AWS RAMAWS Resource Access Manager
"Várias contas precisam colocar workloads numa rede gerenciada de forma central" -> compartilhe subnets ou um transit gateway com o AWS RAM. Recriar o recurso em cada conta é o distrator.
Qual é?Registre uma conta membro para administrar um serviço integrado para a organização inteira, tirando o trabalho do dia a dia da conta de gerenciamento.Mostrar resposta
Administração delegada
"Um time central de segurança precisa gerenciar os findings do GuardDuty de todas as contas sem usar a conta de gerenciamento" -> administrador delegado do GuardDuty na conta de segurança.
Qual é?Políticas da organização que configuram serviços de forma central em vez de limitar permissões. Ao contrário das SCPs, também valem na conta de gerenciamento.Mostrar resposta
Políticas declarativas
"Impor um formato consistente para a tag CostCenter em todas as contas" -> tag policy. Lembre que tag policies não apontam recursos que não têm tag nenhuma.
Segurança de rede
Qual é?O roteamento define o tipo da subnet. Deixe públicos só load balancers e gateways, e coloque as camadas de aplicação e dados em subnets privadas.Mostrar resposta
Subnets públicas e privadas
"Instâncias precisam baixar patches mas não podem ser alcançadas pela internet" -> subnet privada com rota para um NAT gateway. NAT gateway não aceita security group, então filtre com os security groups das instâncias e NACLs.
Qual é?Security groups são o filtro principal, stateful, na instância. Network ACLs são um guardrail stateless na subnet que também pode negar.Mostrar resposta
Security groups vs NACLs
"Bloquear agora uma faixa de IP maliciosa" -> regra de deny na NACL (ou AWS WAF para HTTP). "Liberar a camada de aplicação só para a camada web" -> security group que referencia o security group da camada web.
Qual é?Acesse serviços da AWS e endpoint services de forma privada, sem internet gateway, sem NAT e sem IP público.Mostrar resposta
VPC endpoints
"Instâncias privadas precisam acessar o S3 sem custo de dados do NAT gateway" -> gateway endpoint do S3. "Servidores on-premises no Direct Connect precisam acessar o S3 de forma privada" -> interface endpoint do S3.
Qual é?Firewall de aplicação web na camada 7 que inspeciona requisições HTTP(S) antes que cheguem ao CloudFront, a um ALB, ao API Gateway ou a outra porta de entrada.Mostrar resposta
AWS WAF
"Bloquear SQL injection e XSS contra a aplicação web" -> AWS WAF no ALB ou no CloudFront. Security groups e NACLs não inspecionam o conteúdo HTTP, e o WAF não se associa a um Network Load Balancer.
Qual é?Proteção gerenciada contra DDoS. O Standard é automático e sem custo para todo cliente, o Advanced acrescenta resposta especializada e proteção de custos para aplicações críticas.Mostrar resposta
AWS Shield
"Especialistas em DDoS de plantão e nada de conta surpresa depois de um ataque" -> Shield Advanced. Se a pergunta só pede proteção básica contra DDoS sem custo, o Shield Standard já está ativo.
Qual é?Firewall stateful gerenciado com prevenção de intrusão para o perímetro da VPC, no tráfego por internet gateways, NAT gateways, VPN e Direct Connect.Mostrar resposta
AWS Network Firewall
"Filtrar a saída de todas as VPCs por nome de domínio, com assinaturas de IPS" -> Network Firewall. O WAF cobre só HTTP(S) na porta de entrada da aplicação.
Qual é?Políticas de firewall centrais para todas as contas de uma organização, aplicadas automaticamente a contas e recursos novos.Mostrar resposta
Firewall ManagerAWS Firewall Manager
"Todo ALB de toda conta precisa ter sempre as regras de WAF corporativas, inclusive em contas futuras" -> Firewall Manager. Configurar o WAF conta por conta não escala.
Qual é?Proteja o tráfego entre o on-premises e a AWS. A Site-to-Site VPN criptografa pela internet, já o Direct Connect é privado, mas não é criptografado por padrão.Mostrar resposta
Links híbridos criptografados
"O tráfego pelo Direct Connect precisa ser criptografado" -> MACsec numa conexão dedicada suportada ou VPN IPsec sobre o Direct Connect. Só o Direct Connect não atende a um requisito de criptografia.
Proteção de dados
Qual é?Chaves gerenciadas e protegidas por HSMs validados FIPS 140-3 Security Level 3, que nunca saem do serviço sem criptografia, integradas à maioria dos serviços para criptografia em repouso.Mostrar resposta
AWS KMSAWS Key Management Service
"Compartilhar um snapshot ou objeto criptografado com outra conta" -> chave gerenciada pelo cliente com a outra conta na key policy. Chaves gerenciadas pela AWS não podem ser compartilhadas.
Qual é?Módulos de segurança de hardware single-tenant na AWS para quando você precisa controlar sozinho as chaves e os usuários do HSM.Mostrar resposta
AWS CloudHSM
"HSM single-tenant", "controle exclusivo das chaves" ou "a AWS não pode acessar as chaves" -> CloudHSM. Criptografia em repouso comum com trilha de auditoria é KMS.
Qual é?Todo bucket S3 criptografa objetos novos por padrão. Escolha a opção conforme quem precisa controlar a chave e quantas camadas de criptografia a conformidade exige.Mostrar resposta
Criptografia no S3
"Auditar cada uso da chave e controlar quem descriptografa" -> SSE-KMS com chave gerenciada pelo cliente. "Duas camadas de criptografia" -> DSSE-KMS. "A empresa gerencia as próprias chaves fora da AWS" -> SSE-C ou criptografia no cliente.
Qual é?Certificados TLS públicos e privados para serviços integrados sem custo adicional, com renovação gerenciada para que nada expire sem ninguém perceber.Mostrar resposta
ACM e TLSAWS Certificate Manager
"HTTPS no CloudFront com domínio próprio" -> certificado do ACM em us-east-1. "Evitar indisponibilidade por certificado vencido" -> certificado do ACM validado por DNS, não um importado.
Qual é?Tire as credenciais do código. O Secrets Manager gira segredos automaticamente, e o Parameter Store guarda configurações e valores criptografados simples.Mostrar resposta
Segredos e parâmetros
"A senha do banco precisa girar automaticamente" -> Secrets Manager. "Guardar IDs de AMI ou valores de configuração gastando pouco" -> Parameter Store.
Qual é?Serviços gerenciados que encontram ameaças, vulnerabilidades e dados sensíveis, e depois agregam e investigam os findings.Mostrar resposta
Serviços de detecção
"Encontrar PII no S3" -> Macie. "Credenciais comprometidas ou mineração de cripto" -> GuardDuty. "CVEs no EC2 ou em imagens de contêiner" -> Inspector. "Visão única da postura de conformidade" -> Security Hub. "Causa raiz de um finding" -> Detective.
Qual é?Armazenamento imutável para retenção regulatória e proteção contra ransomware, no nível de objeto, de vault ou de backup.Mostrar resposta
Retenção WORM
"Registros que ninguém, nem administradores, pode apagar por 7 anos" -> S3 Object Lock em modo compliance. O modo governance ainda deixa usuários privilegiados com a permissão de bypass removerem dados.
