AWS SAA-C03 备考知识点整理

基于完整题库（1150题）系统分析 · 2026年版

网络与连接

VPC 端点（Endpoint）

核心考点：

• EC2 访问 S3/DynamoDB 不走互联网 → S3/DynamoDB 网关端点（免费）
• EC2 访问 Systems Manager（无互联网）→ 接口 VPC 端点
• 减少 NAT 网关流量费用 → 网关端点替代 NAT
• S3 网关端点不支持安全组，用端点策略限制访问
• 安全访问 S3：VPC 网关端点 + S3 存储桶策略（双重限制）

❌ 陷阱：接口端点比网关端点贵；S3 和 DynamoDB 用网关端点，不是接口端点（除非需要 PrivateLink/跨 VPC 对等访问）

混合连接

高可用混合架构（高频考点）：

• 主连接：Direct Connect（低延迟）
• 备用：Site-to-Site VPN（成本低，容忍速度下降）
• ❌ 不推荐两条 DX 作主备（成本高）

Direct Connect 高弹性：

• 两个不同位置的 DX 连接 = 高弹性
• 单个 DX + VPN 备份 = 成本效益最优

Transit Gateway

• 连接多个 VPC + 本地数据中心的枢纽（Hub-and-Spoke）
• 解决 VPC Peering 数量增多难以管理的问题
• 架构：本地数据中心 → Direct Connect → Transit Gateway ← 各 VPC
• 场景：多 VPC 互通 + 单条 DX 连本地 → Transit Gateway

VPC Peering（对等连接）

• 两个 VPC 之间的私有连接
• 不支持传递路由（A-B-C 不能通过 B 连通 A 与 C）
• 适合少量 VPC；大量 VPC 用 Transit Gateway

NAT 网关 vs NAT 实例

高可用 NAT 架构： 每个 AZ 的公有子网部署一个 NAT 网关，私有子网路由表指向同 AZ 的 NAT 网关

安全组 vs 网络 ACL

典型安全组配置：

• Web 层：允许 0.0.0.0/0 : 443（HTTPS 入站）
• DB 层（MySQL）：允许 Web层安全组 ID : 3306（最小权限）
• DB 层（SQL Server）：允许 Web层安全组 ID : 1433

堡垒主机（Bastion Host）：

• 堡垒主机安全组：仅允许公司外部 IP 段 SSH 入站
• 应用实例安全组：仅允许堡垒主机私有 IP 或安全组 SSH 入站

AWS PrivateLink

• 为 SaaS 服务提供私有连接（不经过公共互联网）
• 服务提供方：NLB 后端 + 创建 VPC 端点服务
• 服务使用方：创建接口 VPC 端点访问

IPv6 与子网

• AWS VPC 总是同时启用 IPv4（双栈），无纯 IPv6 VPC
• 子网 CIDR 耗尽 → 添加辅助 IPv4 CIDR 块（不是改为 IPv6）

负载均衡

三种负载均衡器对比

关键选择逻辑

• UDP 协议 → NLB
• 需要静态 IP → NLB 或 Global Accelerator
• HTTP 应用健康检查（检测 HTTP 错误） → ALB（NLB 只做 TCP 层检查）
• HTTP → HTTPS 重定向 → ALB 监听器规则
• SSL 终止（卸载 EC2 的 SSL 压力） → 将证书导入 ACM → 配置 ALB HTTPS 监听器
• 基于查询字符串/主机头路由 → ALB 高级路由规则

❌ 陷阱：

• NLB 不能检测 HTTP 应用层错误，HTTP 健康检查需要 ALB
• ❌ 网络 ACL 不能做 HTTP→HTTPS 重定向

SSL/TLS 证书

• 第三方 CA 证书 → 导入 ACM → 应用到 ALB → 通过 EventBridge + SNS 通知即将到期 → 手动轮换
• ACM 颁发证书 → 支持自动续期
• 证书到期通知 → AWS Config 规则（acm-certificate-expiration-check）+ SNS

粘性会话（Sticky Session）

• ALB 支持粘性会话（将同一用户请求路由到同一后端）
• 电商交易中保持会话一致性 → ALB 粘性会话 + ElastiCache 持久化会话

计算服务

EC2 实例系列

• 内存密集任务性能问题 → 换用 R 系列实例
• 临时文件最快存储（亚毫秒） → EC2 实例存储（NVMe）（非持久化）
• HPC 亚毫秒延迟批量处理 → 实例存储（I 系列）

