AWS Certified DevOps Engineer Professional (DOP-C02)

AWS Certified DevOps Engineer Professional (DOP-C02) 更新于今天

查看第 5 至第 136 页.
查看第 21-25 至第 680 道题

Disclaimers:

- ExamTopics website is not related to, affiliated with, endorsed or authorized by Amazon.and Azure
- Trademarks, certification & product names are used for reference only and belong to Amazon.and Azure

Topic 1 - Exam A

Question #21 Topic 1

一家公司在AWS帐户中托管一个安全审计应用程序。审核应用程序使用IAM角色访问其他AWS帐户。所有帐户都在AWS组织中的同一组织中。最近的一项安全审计显示，经审计的AWS帐户中的用户可以修改或删除审计应用程序的IAM角色。公司需要防止除受信任的管理员IAM角色之外的任何实体对审核应用程序的IAM角色进行任何修改。哪种解决方案将满足这些要求？

A 创建一个SCP，其中包含一个拒绝语句，用于更改审核应用程序的IAM角色。包括允许受信任的管理员IAM角色进行更改的条件。将SCP连接到组织的根。
B 创建一个SCP，其中包括一个允许语句，用于由受信任的管理员IAM角色更改审核应用程序的IAM角色。包括由所有其他IAM主体进行更改的拒绝语句。在审计应用程序具有IAM角色的每个AWS帐户中，将SCP连接到IAM服务。
C 创建IAM权限边界，该边界包括用于更改审核应用程序的IAM角色的Deny语句。包括允许受信任的管理员IAM角色进行更改的条件。将权限边界附加到已审核的AWS帐户。
D Create an IAM permissions boundary that includes a Deny statement for changes to the auditing application’s IAM role. Include a condition that allows the trusted administrator IAM role to make changes. Attach the permissions boundary to the auditing application's IAM role in the AWS accounts.

正确答案: C
解析: 满足要求的解决方案是创建一个 IAM 权限边界，其中包含一个拒绝语句来阻止对审计应用程序的 IAM 角色进行更改。其中还包括一个条件，允许受信任的管理员 IAM 角色进行更改。这样可以确保只有受信任的管理员 IAM 角色可以修改审计应用程序的 IAM 角色。权限边界应该附加到受审计的 AWS 帐户。

Question #22 Topic 1

一个开发团队想要使用AWS CloudFormation堆栈来部署应用程序。但是，开发人员IAM角色不具备提供AWS CloudFormation模板中指定的资源所需的权限。DevOps工程师需要实现一个允许开发人员部署堆栈的解决方案。解决办法必须遵循最低特权原则。哪种解决方案将满足这些要求？

A 创建IAM策略，允许开发人员提供所需的资源。将策略附加到开发人员IAM角色。
B 创建允许完全访问AWS CloudFormation的IAM策略。将策略附加到开发人员IAM角色。
C 创建一个具有所需权限的AWS CloudFormation服务角色。授予开发人员IAM角色云信息：*操作。在堆栈部署期间使用新的服务角色。
D 创建一个具有所需权限的AWS CloudFormation服务角色。授予开发人员IAM角色IAM:PassRole权限。在堆栈部署期间使用新的服务角色。

正确答案: A
解析: 这个问题的答案是A。解释是，满足要求的解决方案是创建一个允许开发人员部署所需资源的IAM策略，并将该策略附加到开发人员IAM角色。这样确保开发人员有足够的权限来部署AWS CloudFormation堆栈。

Question #23 Topic 1

开发团队使用AWS CodeCommit对应用程序进行版本控制。开发团队使用AWS CodePipeline、AWS CodeBuild。以及用于CI/CD基础设施的AWS CodeDeploy。在CodeCommit中，开发团队最近合并了未通过代码库中长期运行测试的pull请求。开发团队需要对代码库中的分支执行回滚，这导致了时间的损失和精力的浪费。DevOps工程师必须在CodeCommit中自动测试拉取请求，以确保审核人员更容易地将自动测试的结果作为拉取请求审核的一部分。DevOps工程师应该做些什么来满足这一要求？

A 创建一个对pullRequestStatusChanged事件作出反应的Amazon EventBridge规则。创建一个AWS-Lambda函数，该函数通过运行应用程序测试的CodeBuild操作调用CodePipeline管道。对Lambda函数进行编程，将CodeBuild徽章作为pull请求上的注释发布，以便开发人员在代码评审中看到徽章。
B 创建一个对pullRequestCreated事件作出反应的Amazon EventBridge规则。创建一个AWS-Lambda函数，该函数通过运行应用程序测试的CodeBuild操作调用CodePipeline管道。编程Lambda函数以在测试结果完成时将CodeBuild测试结果作为拉取请求的注释发布。
C 创建一个对pullRequestCreated和pullRequestSourceBranchUpdated事件作出反应的Amazon EventBridge规则。创建一个AWS-Lambda函数，该函数通过运行应用程序测试的CodeBuild操作调用CodePipeline管道。对Lambda函数进行编程，将CodeBuild徽章作为pull请求上的注释发布，以便开发人员在代码评审中看到徽章。
D 创建一个对pullRequestStatusChanged事件作出反应的Amazon EventBridge规则。创建一个AWS-Lambda函数，该函数通过运行应用程序测试的CodeBuild操作调用CodePipeline管道。编程Lambda函数以在测试结果完成时将CodeBuild测试结果作为拉取请求的注释发布。