Qual é?Portal self-service com os relatórios de conformidade e os acordos da AWS, sem custo.Mostrar resposta
AWS Artifact
"Um auditor pede o relatório SOC ou o atestado PCI da AWS" -> AWS Artifact. O AWS Config e o AWS Audit Manager avaliam os seus próprios recursos.
Desacoplamento e mensageria
Qual é?Fila totalmente gerenciada que segura o trabalho entre produtores e consumidores, para que um consumidor lento ou com falha não perca requisições. O consumidor consulta a fila e apaga cada mensagem depois de processá-la.Mostrar resposta
SQSAmazon Simple Queue Service
"Desacoplar as camadas e absorver picos de tráfego" -> SQS standard. "Processar pedidos uma única vez e em ordem" -> SQS FIFO. Mensagem processada duas vezes indica visibility timeout menor que o processamento, não falta de DLQ.
Qual é?Publicação e assinatura: o produtor publica uma vez em um tópico e o SNS empurra uma cópia para cada assinante. Os assinantes não fazem polling.Mostrar resposta
SNSAmazon Simple Notification Service
"Um evento precisa disparar vários processos independentes" -> fan-out SNS + SQS. Gravar a mesma mensagem em várias filas pela aplicação é o distrator: acopla o produtor a todos os consumidores.
Qual é?Roteador de eventos serverless: event buses recebem eventos de serviços da AWS, das suas aplicações e de software de terceiros, e regras os enviam a destinos.Mostrar resposta
EventBridgeAmazon EventBridge
"Reagir a uma mudança em um serviço da AWS" ou "rotear eventos pelo conteúdo para vários destinos" -> regra do EventBridge. "Rodar uma tarefa toda noite sem servidor" -> EventBridge Scheduler, não um cron em uma instância EC2.
Qual é?Orquestração de fluxos como máquina de estados: novas tentativas, tratamento de erro, ramos paralelos e esperas ficam declarados no fluxo, não codificados em cada serviço.Mostrar resposta
Step FunctionsAWS Step Functions
"Coordenar várias funções Lambda com novas tentativas e uma etapa de aprovação manual" -> Step Functions Standard. Funções Lambda chamando umas às outras é o distrator. "Milhares de eventos curtos por segundo" -> Express.
Qual é?Porta de entrada gerenciada para APIs que cuida de autorização, throttling e monitoramento na frente de Lambda, endpoints HTTP ou serviços da AWS.Mostrar resposta
API GatewayAmazon API Gateway
"Limitar cada parceiro por API key com cota mensal" -> REST API com usage plans. "Proxy mais barato para Lambda com JWT" -> HTTP API. "O servidor envia atualizações aos clientes" -> WebSocket API, não polling.
Qual é?Brokers Apache ActiveMQ e RabbitMQ gerenciados, para migrar aplicações que já usam protocolos padrão de mensageria sem reescrever esse código.Mostrar resposta
Amazon MQ
"Migrar uma aplicação on-premises que usa JMS ou AMQP com o mínimo de mudança no código" -> Amazon MQ. Reescrever para SQS é o distrator quando a questão enfatiza manter o código.
Qual é?Um stream de registros ordenados, guardados para replay e lidos por várias aplicações ao mesmo tempo. Prefira ao SQS quando muitos consumidores precisam dos mesmos dados ou de reprocessá-los.Mostrar resposta
Kinesis vs SQSAmazon Kinesis Data Streams
"Várias aplicações precisam processar o mesmo clickstream em tempo real e reprocessá-lo" -> Kinesis Data Streams. O SQS é o distrator: cada mensagem é processada por um consumidor e depois apagada.
Qual é?Instâncias que não guardam dados de sessão podem ser criadas, trocadas ou encerradas a qualquer momento, e é isso que torna seguros o Auto Scaling e o balanceamento de carga.Mostrar resposta
Design stateless
"Usuários são deslogados quando o Auto Scaling encerra uma instância" -> mova as sessões para ElastiCache ou DynamoDB. Ativar sticky sessions é o distrator: mantém o estado na instância.
Alta disponibilidade
Qual é?Availability Zones são locais isolados dentro de uma Região. Espalhar cada camada por pelo menos 2 AZs elimina o ponto único de falha que uma AZ representa.Mostrar resposta
Design Multi-AZ
"Sobreviver à falha de uma Availability Zone com o menor custo" -> Multi-AZ (ALB, Auto Scaling entre AZs, RDS Multi-AZ). Uma segunda Região é o distrator, a menos que a questão fale em falha de Região inteira.
Qual é?O ELB distribui o tráfego entre destinos saudáveis em várias Availability Zones e para de enviar tráfego a um destino que falha nos health checks.Mostrar resposta
Load balancersElastic Load Balancing
"Clientes precisam liberar IPs fixos no firewall" ou "tráfego UDP" -> NLB. "Rotear /api e /images para serviços diferentes" -> ALB. "Inserir firewalls de terceiros de forma transparente" -> GWLB.
Qual é?Mantém o número desejado de instâncias saudáveis entre AZs e muda esse número conforme a demanda, entre um mínimo e um máximo.Mostrar resposta
EC2 Auto ScalingAmazon EC2 Auto Scaling
"O tráfego sobe todo dia útil às 9h e as instâncias levam minutos para subir" -> escalonamento preditivo ou agendado, mais um warm pool. "Manter a CPU perto de um valor" -> target tracking. Simple scaling raramente é a melhor resposta.
Qual é?Implantações Multi-AZ fazem failover automático dentro da Região. Réplicas de leitura escalam leituras e podem ser promovidas, mas replicam de forma assíncrona e são promovidas manualmente.Mostrar resposta
Disponibilidade no RDSAmazon RDS
"Failover automático sem mudar a aplicação" -> Multi-AZ. "Tirar as consultas de relatório do banco principal" -> réplica de leitura. A réplica de leitura é o distrator para HA: é assíncrona e precisa ser promovida.
Qual é?O Aurora separa a computação de um volume de cluster compartilhado e copiado em 3 AZs, então réplicas somam capacidade de leitura e alvos de failover sem copiar dados.Mostrar resposta
AuroraAmazon Aurora
"Failover mais rápido para um banco relacional com muitas réplicas de leitura" -> Aurora com réplicas em outras AZs. "Escolher qual réplica vira writer" -> promotion tier.
Qual é?Pool de conexões gerenciado entre a aplicação e o RDS ou Aurora, que absorve picos de conexão e esconde o failover dos clientes.Mostrar resposta
RDS ProxyAmazon RDS Proxy
"Funções Lambda esgotam as conexões do banco" -> RDS Proxy. Aumentar a classe da instância é o distrator. "Fazer uma aplicação tolerar o failover do banco sem mudar código" -> RDS Proxy.
Qual é?Os health checks do Route 53 tiram endpoints com problema das respostas DNS, o que permite failover ativo-ativo ou ativo-passivo entre AZs ou Regiões.Mostrar resposta
Failover no Route 53Amazon Route 53
"Mandar usuários para um site reserva só quando o principal falhar" -> roteamento failover com health checks. "Distribuir tráfego e pular Regiões com problema" -> roteamento latency ou weighted com health checks.