EC2 置放群组

HPC 低延迟节点通信 → 集群置放群组

Lambda 核心限制（高频考点！）

• 最大运行超时：15 分钟
• 超过 15 分钟的任务 ❌ 不能用 Lambda → 用 EC2 Spot 或 AWS Batch 或 Fargate
• Lambda 默认不在 VPC 中，若需要访问 VPC 内资源需配置 VPC
• Lambda 并发大量连接数据库 → 用 RDS Proxy
• CloudWatch 不采集 Lambda 内存指标（但 Lambda 有内置内存配置监控）
• Lambda 最大内存：10 GB（适合 ML 模型加载）
• 冷启动问题 → Provisioned Concurrency（预置并发）

Auto Scaling

扩展策略类型：

• 目标跟踪：保持指标在目标值（如 CPU 40%）
• 步进扩展：按阈值级别扩展
• 预定扩展：按计划时间扩展（已知高峰如批处理作业）
• 预测扩展：基于 ML 预测流量模式（周期性流量）

生命周期钩子（Lifecycle Hooks）：

• 实例启动/终止前执行自定义操作
• 场景：实例启动后向审计系统发送报告

EC2 容量预留

• 按需容量预留（On-Demand Capacity Reservation）：在特定 AZ 预留容量，无需长期承诺
• 适合：特定活动保证 EC2 容量（1 周活动）→ 容量预留（非预留实例）

EBS 卷类型

• 可配置且独立于容量的 IOPS → gp3 或 io1/io2
• 需要跨多个 EC2 共享块设备 → EBS Multi-Attach（仅 io1/io2，同 AZ）
• EBS 加密默认：账户级别开启默认加密 → 所有新建卷自动加密

存储服务

S3 存储类对比

常见生命周期场景：

• 前 30 天频繁访问，之后不频繁但须立即检索，保留 4 年 → Standard → Standard-IA（30天后）
• 2 年内高可用，之后归档 25 年 → Standard → Glacier Deep Archive（2年后）
• 访问模式未知，文件 ≥ 128 KB → S3 Intelligent-Tiering
• 日志保留 10 年，1 个月后不常访问 → S3 + 生命周期 → Glacier Deep Archive（30天后）
• 每月初访问，不规则 → Aurora Serverless 或 DynamoDB On-Demand（数据库场景）

S3 数据保护

S3 Object Lock（对象锁）

• 必须先启用版本控制
• 合规模式（Compliance）：任何用户（包括 root）在保留期内不可删除/修改 → 法规要求
• 治理模式（Governance）：有特定权限的用户可覆盖保留期
• 合法保留（Legal Hold）：无固定保留期，直到明确移除

S3 Requester Pays：

• 数据请求方承担流量费用 → 共享大型数据集

S3 预签名 URL：

• 为无 AWS 凭证的用户提供临时、有限时间的访问
• 适合向外部合作方提供 S3 文件下载

S3 Object Lambda：

• 在数据返回请求应用之前，用 Lambda 修改数据（如屏蔽 PII）
• 无需维护多个数据副本

S3 Transfer Acceleration

• 利用 CloudFront 边缘节点加速全球上传到 S3
• 每个站点有高速网络 + 全球数据汇聚 → S3 Transfer Acceleration

CloudFront + S3 访问控制

• 仅通过 CloudFront 访问 S3（禁止直接 S3 URL）→ OAI（源访问身份） 或 OAC（源访问控制）
• CloudFront 字段级加密（Field-Level Encryption）：保护特定敏感字段在整个处理链中

文件存储服务对比

选择逻辑：

• SMB + 全托管 → FSx for Windows
• Linux 多实例共享 + POSIX → EFS
• HPC 并行高性能 → FSx for Lustre
• NFS + SMB 双协议（Linux+Windows 混合） → FSx for ONTAP
• 本地应用低延迟访问 + 云端备份（SMB/NFS） → Storage Gateway 文件网关