正确答案: D
解析: DevOps工程师应该创建一个Amazon EventBridge规则，以对pullRequestStatusChanged事件做出反应。当拉取请求的状态发生更改时，包括测试完成时，将触发此事件。然后，工程师应该创建一个AWS Lambda函数，调用一个CodePipeline流水线，其中包含一个CodeBuild操作来运行应用程序的测试。最后，应该编程Lambda函数，在测试结果完成时将CodeBuild测试结果作为评论发布到拉取请求上。这种方法确保审阅者能够轻松地查看作为拉取请求审阅的一部分的自动化测试结果。

Question #24 Topic 1

一家公司正在对许多账户中的所有亚马逊EC2实例进行漏洞扫描。账户在AWS组织中的一个组织中。每个帐户的VPN都连接到一个共享的传输网关。VPC通过中央出口VPC向互联网发送流量。该公司已在授权管理员帐户中启用亚马逊检查员，并已启用对所有成员帐户的扫描。一位DevOps工程师发现，一些EC2实例列在Amazon Inspector的“未扫描”选项卡中。DevOps工程师应该采取哪种行动组合来解决这个问题？（选择三个。）

A 验证AWS Systems Manager Agent是否已安装并在Amazon Inspector未扫描的EC2实例上运行。
B 将目标EC2实例与允许在端口443上与AWS Systems Manager服务端点进行出站通信的安全组相关联。
C 将检查器：StartAssessmentRun权限授予DevOps工程师正在使用的IAM角色。
D 为Amazon Inspector未扫描的EC2实例配置EC2实例连接。
E 将目标EC2实例与授予与AWS Systems Manager通信权限的实例配置文件相关联。
F 创建托管实例激活。使用激活码和激活ID注册EC2实例。

正确答案: ACE
解析: 答案：A，C，E 解释：DevOps工程师需要验证未在Amazon Inspector中进行扫描的EC2实例上是否安装并运行了AWS系统管理器代理（选项A）。这是Inspector执行扫描所必需的。工程师还应该为正在使用的IAM角色授予inspector:StartAssessmentRun权限（选项C），以允许Inspector启动评估运行。最后，工程师应将目标EC2实例与授予与AWS系统管理器通信权限的实例配置文件进行关联（选项E），以使Inspector和实例之间可以进行通信。

Question #25 Topic 1

一家快速发展的公司希望扩展AWS开发环境的开发者需求。开发环境是在AWS管理控制台中手动创建的。网络团队使用AWS CloudFormation来管理网络基础设施，导出亚马逊专有网络和所有子网的堆栈输出值。开发环境具有通用标准，例如应用程序负载均衡器、AmazonEC2自动缩放组、安全组和AmazonDynamoDB表。为了满足需求，DevOps工程师希望自动化开发环境的创建。因为支持应用程序所需的基础设施预计会增长，所以必须有一种方法可以轻松地更新已部署的基础设施。CloudFormation将用于创建开发环境的模板。哪种方法可以满足这些要求并快速为开发人员提供一致的AWS环境？

A 使用模板的资源部分中的Fn:：ImportValue内部函数来检索虚拟专用云（VPC）和子网值。将CloudFormation StackSets用于开发环境，使用Count输入参数指示所需的环境数量。使用UpdateStackSet命令可以更新现有的开发环境。
B Use nested stacks to define common infrastructure components. To access the exported values, use TemplateURL to reference the networking team’s template. To retrieve Virtual Private Cloud (VPC) and subnet values, use Fn::ImportValue intrinsic functions in the Parameters section of the root template. Use the CreateChangeSet and ExecuteChangeSet commands to update existing development environments.
C 使用嵌套堆栈来定义通用基础结构组件。使用Fn:：ImportValue内在函数和嵌套堆栈的资源来检索虚拟私有云（VPC）和子网值。使用CreateChangeSet和ExecuteChangeSet命令来更新现有的开发环境。
D 使用根模板的参数部分中的Fn:：ImportValue内部函数来检索虚拟专用云（VPC）和子网值。按照需要在CloudFormation嵌套堆栈中创建的顺序定义开发资源。使用CreateChangeSet。和执行ChangeSet命令来更新现有的开发环境。

正确答案: B
解析: 选择了选项B，因为它建议使用嵌套堆栈来定义公共基础架构组件，这样可以轻松地更新已部署的基础架构。它还提到使用Fn::ImportValue内部函数来检索VPC和子网值，并使用CreateChangeSet和ExecuteChangeSet命令来更新现有的开发环境。