Qual é?Resiliência também depende de limites, deploys e visibilidade: cotas que travam o escalonamento, throttling que exige novas tentativas e rastreamento que acha o componente com falha.Mostrar resposta
Cotas e operação
"A Região de failover não conseguiu subir instâncias suficientes" -> aumentar as service quotas na Região standby com antecedência. "Descobrir qual microsserviço adiciona latência" -> X-Ray, não só o CloudWatch Logs.
Recuperação de desastres
Qual é?Os 2 objetivos de recuperação que o negócio define para cada carga. Eles determinam a estratégia de DR e o seu custo.Mostrar resposta
RPO e RTO
"Pode perder no máximo 15 minutos de dados" é requisito de RPO. "Precisa voltar em até 1 hora" é requisito de RTO. Veja qual dos dois a questão restringe antes de escolher a estratégia.
Qual é?O whitepaper Disaster Recovery of Workloads on AWS agrupa o DR em 4 estratégias, da barata e lenta à cara e quase instantânea.Mostrar resposta
Estratégias de DR
"Os dados precisam estar ao vivo na segunda Região, mas os servidores podem subir no failover" -> pilot light. "Precisa receber tráfego na hora com capacidade reduzida" -> warm standby. A diferença é se a cópia de DR atende requisições sem antes ser ligada.
Qual é?Backup central e baseado em políticas para EC2, EBS, RDS, Aurora, DynamoDB, EFS, FSx, S3 e outros, com cópias para outras Regiões e contas.Mostrar resposta
AWS Backup
"Centralizar backups de muitas contas e copiá-los para outra Região" -> AWS Backup com Organizations. "Ransomware não pode apagar os backups" -> Vault Lock em modo compliance mais cópias para outra conta.
Qual é?Replicação contínua em nível de bloco de servidores on-premises, de outra nuvem ou de outra Região da AWS para uma área de staging de baixo custo na AWS.Mostrar resposta
Elastic Disaster RecoveryAWS Elastic Disaster Recovery
"Replicar servidores on-premises para a AWS com RPO de segundos e RTO de minutos" -> Elastic Disaster Recovery. O AWS Backup é o distrator: faz backups pontuais, não replicação contínua.
Qual é?Cópia assíncrona de objetos para buckets em outra Região (CRR) ou na mesma Região (SRR), da mesma conta ou de outra.Mostrar resposta
Replicação no S3Amazon S3 Replication
"Copiar objetos para outra Região em até 15 minutos previsíveis" -> CRR com S3 RTC. "Objetos que já existiam antes da regra não foram copiados" -> Batch Replication.
Qual é?Replicação gerenciada entre Regiões para dados relacionais e NoSQL mantém o RPO baixo sem você construir pipelines próprios.Mostrar resposta
Replicação de bancos
"Banco relacional, queda de Região, RPO de segundos e RTO abaixo de 1 minuto" -> Aurora Global Database. "Usuários em várias Regiões precisam escrever localmente" -> DynamoDB global tables.
Qual é?Backups de bloco incrementais e pontuais, guardados no S3 e replicados entre as AZs da Região, base do backup e restore de EC2.Mostrar resposta
Snapshots do EBSAmazon EBS snapshots
"Automatizar snapshots diários do EBS e copiá-los para outra Região sem custo extra" -> Data Lifecycle Manager. Escolha o AWS Backup quando o escopo cobre muitos serviços e contas.
Qual é?Levar os usuários para a Região de recuperação exige roteamento de tráfego, capacidade que de fato consiga subir e a mesma configuração nas duas Regiões.Mostrar resposta
Failover entre Regiões
"A Região de DR não conseguiu escalar no teste" -> as service quotas não foram aumentadas lá. "Clientes guardam DNS em cache e o failover demora" -> Global Accelerator em vez de failover por DNS.
Desempenho de armazenamento
Qual é?A primeira decisão é o tipo de armazenamento. Ele define como o dado é endereçado, quem pode compartilhá-lo e até onde ele escala.Mostrar resposta
Bloco, arquivo, objeto
"Sistema de arquivos compartilhado por muitas instâncias Linux" -> EFS, não EBS. "Disco de menor latência para uma instância de banco" -> EBS (ou instance store se o dado for temporário). "Milhões de imagens ou um data lake" -> S3.
Qual é?O Amazon S3 escala sozinho, mas a taxa de requisições é contada por prefixo e objetos grandes trafegam mais rápido divididos em requisições paralelas.Mostrar resposta
Desempenho do S3Amazon S3 performance
"Uploads grandes de escritórios em outros continentes estão lentos" -> Transfer Acceleration mais multipart upload. "Erros 503 em um prefixo muito acessado" -> espalhe as chaves em mais prefixos. "Ler só um pedaço de um arquivo enorme" -> byte-range fetch.
Qual é?Toda classe recomendada é projetada para 99,999999999% (11 noves) de durabilidade. Elas mudam em disponibilidade, número de AZs, duração mínima e tempo de recuperação.Mostrar resposta
Classes do S3Amazon S3 storage classes
"Padrão de acesso desconhecido ou variável" -> Intelligent-Tiering. "Lido uma vez por trimestre, mas precisa de milissegundos" -> Glacier Instant Retrieval. "Arquivo de compliance, 48 horas para recuperar é aceitável, menor custo" -> Glacier Deep Archive.
Qual é?Volumes SSD são ajustados para IOPS em I/O pequeno e aleatório. Volumes HDD são ajustados para throughput em I/O grande e sequencial.Mostrar resposta
Tipos de volume EBSAmazon EBS
"Mais IOPS sem pagar por mais GiB" -> gp3 (no gp2 o IOPS depende do tamanho). "Mais de 80.000 IOPS ou latência abaixo de 1 milissegundo" -> io2 Block Express. "EBS mais barato para logs sequenciais" -> st1, ou sc1 se quase não for lido.
Qual é?Duas opções de bloco fora da regra de um volume durável por instância: um volume Provisioned IOPS compartilhado e discos locais rápidos que vivem e morrem com a instância.Mostrar resposta
Multi-Attach e instance store
"Aplicação em cluster em uma AZ precisa de um dispositivo de bloco compartilhado" -> EBS Multi-Attach com io2. "Maior I/O de disco para dado temporário, perda aceitável" -> instance store. Dado que precisa sobreviver a um stop fica no EBS.
Qual é?Sistema de arquivos NFS serverless que cresce sozinho até petabytes e é compartilhado por EC2, ECS, EKS, Fargate e Lambda. Instâncias Windows não são suportadas.Mostrar resposta
EFSAmazon Elastic File System
"Centenas de instâncias Linux em várias AZs compartilham os mesmos arquivos" -> EFS Regional. "Sistema de arquivos limitado no modo Bursting" -> mude para throughput Elastic ou Provisioned. "Compartilhamento de arquivos Windows" nunca é EFS.