Storage Gateway 类型

• 只需最近访问数据本地 + 其余在云 → 卷网关缓存模式
• iSCSI + 本地低延迟 + 云备份 → 卷网关

数据库服务

RDS 高可用与性能

Multi-AZ 部署：

• 同步复制到备用实例
• 自动故障转移（通常 < 2 分钟，RDS PostgreSQL Multi-AZ 集群 < 35秒，甚至 < 1 秒 RPO）
• 备用实例不接受读流量（仅容灾）

只读副本（Read Replica）：

• 异步复制，可跨区域
• 主要用途：分流读负载、报告查询
• 创建读副本前需：① 启用自动备份（保留期 > 0）② 等待长事务完成

RDS Proxy：

• 场景：Lambda 大量并发 / 无服务器应用 导致数据库连接数耗尽
• 原理：连接池化，减少直接连接数
• 故障转移时间减少最多 66%

RDS 加密

未加密 RDS 加密流程（必考！）：

1. 创建现有实例的快照
2. 复制快照时启用加密（创建加密副本）
3. 从加密快照恢复新数据库实例
4. 将应用迁移到新加密实例

❌ 不能在现有实例上直接启用加密（创建后不能修改）

Aurora 特有功能

• 开发/测试需要生产数据 → Aurora 数据库克隆（快速，数分钟）
• 全球多区域写入 → Aurora Global Database
• 间歇性使用的 MySQL 兼容数据库 → Aurora Serverless

DynamoDB

容量模式：

备份方式：

DynamoDB 其他关键特性：

• DAX（DynamoDB Accelerator）：内存缓存，微秒延迟，无需修改应用代码
• DynamoDB Streams：捕获表变更 → 触发 Lambda（消费流数据）
• TTL（Time To Live）：自动删除过期项目，减少存储成本
• Global Tables：多区域主动-主动，但数据损坏时无效（需 PITR 备份）

ElastiCache

• 读取密集型，减少 RDS 负载 → ElastiCache
• 会话管理（Session Store）→ ElastiCache for Redis
• 排行榜（亚毫秒）→ ElastiCache for Redis

❌ 若数据是动态新数据（如新上映电影数量），不适合 ElastiCache；应用只读副本

Redshift

• 列式存储数据仓库，适合 PB 级 OLAP 分析
• 流式摄取：直接从 Kinesis Data Streams 摄取
• ❌ 不适合少量数据（GB 级）的简单 SQL 查询（用 Athena 更便宜）

安全与加密

Secrets Manager vs Parameter Store

凭证不硬编码 + 自动轮换 → AWS Secrets Manager（高频考点！）

KMS 加密

SSE-KMS 与 CMK：

• 自动轮换：启用后每 365 天自动生成新加密材料
• 旧加密材料永久保留（解密历史数据）
• 审计密钥使用：CloudTrail

S3 加密方式：

需要审计 + 年度轮换 → SSE-KMS + CMK 自动轮换

IAM 最佳实践

• 不使用 root 用户（root 只用于首次设置）
• 为 EC2 附加 IAM 角色（不是 IAM 用户凭证）
• 为 Lambda 创建 IAM 执行角色（包含 Lambda 为可信服务）
• 最小权限原则：只授予需要的权限
• IAM 策略不直接附加用户（通过组管理）

IAM 策略评估顺序：

• 显式 Deny 优先于所有 Allow
• 默认拒绝所有（隐式 Deny）

WAF / Shield / Firewall Manager

• 跨账户/跨区域统一 WAF → Firewall Manager
• 阻止 CIDR 范围的 IP → 网络 ACL（安全组不支持拒绝规则）
• 速率限制（Rate Limiting） → WAF 基于速率规则
• DDoS 保护 + ELB/EC2/CloudFront → Shield Advanced

ACM 证书

• ACM 颁发证书：支持自动续期，部署到 ALB/CloudFront/API Gateway
• 导入第三方证书：不支持自动续期，需手动轮换
• 证书必须与 API Gateway 在同一区域（区域 API）

Organizations 与 SCP

• SCP（服务控制策略）：限制成员账户最大可用权限
• 限制区域（如只用 ap-northeast-3）→ SCP 拒绝其他区域
• 禁止 VPC 连接互联网 → SCP
• 多账户 SSO + 本地 AD → AWS IAM Identity Center（SSO）+ AD Connector/Managed AD