Qual é?Sistemas de arquivos totalmente gerenciados, baseados em tecnologias comerciais e open source conhecidas. Escolha o que combina com o protocolo ou o sistema de arquivos já em uso.Mostrar resposta
FSxAmazon FSx
"Compartilhamentos Windows integrados ao Active Directory" -> FSx for Windows File Server. "Job de HPC sobre um dataset guardado no S3" -> FSx for Lustre. "Migrar um NAS NetApp sem trocar ferramentas" -> FSx for NetApp ONTAP. "Levar um servidor ZFS" -> FSx for OpenZFS.
Qual é?Um appliance de software ou hardware no ambiente local que oferece às aplicações interfaces de armazenamento padrão apoiadas na AWS, com cache local para baixa latência.Mostrar resposta
Storage GatewayAWS Storage Gateway
"Substituir fitas físicas sem trocar o software de backup" -> Tape Gateway. "Aplicação local grava arquivos via NFS ou SMB que precisam ir para o S3" -> S3 File Gateway. "Dataset inteiro no local com baixa latência e backup na AWS" -> Volume Gateway stored volumes.
Desempenho de computação
Qual é?O tipo de instância define CPU, memória, armazenamento e rede do host. Escolha primeiro a categoria, depois o tamanho.Mostrar resposta
Tipos de instânciaAmazon EC2 instance types
"Banco em memória ou análise em tempo real" -> memory optimized (R, X). "Processamento em lote, transcodificação, servidores de jogos" -> compute optimized (C). "Muito I/O aleatório em grandes datasets locais" -> storage optimized (I, D).
Qual é?Placement groups definem como as instâncias ficam no hardware, trocando desempenho de rede por isolamento contra falhas correlacionadas.Mostrar resposta
Placement groups
"Nós de HPC trocam dados o tempo todo" -> cluster (com EFA ou enhanced networking). "Cassandra ou HDFS cientes de rack" -> partition. "Poucas instâncias críticas não podem falhar juntas" -> spread.
Qual é?O desempenho de rede depende do tipo de instância e do dispositivo de rede. As duas opções abaixo não têm custo adicional.Mostrar resposta
Enhanced networkingENA and Elastic Fabric Adapter
"HPC fortemente acoplado ou treino distribuído de ML com MPI ou NCCL" -> EFA em um cluster placement group. "Mais PPS e menos latência para uma camada de aplicação comum" -> enhanced networking com ENA, não EFA.
Qual é?O Auto Scaling move a capacidade desejada entre o mínimo e o máximo. A política e a métrica definem a rapidez e a precisão com que ele acompanha a carga.Mostrar resposta
Métricas de escalaAmazon EC2 Auto Scaling
"Workers que consomem uma fila SQS ficam para trás" -> target tracking sobre backlog por instância. "A carga sobe todo dia útil às 9h e as instâncias demoram a subir" -> escala preditiva ou agendada. "Manter a CPU perto de 50%" -> target tracking.
Qual é?A hibernação grava a RAM no volume raiz EBS e retoma os mesmos processos no start, evitando um boot longo ou o aquecimento de cache.Mostrar resposta
HibernaçãoEC2 instance hibernation
"A aplicação demora demais para reconstruir o estado em memória após reiniciar" -> hibernar em vez de parar. Se a instância está em um grupo de Auto Scaling, hibernação não é opção.
Qual é?Motores gerenciados para cargas feitas de jobs, não de servidores: AWS Batch para jobs em contêiner, Amazon EMR para frameworks de big data.Mostrar resposta
Batch e EMRAWS Batch and Amazon EMR
"Milhares de jobs em contêiner, sem scheduler para operar" -> AWS Batch. "Processamento Spark ou Hive em escala de petabytes" -> Amazon EMR (EMR Serverless para não gerenciar cluster). Job com mais de 15 minutos descarta o Lambda.
Qual é?Quando milissegundos ou a localização do dado importam, a infraestrutura AWS roda fora da Região, com a Região pai mantendo as mesmas APIs e ferramentas.Mostrar resposta
Computação perto do usuárioOutposts, Local Zones and Wavelength
"Baixa latência até sistemas que precisam ficar no nosso data center" -> Outposts. "Baixa latência para usuários em uma cidade longe de qualquer Região" -> Local Zones. "App móvel em rede 5G de operadora" -> Wavelength.
Qual é?Você envia o código e o Elastic Beanstalk provisiona o ambiente, o balanceamento de carga, o monitoramento de saúde e a escala. Sem custo além dos recursos.Mostrar resposta
Elastic BeanstalkAWS Elastic Beanstalk
"Desenvolvedores querem publicar um app web rápido sem gerenciar infraestrutura" -> Elastic Beanstalk. "Tarefas longas em segundo plano deixam a camada web lenta" -> um worker environment com SQS.
Serverless e contêineres
Qual é?Executa código em resposta a eventos, sem servidores para gerenciar. Feito para tarefas curtas que não guardam estado entre invocações.Mostrar resposta
LambdaAWS Lambda
"Função limitada por CPU está lenta" -> aumente a memória (a CPU acompanha). "O processamento leva 40 minutos" -> não é Lambda, use ECS no Fargate ou AWS Batch. "A mesma biblioteca em muitas funções" -> layers.
Qual é?Concorrência é a média de requisições por segundo vezes a duração média. As funções de uma Região dividem 1.000 execuções simultâneas por padrão, uma cota que pode ser aumentada.Mostrar resposta
ConcorrênciaLambda concurrency
"Cold start inaceitável em uma API sensível a latência" -> provisioned concurrency (ou SnapStart para Java, Python, .NET). "Uma função derruba o banco de dados" -> reserved concurrency como teto.
Qual é?Os serviços ou empurram eventos para o Lambda por triggers, ou o Lambda os consulta por um event source mapping que lê em lotes.Mostrar resposta
Fontes de eventos
"Processar mensagens SQS com Lambda em lotes" -> event source mapping. "Rodar código quando um objeto chega ao S3" -> trigger de S3 event notification. "Duplicatas estragaram o resultado" -> torne o handler idempotente.
Qual é?Os dois orquestram contêineres em EC2, Fargate ou no ambiente local. A escolha depende de você querer ou não Kubernetes.Mostrar resposta
ECS ou EKSAmazon ECS and Amazon EKS
"Time já usa Kubernetes e quer um control plane gerenciado" -> EKS. "Orquestração de contêineres nativa da AWS com o menor esforço" -> ECS, em geral no Fargate.
Qual é?A capacidade por baixo do ECS ou do EKS. O Fargate roda cada task sem servidores para gerenciar, e o launch type EC2 roda tasks em instâncias que você gerencia.Mostrar resposta
Fargate ou EC2AWS Fargate
"Rodar contêineres sem gerenciar nem aplicar patches em servidores" -> Fargate. "Contêineres precisam de GPU ou modo privilegiado" -> launch type EC2. "Jobs em contêiner baratos e interrompíveis" -> Fargate Spot.
Qual é?O Amazon ECR guarda as imagens que ECS, EKS e Lambda baixam. Levar uma aplicação para contêineres começa por gerar uma imagem e enviá-la ao ECR.Mostrar resposta
ECR e migraçãoAmazon ECR
"Guardar e escanear imagens e copiá-las para uma Região de DR" -> ECR com replicação. "Tasks Fargate em subnets privadas não conseguem baixar imagens" -> adicione um interface endpoint do ECR ou um NAT gateway.
Qual é?Os mesmos orquestradores podem gerenciar servidores no seu data center, para dados que precisam ficar no local ou para uma migração gradual.Mostrar resposta
Contêineres locaisECS Anywhere and EKS Anywhere
"Rodar contêineres no local, gerenciados pelo console do ECS" -> ECS Anywhere. "Kubernetes em um data center desconectado" -> EKS Anywhere. "Serviço local precisa receber tráfego por load balancer" -> ECS Anywhere não serve bem.
Qual é?A maioria dos projetos mistura os dois. O que decide é o tempo de execução, o controle sobre o runtime, o formato do tráfego e o esforço operacional que o time aguenta.Mostrar resposta
Escolhendo o modeloContainers or serverless
"Tráfego imprevisível, sem servidores, pagar só quando roda" -> Lambda. "Serviço em contêiner rodando 24/7 sem gerenciar hosts" -> ECS no Fargate. "Reaproveitar um app serverless publicado entre contas" -> Serverless Application Repository.
Bancos de dados
Qual é?Bancos relacionais gerenciados em instâncias que você dimensiona. Você escolhe motor, classe de instância e armazenamento, e a AWS cuida de patches, backups e failover.Mostrar resposta
Amazon RDSAmazon Relational Database Service
"Relatórios deixam o banco de produção lento" -> réplica de leitura, não Multi-AZ (a standby do Multi-AZ em instância não atende leituras). "I/O consistente e de baixa latência para OLTP" -> IOPS provisionadas (io2 Block Express), não gp2.
Qual é?Motor compatível com MySQL e PostgreSQL, com uma camada de armazenamento distribuída compartilhada entre a instância de escrita e as leitoras, o que torna réplicas baratas e o failover rápido.Mostrar resposta
Amazon Aurora
"Carga relacional imprevisível ou com picos, pagar pelo uso" -> Aurora Serverless v2. "Leituras globais com atraso abaixo de 1 segundo e DR entre Regiões" -> Aurora Global Database, não réplicas de leitura do RDS entre Regiões.
Qual é?Banco serverless de chave-valor e documentos, com latência de poucos milissegundos em qualquer escala. O desempenho depende do modo de capacidade e de quão bem a chave de partição distribui o tráfego.Mostrar resposta
Amazon DynamoDB
"Milhões de requisições por segundo, sem esquema, latência de poucos ms" -> DynamoDB, não RDS. Throttling em poucas chaves indica chave de partição ruim, não falta de capacidade total.
Qual é?Índices, cache, fluxo de alterações, expiração e replicação entre Regiões levam o DynamoDB além de buscas simples por chave.Mostrar resposta
Recursos do DynamoDB
"DynamoDB com muita leitura, latência de microssegundos, sem mudar código" -> DAX, não ElastiCache. "Consultar por outro atributo depois que a tabela existe" -> GSI (LSI não pode ser adicionado depois).
Qual é?Cache em memória gerenciado com Valkey, Redis OSS ou Memcached. Tira leituras repetidas do banco e guarda sessões, em clusters de nós ou serverless.Mostrar resposta
Amazon ElastiCache
"Ranking, ordenação, cache com alta disponibilidade, sessões com failover" -> ElastiCache para Valkey ou Redis OSS. "Cache simples e multithread, sem persistência" -> Memcached.
Qual é?Cada modelo de dados tem o seu motor gerenciado. A prova descreve os dados e as consultas e espera o serviço correspondente.Mostrar resposta
Bancos especializados
"Migrar MongoDB com o mínimo de mudanças" -> DocumentDB. "Carga Cassandra, sem servidores" -> Keyspaces. "Rede social, fraude em rede, recomendações" -> Neptune.
Qual é?Pool de conexões gerenciado entre a aplicação e o banco. Absorve rajadas de conexões e mantém as conexões abertas durante o failover.Mostrar resposta
RDS ProxyAmazon RDS Proxy
"Funções Lambda esgotam as conexões do banco" ou "erros de too many connections" -> RDS Proxy, não uma classe de instância maior.
Qual é?O AWS DMS leva os dados para a AWS enquanto a origem continua operando. Trocar de motor exige também converter esquema e código.Mostrar resposta
Migração de bancosAWS Database Migration Service
"Oracle para PostgreSQL com downtime mínimo" -> DMS Schema Conversion (ou SCT) + DMS com CDC. O DMS sozinho não converte procedures nem esquema.
Redes
Qual é?Uma VPC é uma rede privada em uma Região, dividida em sub-redes que ficam cada uma em uma AZ. O plano de endereços e as camadas de sub-rede definem até onde ela cresce.Mostrar resposta
Desenho de VPCAmazon Virtual Private Cloud
"Acabando os IPs da VPC" -> adicione um bloco CIDR secundário, não uma VPC nova. Uma sub-rede /28 tem só 11 endereços utilizáveis porque 5 são reservados.
Qual é?O internet gateway dá às sub-redes públicas acesso de ida e volta à internet. NAT e egress-only gateway deixam recursos privados saírem sem ficarem alcançáveis.Mostrar resposta
Internet e saída
"Instâncias privadas precisam baixar patches da internet, com alta disponibilidade" -> NAT gateway em cada AZ, não instância NAT. "Só saída IPv6" -> egress-only internet gateway.
Qual é?O peering liga duas VPCs diretamente. O AWS Transit Gateway é um hub regional que escala para muitas VPCs e conexões com a rede local.Mostrar resposta
Peering e Transit Gateway
"Dezenas de VPCs e sites locais, malha completa impossível de gerenciar" -> Transit Gateway. "Duas VPCs, menor custo, sem trânsito" -> VPC peering. Uma VPC pareada nunca encaminha tráfego para uma terceira.
Qual é?Acesso privado a serviços da AWS e a serviços em outras VPCs, sem internet gateway, NAT ou peering. O tráfego fica na rede da AWS.Mostrar resposta
PrivateLink e endpointsAWS PrivateLink
"Expor um serviço para centenas de VPCs de clientes com CIDRs sobrepostos" -> endpoint service do PrivateLink, não peering. "EC2 acessando S3 sem NAT e sem custo" -> gateway endpoint.
Qual é?Túneis IPsec criptografados pela internet. O Site-to-Site VPN une redes, o Client VPN conecta usuários individuais.Mostrar resposta
Opções de VPN
"Conectar o escritório nesta semana, criptografado, barato" -> Site-to-Site VPN. "Funcionários remotos em notebooks" -> Client VPN. Mais de 1,25 Gbps por VPN -> ECMP em transit gateway ou Large Bandwidth Tunnels.
Qual é?Um link privado e dedicado da sua rede até a AWS, sem passar pela internet, para banda e latência consistentes.Mostrar resposta
Direct ConnectAWS Direct Connect
"Banda consistente, grandes transferências diárias, sem internet" -> Direct Connect. "Precisa para agora" é VPN, porque uma conexão nova leva tempo para ser provisionada. "Link privado e criptografado" -> DX + VPN IPsec ou MACsec.