AMI 跨账户共享（含加密）

1. 修改 AMI 的 launchPermission，仅与目标账户共享
2. 修改 KMS 密钥策略，允许目标账户使用该密钥
3. 目标账户可使用 AMI 启动实例

消息队列与事件驱动

SQS 标准队列 vs FIFO 队列

可见性超时（Visibility Timeout）：

• 消费者处理期间消息对其他消费者不可见
• 若处理超时 → 消息重新可见 → 重复处理
• 解决重复处理：增大可见性超时（ChangeMessageVisibility）
• ❌ 错误：消息未重复时不需要 FIFO 队列

SQS 优先级队列：

• 付费用户优先 → 两个独立 SQS 队列（付费+免费），消费者优先轮询付费队列

SQS 扩展客户端（Extended Client Library）：

• SQS 消息最大 256 KB
• 大消息（最大 2 GB）→ 消息存 S3，SQS 存引用

SQS 长轮询（Long Polling）：

• 减少空请求，降低成本

SNS

• 扇出（Fan-out）：一条消息推送给多个 SQS/Lambda/HTTP 目标
• SNS FIFO：保证消息顺序（与 SQS FIFO 结合使用）
• SNS 调用 Lambda 失败 → 配置 SQS 作为死信队列（DLQ） 持久化未处理消息

Amazon MQ

• 迁移本地 RabbitMQ / ActiveMQ 的托管方案
• 支持**活动/备用（Active/Standby）**跨 AZ 高可用
• 比自建 EC2 上的 MQ 运维开销更低

Kinesis

实时数据摄取（最小运维）：

1

API Gateway → Kinesis Data Streams → Kinesis Data Firehose（Lambda 转换）→ S3

❌ 陷阱：

• Kinesis 是流式服务，不适合月度批量报告
• Kinesis Firehose 无法直接写入 DynamoDB（只能写 S3/Redshift/OpenSearch）
• Kinesis 默认保留 24 小时，超过 24 小时需扩展保留期

EventBridge

• 比 S3 事件通知功能更强：支持更多目标（SageMaker、Step Functions 等）、事件过滤
• 定时任务 → EventBridge 规则（cron/rate）+ Lambda
• 跨账户事件路由

Step Functions

• 协调多个 Lambda / AWS 服务的工作流
• 支持人工审批步骤
• 替代复杂 Lambda 嵌套，提供可视化工作流

数据迁移与传输

服务选择矩阵

Snowball 系列

容量计算示例：

• 150 TB，100 Mbps 夜间带宽（6 小时 ≈ 2.1 TB/天）→ 需 2 个 Snowball Edge
• 50 TB，无网络带宽 → Snowball Edge + AWS Glue ETL

AWS DataSync

• 完全托管的数据传输服务
• 支持：本地 NFS/SMB/S3 → AWS（EFS/FSx/S3）
• 支持跨 AWS 区域传输（NFS ↔ NFS）
• 可通过 Direct Connect 传输（安全、可靠）
• 内置加密和完整性验证

❌ 陷阱：DMS 用于数据库，文件迁移用 DataSync

AWS DMS（数据库迁移服务）

• 同构（MySQL → MySQL）和异构（Oracle → Aurora）迁移
• 支持持续复制（CDC）：迁移过程中源数据库保持在线
• 与 SCT（Schema Conversion Tool） 配合异构迁移

AWS Glue

• 无服务器 ETL 服务
• 支持 CSV → Parquet 转换
• Glue 作业书签（Job Bookmark）：避免重复处理已处理数据
• Glue 数据目录：元数据存储，与 Athena/Redshift Spectrum 集成

CDN与全球加速

CloudFront vs Global Accelerator

关键选择：

• UDP + 静态 IP + 路由到最近边缘 → Global Accelerator + NLB
• 全球用户访问静态/动态内容、降低延迟 → CloudFront
• CloudFront 支持自定义源（Custom Origin）：可指向本地服务器、ALB 等

Route 53 路由策略

• 返回所有健康 EC2 实例 IP → 多值应答路由
• 主站故障切换到 S3 静态页面 → Route 53 主动-被动故障转移
• 不同国家用户访问不同内容 → 地理位置路由
• 全球用户访问最近区域 → 延迟路由
• Canary 发布 API → 加权路由