Qual é?Escolha o load balancer pela camada de protocolo e pelo requisito. Alta disponibilidade e health checks estão nas notas de resiliência.Mostrar resposta
Escolha do load balancerElastic Load Balancing
"Roteamento por caminho para microsserviços" -> ALB. "IP fixo para allowlist, UDP, vazão extrema" -> NLB. "Frota de firewalls de terceiros no caminho do tráfego" -> Gateway Load Balancer.
Borda e DNS
Qual é?O Route 53 hospeda zonas DNS públicas e privadas. O registro alias é a extensão da AWS que a prova mais cobra.Mostrar resposta
Registros do Route 53Amazon Route 53
"Apontar o domínio raiz para um load balancer ou CloudFront" -> registro alias, nunca CNAME. O alias também evita cobrança por consulta.
Qual é?A política de roteamento decide qual registro responde a cada consulta DNS. Junto com health checks, dá failover e direcionamento de tráfego no nível do DNS.Mostrar resposta
Políticas de roteamento
"Menor latência para usuários globais" -> latency, não geolocation. "Direitos de conteúdo ou idioma por país" -> geolocation. "Mandar 10% para a nova versão" -> weighted.
Qual é?Os health checks do Route 53 tiram endpoints não saudáveis das respostas DNS, o que viabiliza failover entre Regiões.Mostrar resposta
Health checks
"Trocar para uma Região de backup automaticamente quando a primária falhar" -> roteamento failover + health check. "Saúde de um recurso privado" -> checagem baseada em alarme do CloudWatch.
Qual é?Rede de entrega de conteúdo com mais de 750 pontos de presença e 15 caches regionais de borda. Guarda conteúdo estático e dinâmico perto do usuário e protege a origem.Mostrar resposta
Amazon CloudFront
"Usuários globais, conteúdo estático no S3, menos latência e menos carga na origem" -> CloudFront. Problema de taxa de acerto de cache aponta para política de cache e TTLs, não para uma origem maior.
Qual é?O CloudFront mantém a origem privada, exige acesso assinado, bloqueia países e criptografa campos sensíveis na borda.Mostrar resposta
Restringir conteúdo
"Usuários não podem acessar o bucket S3 diretamente" -> OAC. "Biblioteca de vídeos paga, muitos arquivos por assinante" -> cookies assinados. "Um link de download" -> URL assinada, não URL pré-assinada do S3 quando há CloudFront na frente.
Qual é?Código que roda no CloudFront para alterar requisições e respostas. CloudFront Functions são leves e baratas, Lambda@Edge é mais capaz.Mostrar resposta
Funções na borda
"Reescrever URLs ou adicionar cabeçalhos em escala massiva, menor custo" -> CloudFront Functions. "Chamar uma API de terceiros ou alterar a requisição à origem" -> Lambda@Edge.
Qual é?IPs anycast fixos que colocam o usuário na rede global da AWS pela borda mais próxima e o levam a endpoints regionais saudáveis. Sem cache.Mostrar resposta
Global AcceleratorAWS Global Accelerator
"IPs fixos para allowlist, UDP, failover regional rápido" -> Global Accelerator. "Cache de conteúdo na borda, HTTP" -> CloudFront. Os dois usam a borda, só o CloudFront faz cache.
Qual é?Uploads e downloads mais rápidos para um bucket a longas distâncias, entrando na rede da AWS por um ponto de presença do CloudFront.Mostrar resposta
S3 Transfer AccelerationAmazon S3 Transfer Acceleration
"Usuários em outros continentes enviam arquivos grandes para um bucket" -> S3 Transfer Acceleration, junto com multipart upload para objetos grandes. Não CloudFront, que é voltado à entrega.
Ingestão e análise de dados
Qual é?Stream em tempo real que guarda registros em shards para que vários consumidores leiam, e releiam, em ordem.Mostrar resposta
Kinesis Data StreamsAmazon Kinesis Data Streams
"Tempo real, vários consumidores, reprocessamento, ordem por chave" -> Kinesis Data Streams. Escritas com throttling -> mais shards ou uma chave de partição melhor.
Qual é?Entrega totalmente gerenciada de dados de streaming para destinos de armazenamento e análise, com buffer, transformação e conversão de formato. Sem shards para gerenciar.Mostrar resposta
Amazon Data Firehose
"Carregar dados de streaming no S3 ou no Redshift sem código, quase em tempo real" -> Data Firehose. "Consumidores próprios, reprocessamento, milissegundos" -> Kinesis Data Streams.
Qual é?Apache Kafka gerenciado para quem já usa Kafka, e um serviço dedicado a vídeo vindo de dispositivos.Mostrar resposta
MSK e streams de vídeoAmazon MSK e Amazon Kinesis Video Streams
"Migrar um cluster Kafka local com o mínimo de mudanças" -> Amazon MSK, não Kinesis. "Streams de câmeras para análise com Rekognition" -> Kinesis Video Streams.
Qual é?O Glue descobre, cataloga e transforma dados, e o Lake Formation controla quem lê cada parte do data lake no S3.Mostrar resposta
Glue e Lake FormationAWS Glue e AWS Lake Formation
"Converter CSV do S3 para Parquet com agendamento, sem servidores" -> job de ETL do Glue. "Acesso por coluna ao data lake para equipes diferentes" -> Lake Formation, não políticas de bucket.
Qual é?O Athena consulta o S3 com SQL sem servidores, e o Amazon Quick transforma os resultados em dashboards.Mostrar resposta
Athena e QuickAmazon Athena e Amazon Quick
"SQL ad hoc sobre logs no S3, sem infraestrutura" -> Athena. "Athena lento e caro sobre CSV" -> converta para Parquet e particione. "Dashboards de BI interativos" -> Amazon Quick.
Qual é?Frameworks de big data, o data warehouse e a busca e análise de logs respondem perguntas diferentes sobre os mesmos dados.Mostrar resposta
EMR, Redshift, OpenSearch
"Jobs Spark ou Hadoop existentes, controle total do cluster" -> EMR. "Joins SQL complexos sobre terabytes para BI" -> Redshift. "Busca textual em logs ou num catálogo" -> OpenSearch.
Qual é?Serviços online movem dados pela rede por agendamento ou protocolo, e opções físicas movem quando a rede é lenta demais.Mostrar resposta
Transferência de dados
"Parceiros enviam arquivos por SFTP para o S3" -> Transfer Family. "Sincronizar um compartilhamento NFS com S3 ou EFS periodicamente" -> DataSync. Questões com petabytes e pouca banda ainda apontam para Snowball Edge.
Qual é?Formas gerenciadas de trazer para a AWS dados de aplicações SaaS e de provedores terceiros.Mostrar resposta
AppFlow e Data ExchangeAmazon AppFlow e AWS Data Exchange
"Importar dados do Salesforce para o S3 todo dia sem código" -> AppFlow, não um Lambda próprio. "Assinar um conjunto de dados comercial" -> Data Exchange.
Custos de computação
Qual é?A mesma instância custa valores bem diferentes conforme o jeito de comprar. Escolha a opção pelo quanto a carga é estável, longa e tolerante a interrupção.Mostrar resposta
Opções de compraAmazon EC2 billing and purchasing options
"Carga estável 24/7 por 3 anos, menor preço" -> Savings Plans ou Standard Reserved Instances. "Garantir capacidade em uma AZ para um lançamento, sem compromisso longo" -> On-Demand Capacity Reservation, não Reserved Instance.
Qual é?Os dois trocam compromisso por tarifa menor. Savings Plans se comprometem com um gasto por hora e acompanham a carga, Reserved Instances se comprometem com uma configuração.Mostrar resposta
Savings Plans vs RIsSavings Plans and Reserved Instances
"A carga pode migrar de EC2 para Fargate ou Lambda, ou para outra Region" -> Compute Savings Plans. "Maior desconto, a família da instância não vai mudar" -> EC2 Instance Savings Plans ou Standard RIs. Convertible RIs são o distrator quando aparecem Fargate ou Lambda.
Qual é?Capacidade ociosa do EC2 com até 90% de desconto sobre o On-Demand. O EC2 pode tomá-la de volta a qualquer momento, então a carga precisa tolerar interrupção.Mostrar resposta
Spot InstancesAmazon EC2 Spot Instances
"Job batch, pode recomeçar, menor custo" -> Spot com checkpoints. "Banco de dados que não pode cair" -> nunca Spot. "Manter sempre 2 instâncias e crescer barato" -> mixed instances group com base On-Demand e Spot por cima.
Qual é?Hardware exclusivo resolve exigências de compliance e licenciamento, e Capacity Reservations resolvem capacidade. Nenhum deles é a opção barata por si só.Mostrar resposta
Capacidade dedicadaDedicated Hosts, Dedicated Instances and Capacity Reservations
"Licença cobrada por socket ou por core, continuar usando na AWS" -> Dedicated Hosts. "Só precisa de hardware exclusivo, sem visão de licença" -> Dedicated Instances.
Qual é?Desconto em instância superdimensionada continua sendo desperdício. Ajuste o tamanho e remova recursos ociosos primeiro, depois assuma compromisso com a nova base.Mostrar resposta
RightsizingAWS Compute Optimizer
"Instâncias com média de 10% de CPU, reduzir custo com o menor esforço" -> recomendações do Compute Optimizer e um tamanho menor. "Mesmo desempenho, preço menor, o código roda em Arm" -> Graviton.
Qual é?Serverless elimina o custo ocioso: você paga por requisição e duração, ou por segundo de tarefa. Com carga alta e constante, instâncias bem usadas podem sair mais baratas.Mostrar resposta
Lambda e FargateAWS Lambda and AWS Fargate
"Roda algumas vezes por dia, poucos segundos cada" -> Lambda, não uma instância sempre ligada. "Containers, sem servidores para gerenciar, pode ser interrompido" -> Fargate Spot.
Qual é?Ambientes de não produção raramente precisam rodar de madrugada ou ter disponibilidade de produção. Desligue fora do expediente e rode menor, em menos AZs.Mostrar resposta
Agendamento e hibernaçãoInstance Scheduler on AWS
"Ambiente de dev usado só no horário comercial" -> parar e ligar por agenda com o Instance Scheduler. "Aplicação leva 20 minutos para carregar a memória antes de atender" -> hibernação, não um stop comum.
Custos de armazenamento
Qual é?Classes mais baratas trocam preço de armazenamento por taxas de recuperação, duração mínima e tamanho mínimo cobrado. Essas cobranças escondidas decidem a maioria das respostas.Mostrar resposta
Classes do S3Amazon S3 storage classes
"Milhões de objetos de 20 KB, raramente lidos" -> mantenha no Standard ou agrupe, o mínimo de 128 KB deixa a IA mais cara. "Miniaturas que podem ser recriadas, raramente lidas" -> One Zone-IA.
Qual é?Regras de ciclo de vida descem os objetos pela cascata de classes ou os apagam por agenda, sem código. A agenda precisa respeitar o mínimo de cada classe.Mostrar resposta
S3 LifecycleAmazon S3 Lifecycle
"Logs lidos por 30 dias e guardados 7 anos para auditoria, menor custo" -> transições do Lifecycle até o Deep Archive e expiração em 7 anos. Uma Lambda agendada copiando objetos é o distrator.
Qual é?A classe para padrões de acesso desconhecidos ou que mudam. Move cada objeto entre camadas pelo próprio histórico de acesso, sem taxa de recuperação.Mostrar resposta
Intelligent-TieringAmazon S3 Intelligent-Tiering
"Padrão de acesso desconhecido ou imprevisível, sem esforço operacional" -> Intelligent-Tiering. "Padrão conhecido, quente por 30 dias e depois frio" -> uma regra de Lifecycle, que evita a taxa de monitoramento por objeto.
Qual é?Storage Lens e Storage Class Analysis mostram onde estão os bytes e o desperdício. Requester Pays passa o custo de download para quem lê os dados.Mostrar resposta
Visibilidade no S3S3 Storage Lens, Storage Class Analysis and Requester Pays
"Compartilhar um dataset grande, quem consome paga o download" -> Requester Pays. "Descobrir com que idade os objetos esfriam para ajustar o lifecycle" -> Storage Class Analysis. "Visão de armazenamento e desperdício da organização toda" -> Storage Lens.
Qual é?Armazenamento em bloco é cobrado pelo que você provisiona, não pelo que usa. Escolha o tipo mais barato que atende IOPS e throughput e arquive snapshots antigos.Mostrar resposta
Volumes e snapshots EBSAmazon EBS
"Reduzir custo de EBS, mesmo desempenho, sem parada" -> modificar gp2 para gp3. "Guardar snapshots anuais por compliance, raramente restaurados" -> EBS Snapshots Archive.
Qual é?Armazenamento de arquivos fica bem mais barato quando arquivos frios saem da camada principal. O EFS faz isso com políticas de lifecycle, o FSx com tipo de armazenamento e redução de dados.Mostrar resposta
EFS e FSxAmazon EFS and Amazon FSx
"Arquivos Linux compartilhados, a maioria intocada depois de um mês" -> lifecycle management do EFS para IA ou Archive. "Espaço de trabalho temporário de HPC pelo menor custo" -> FSx for Lustre scratch, não persistente.
Qual é?Quanto mais barato o arquivo, mais lento e caro é o caminho de volta. Escolha a classe pelo prazo que a restauração precisa cumprir, não só pelo preço por GB.Mostrar resposta
Recuperação de arquivoS3 Glacier storage classes
"Arquivo que às vezes precisa voltar em minutos" -> Glacier Flexible Retrieval com Expedited. "Guardado por 10 anos, 48 horas é aceitável, menor custo" -> Glacier Deep Archive. "Raramente lido, mas precisa abrir em milissegundos" -> Glacier Instant Retrieval.
Qual é?Transferência da internet para a AWS é gratuita, então o custo está na ferramenta, no link e no tempo. Escolha pelo volume, pela banda e pelo prazo.Mostrar resposta
Trazendo dadosAWS DataSync and AWS Transfer Family
"Parceiros enviam por SFTP, aposentar o servidor próprio" -> Transfer Family. "Migrar centenas de TB de NFS com sincronização contínua e verificação de integridade" -> DataSync. Questões antigas ainda podem trazer o Snowball Edge como opção offline para datasets enormes com pouca banda.