CloudFront 高级功能

• Lambda@Edge：在边缘节点运行 Lambda，处理 Viewer/Origin 请求（图像调整、A/B 测试）
• 签名 URL / 签名 Cookie：限制内容访问
  • 签名 URL：不支持 Cookie 的客户端（每个文件一个 URL）
  • 签名 Cookie：需要访问多个文件，无法更改 URL
• 字段级加密（Field-Level Encryption）：保护特定字段（如信用卡号）
• WAF + CloudFront：SQL 注入、XSS 防护，需在 us-east-1 创建 WAF

监控与运维

CloudWatch

CloudWatch 默认不采集的指标（需 CloudWatch Agent）：

• EC2 内存使用率
• EC2 磁盘空间（实例存储）
• 进程数量

告警类型：

• 标准告警：基于单个指标
• 复合告警（Composite Alarm）：组合多个告警条件（AND/OR），减少误报
• 场景：CPU > 50% AND 磁盘读 IOPS 高 → 才告警 → 复合告警

CloudWatch Logs 订阅：

• 实时推送到 OpenSearch → CloudWatch Logs 订阅过滤器（最小运维）

AWS CloudTrail

• 记录所有 AWS API 调用（操作者、时间、IP）
• 审计 IAM 用户的操作 → CloudTrail
• 审计 KMS 密钥使用 → CloudTrail
• 配置变更 + API 历史 → CloudTrail + AWS Config

AWS Config

• 评估 AWS 资源配置合规性
• 内置规则：acm-certificate-expiration-check、S3 公共访问检查等
• 不合规 → Config → EventBridge → SNS/Lambda
• 确认哪些 IAM 用户策略直接附加到用户 → Config 规则

AWS Systems Manager

• Session Manager：无需 SSH 密钥，浏览器/CLI 安全连接 EC2
• Patch Manager：批量修补 OS 漏洞
• Parameter Store：存储配置参数（加密或明文）
• 使用 Systems Manager 管理 EC2 → 需要 接口 VPC 端点（无互联网访问时）

成本监控

• AWS Cost Explorer：查看历史成本，预测，RI 推荐
• AWS Budgets：设置预算告警（超过阈值通知）→ 监控 EC2 使用量超出阈值
• AWS Trusted Advisor：最佳实践建议（RI 推荐、安全检查等）
• S3 Storage Lens：分析 S3 访问模式，识别不常访问的存储桶

AWS Inspector

• 自动安全评估（漏洞扫描）
• 与 Patch Manager 配合：Inspector 扫描 → Patch Manager 修补

大数据与分析

分析服务对比

常见分析架构：

• 月度成本报告（S3 数据）→ Athena（Kinesis 是流式，不适合月度）
• 每天 3 GB，< 10 次查询 → DMS → S3 + Athena（比 Redshift 便宜）
• 实时流数据 → Kinesis Data Streams → Lambda/Analytics
• 点击流分析（30TB/天）→ Kinesis → Redshift 流式摄取

Athena 性能优化（考点）

• 使用列式格式（Parquet、ORC）→ 减少扫描数据量
• 按日期/区域分区（Partition）→ 减少扫描分区
• 压缩文件
• 避免大量小文件（合并为较大文件，< 128 MB 的小文件影响性能）

QuickSight 访问控制

• 管理账户控制用户仪表盘访问
• 与 S3、Athena、RDS、Redshift 集成
• 分享仪表盘给特定用户（无需 AWS 账户）→ QuickSight 仪表盘共享

Amazon Macie

• 自动发现和保护 S3 中的 PII（个人身份信息）
• 发现 PHI/PII → 发布到 EventBridge → 触发 SNS 通知

容器与无服务器架构

ECS vs EKS

• 现有 Kubernetes 集群迁移，不改代码 → EKS
• 最小运维的容器部署 → ECS + Fargate

Fargate

• 无需管理底层 EC2的容器运行时
• 配合 ECS 或 EKS 使用
• 自动扩缩（Application Auto Scaling）
• 容器化应用 + 最小运维开销 → ECS + Fargate + ALB

典型无服务器架构

1
2
3
4
5

用户 → API Gateway → Lambda → DynamoDB
                           ↓
                          S3（文件存储）
                           ↓
                     RDS Proxy → Aurora（需要关系型）