Custos de rede
Qual é?Na AWS você paga principalmente pelos dados que saem e que cruzam fronteiras. Cada salto de AZ, Region ou internet no caminho pode somar uma cobrança.Mostrar resposta
Preço de transferência
"Reduzir custo de transferência entre a aplicação e o banco" -> mantenha componentes muito conversadores na mesma AZ quando a disponibilidade permitir, ou use cache. Replicação entre Regions só compensa quando DR ou latência exigem.
Qual é?O NAT gateway cobra por hora e por GB processado, então muito tráfego de saída, ou tráfego para serviços da AWS passando pelo NAT, fica caro.Mostrar resposta
NAT gatewaysNAT gateways and NAT instances
"Produção, precisa sobreviver à queda de uma AZ" -> um NAT gateway por AZ ou um regional NAT gateway. "VPC de dev, menor custo" -> um NAT gateway compartilhado. "Conta alta de NAT por causa de tráfego para o S3" -> gateway endpoint do S3.
Qual é?Endpoints tiram o tráfego para serviços da AWS do NAT gateway e da internet. Gateway endpoints são gratuitos, interface endpoints não.Mostrar resposta
VPC endpointsGateway and interface VPC endpoints
"Instâncias privadas enviam TBs ao S3 pelo NAT, reduzir custo" -> gateway endpoint do S3. Um interface endpoint para o S3 é o distrator aqui, ele cobra por hora e por GB.
Qual é?Cache na borda reduz a carga e a saída da origem. Menos requisições chegam ao EC2 ou ao S3, então a origem pode ser menor e transferir menos.Mostrar resposta
CloudFrontAmazon CloudFront
"Usuários no mundo todo baixam os mesmos arquivos estáticos, reduzir custo e latência" -> CloudFront na frente do S3. Instâncias maiores ou replicar buckets em mais Regions são os distratores.
Qual é?O link mais barato depende de volume e banda. A VPN usa a internet e sobe rápido. O Direct Connect cobra horas de porta, mas reduz a saída por GB e dá banda consistente.Mostrar resposta
Direct Connect vs VPNAWS Direct Connect and AWS Site-to-Site VPN
"Move dezenas de TB por mês para o on-premises, precisa de throughput consistente" -> Direct Connect. "Conectar uma filial em poucos dias, pouco volume" -> Site-to-Site VPN. "Precisa de mais de 1,25 Gbps na VPN" -> vários túneis com ECMP num transit gateway.
Qual é?Peering é o caminho mais barato para poucas VPCs. O Transit Gateway soma uma taxa por anexo e por GB em troca de roteamento hub-and-spoke em escala.Mostrar resposta
Transit Gateway vs peeringAWS Transit Gateway and VPC peering
"3 VPCs trocando muito tráfego, menor custo" -> VPC peering. "200 VPCs mais o on-premises, roteamento central" -> Transit Gateway.
Qual é?Leva o tráfego dos usuários para a rede global da AWS por 2 endereços IPv4 anycast estáticos. Compra desempenho e disponibilidade, não reduz custo de transferência.Mostrar resposta
Global AcceleratorAWS Global Accelerator
"Jogo em UDP, IPs estáticos, failover rápido entre Regions" -> Global Accelerator. "Reduzir o custo de servir conteúdo estático" -> CloudFront, não Global Accelerator.
Qual é?Throttling e cache evitam que o backend pague por tráfego que ele não precisa atender.Mostrar resposta
Alavancas do API GatewayAmazon API Gateway
"As mesmas leituras batem na Lambda e no DynamoDB toda hora" -> cache do API Gateway. "Limitar um parceiro a 1.000 requisições por dia" -> cota de usage plan com API key.
Gestão de custos
Qual é?A visão interativa de custo e uso: filtrar, agrupar, comparar períodos e prever. A resposta típica para "analisar para onde vai o dinheiro".Mostrar resposta
Cost ExplorerAWS Cost Explorer
"Visualizar qual serviço causou o aumento do mês passado" -> Cost Explorer. "Ser avisado antes de estourar o gasto" é AWS Budgets, não Cost Explorer.
Qual é?Limites sobre custo, uso ou métricas de compromisso, com alertas sobre valores reais ou previstos e ações automáticas opcionais.Mostrar resposta
BudgetsAWS Budgets
"Bloquear novos recursos automaticamente quando a previsão passar de 90%" -> budget action com política IAM de deny ou SCP. "Avisar quando a utilização de Savings Plans cair abaixo de 80%" -> budget de utilização de Savings Plans.
Qual é?Machine learning que aprende o gasto normal e alerta sobre picos fora do padrão, com análise de causa raiz, sem limites fixos.Mostrar resposta
Anomaly DetectionAWS Cost Anomaly Detection
"Detectar picos inesperados de gasto sem definir limites" -> Cost Anomaly Detection. Um limite fixo de budget é o distrator.
Qual é?Os dados de custo mais detalhados, entregues como arquivos no S3 para Athena, Redshift ou Amazon Quick. O CUR 2.0 no Data Exports é a forma atual do Cost and Usage Report.Mostrar resposta
Data Exports e CURAWS Data Exports
"Dados de custo linha a linha, os mais detalhados, consultados com SQL no Athena" -> CUR 2.0 via Data Exports. O Cost Explorer é o distrator, ele serve para análise interativa, não para arquivos brutos.
Qual é?Tags só viram dimensão de custo depois de ativadas no console de Billing. São a base de showback e chargeback por time, projeto ou ambiente.Mostrar resposta
Cost allocation tags
"Os recursos têm tags, mas o custo por projeto não aparece no Cost Explorer" -> ativar as cost allocation tags no console de Billing. Marcar os recursos de novo é o distrator.
Qual é?Uma fatura para todas as contas da organização, paga pela conta de gerenciamento, com o uso somado para descontos.Mostrar resposta
Faturamento consolidadoConsolidated billing in AWS Organizations
"Várias contas, querem uma fatura única e desconto por volume" -> faturamento consolidado do AWS Organizations. "Impedir que o desconto de RI de uma unidade vá para outras contas" -> restringir ou desligar o compartilhamento de RI e Savings Plans.
Qual é?Ferramentas que acham desperdício no que roda hoje e estimam o que você pretende rodar depois.Mostrar resposta
Recomendações e estimativasTrusted Advisor, Cost Optimization Hub and AWS Pricing Calculator
"Estimar o custo mensal de uma migração planejada" -> AWS Pricing Calculator, não Cost Explorer, que só cobre o que já roda.
Qual é?A conta do banco segue o modelo de capacidade: por requisição, por unidade provisionada, por ACU ou por hora de instância. Escolha conforme a estabilidade da carga.Mostrar resposta
Preço dos bancosAmazon DynamoDB, Aurora and RDS pricing models
"Aplicação nova, tráfego imprevisível, sem planejar capacidade" -> DynamoDB on-demand. "Tráfego estável e conhecido, menor custo" -> provisioned com auto scaling e reserved capacity. "Banco de dev ocioso a maior parte do dia" -> Aurora Serverless v2 escalando a 0 ACUs.