静态网站无服务器：

1

S3（静态托管）→ CloudFront（HTTPS）→ Route 53

Elastic Beanstalk

• 全托管 PaaS，支持 Java/PHP/Python/.NET/Docker 等
• 自动处理容量、负载均衡、Auto Scaling、健康监控
• 支持 URL 交换（蓝绿部署）
• 适合：快速部署且需要最小运维的 Web 应用

AWS Batch

• 全托管批处理服务
• 适合：超过 15 分钟的批处理作业（Lambda 超时限制）
• 根据作业大小和数量自动扩展 EC2/Spot

成本优化

EC2 购买方式

Savings Plans 类型：

• EC2 Instance SP：72% 折扣，限定实例系列+区域
• Compute SP：66% 折扣，自动适用于 EC2/Fargate/Lambda

常见组合策略：

• 生产（稳定运行）→ 预留实例 或 EC2 Instance Savings Plans
• 弹性扩展部分 → 按需实例（不用 Spot，生产不可中断）
• 可中断批处理（> 15 分钟）→ Spot
• Fargate + Lambda 的前端/API（可预测）→ Compute Savings Plans
• 最小容量（始终需要）→ 预留实例；峰值扩展 → 按需

RDS/Aurora 成本优化

• 非生产数据库（白天 12 小时访问）→ EventBridge + Lambda 定时启停 RDS
• 按月运行测试，其余时间不用 → 手动快照 + 删除实例 + 从快照恢复（比停止更省）
• 开发数据库 → Aurora Serverless（按使用付费）

S3 成本优化

• 不知道访问模式 → S3 Intelligent-Tiering
• 已知访问模式 → S3 生命周期策略（精确转换）
• 共享数据但不想承担流量费 → Requester Pays
• 减少 NAT 网关 S3 流量费 → S3 网关端点

灾难恢复与高可用

DR 策略级别

Route 53 故障转移

主动-被动（Failover）：

• 健康主站 → 流量全到主站
• 主站失败 → 切换到备用（S3 静态页/备用区域）
• 适合：DR 场景，备用不需要处理正常流量

主动-主动：

• 两边同时处理流量
• 使用延迟/地理位置/加权路由

多 AZ vs 多 Region

多 AZ（同区域高可用）：

• RDS Multi-AZ：同区域自动故障转移
• Auto Scaling 跨 AZ：实例均衡分布

多 Region（跨区域灾备）：

• Aurora Global Database：跨区域读副本，故障切换
• Route 53 故障转移：健康检查 + 切换
• DynamoDB Global Tables：多区域主动-主动

RPO/RTO 对应方案

AWS Backup

• 统一管理 EC2/EBS/RDS/DynamoDB/EFS/Aurora 的备份
• 支持跨区域备份（DR）
• 生命周期策略：N 天后转冷存储，M 天后过期
• DynamoDB 保留 7 年 → AWS Backup（PITR 只有 35 天）

AI/ML 服务

关键考点：

• 从 PDF/JPEG 识别 PHI → Textract（提取文字）+ Comprehend Medical（识别 PHI）
• ❌ Rekognition 不能提取 PDF 文字
• 图片审核（不适当内容）→ Rekognition
• 多说话人语音转文字 → Transcribe（支持 Speaker Diarization）
• 音频文件 PII 编辑 → Transcribe（内置 PII 编辑功能）

⚡ 高频解题关键词速查表

架构关键词 → 方案

最小运维开销 → 优先托管服务

1
2
3
4

托管程度（从低到高）：
EC2 自管 < Elastic Beanstalk < ECS+EC2 < ECS+Fargate（无 EC2）< Lambda（无服务器）
RDS 自管 < RDS < Aurora < Aurora Serverless
SQS/SNS 完全托管，优于 EC2 上自建 RabbitMQ/ActiveMQ → 选 Amazon MQ

常见陷阱汇总（❌ 避坑）

📌 备考建议：

1. 重点关注服务边界：Lambda 15分钟限制、SQS 256KB 限制、Kinesis 非月度报告等
2. “最小运维开销” = 优先选全托管/无服务器方案
3. “最经济高效” ≠ “最小运维”，要综合考虑
4. 多选题（选两个）：两个选项要互补，共同解决问题
5. 熟记 RDS 加密流程、VPC 端点类型、S3 存储类转换条件 等硬性知识点