Valida habilidades en la construcción de pipelines de datos, operaciones ETL y diseño de data lakes en AWS.
AWS Glue, Lambda, Kinesis, Amazon EMR, Step Functions
Amazon S3, Redshift, DynamoDB, Lake Formation, Apache Iceberg
CloudWatch, CloudTrail, Athena, QuickSight, Pipelines de Automatización
IAM, KMS, Macie, Catálogo de Datos Glue, RBAC
Prueba preguntas tipo examen del conjunto de muestra gratuito. Cada respuesta incluye una explicación completa.
Debido a los requisitos de auditoría de los reguladores financieros, una empresa debe retener un historial de 90 días de todos los accesos y operaciones de manipulación de datos (como la eliminación de objetos, los cambios en las políticas de bucket y las descargas de datos) en los buckets de Amazon S3, y poder enviar este historial durante las auditorías.
¿Qué servicio de AWS debe habilitarse para cumplir estos requisitos sin cambios adicionales en el código de la aplicación?
Respuesta: C. AWS CloudTrail
El punto clave en esta pregunta es que la empresa debe retener un historial de 90 días de todos los accesos y operaciones de manipulación de datos en los buckets de S3 y poder enviarlo durante las auditorías, y debe cumplir estos requisitos sin cambios adicionales en el código de la aplicación. AWS CloudTrail registra automáticamente todas las llamadas a la API dentro de la cuenta de AWS y rastrea todas las operaciones de S3, incluidas GetObject (descarga), DeleteObject (eliminación) y PutBucketPolicy (cambios en la política del bucket) sin cambios de código. Los registros de CloudTrail se pueden almacenar en un bucket de S3 y retener durante el período deseado, cumpliendo el requisito de 90 días.
!image
AWS CloudTrail registra eventos de administración (operaciones del plano de control, como la creación de buckets y los cambios de políticas) y eventos de datos (operaciones a nivel de objeto, como GetObject, PutObject y DeleteObject). CloudTrail Lake permite retener datos de eventos durante hasta 7 años y consultar con SQL. Los eventos de administración se registran automáticamente de forma predeterminada, mientras que los eventos de datos deben habilitarse explícitamente. Todo el registro se realiza automáticamente a nivel de cuenta de AWS, sin necesidad de modificaciones en el código de la aplicación.
Para las preguntas de registro de auditoría, distinga precisamente los propósitos de los servicios. Si el requisito es auditar llamadas a la API y rastrear el historial de acceso, elija AWS CloudTrail. Si es rastrear el historial de cambios de configuración de recursos, elija AWS Config. Si se necesita identificación de PII y clasificación de datos, Amazon Macie es la respuesta. Los registros de acceso al servidor de S3 son registros a nivel de solicitud HTTP, separados de la auditoría de API de CloudTrail.
Una empresa de servicios de datos financieros opera una API de análisis de datos interno a través de Amazon API Gateway. Esta API solo debe invocarse desde cuentas AWS específicas y dominios aprobados, bloqueando todos los demás accesos.
¿Cuál es la configuración de seguridad de API Gateway más adecuada para restringir las cuentas y dominios accesibles a nivel de API sin una capa de autenticación adicional?
Respuesta: C. Política de recursos
Para seleccionar la respuesta correcta, primero es necesario comprender los mecanismos de control de acceso disponibles en API Gateway. Los requisitos principales en este escenario son permitir solo cuentas AWS específicas y dominios aprobados a nivel de API sin una capa de autenticación adicional. La política de recursos de API Gateway es un documento de política IAM basado en JSON que controla explícitamente el acceso basándose en cuentas AWS, rangos de direcciones IP, VPC y endpoints de VPC, cumpliendo perfectamente estos requisitos.
!image
Las políticas de recursos funcionan bloqueando el acceso antes de que API Gateway procese la solicitud. Claves de condición como aws:SourceAccount, aws:SourceVpc y aws:SourceIp permiten especificar con precisión las cuentas AWS y rangos de IP permitidos. No se requiere lógica de autenticación basada en credenciales de usuario (como una función Lambda o integración con grupo de usuarios de Cognito), lo que mantiene la configuración simple.
El autorizador de grupos de usuarios Cognito (Opción 1) y el autorizador personalizado Lambda (Opción 2) introducen una capa de autenticación adicional, lo que no coincide con los requisitos. Las claves de API y los planes de uso (Opción 4) son herramientas de limitación y monitoreo de uso, no mecanismos de control de acceso basados en cuenta o dominio.
Una función AWS Lambda que realiza tareas de transformación de datos está experimentando problemas de tiempo de espera al procesar archivos JSON de gran tamaño.
¿Qué configuración de Lambda debe ajustarse para mejorar la velocidad de ejecución de la función sin cambiar la lógica del código?
Respuesta: C. Aumentar la asignación de memoria de Lambda
Esta pregunta evalúa si puede identificar la configuración de Lambda que mejora la velocidad de procesamiento sin cambios en el código. En Lambda, la memoria y el vCPU están vinculados — aumentar la asignación de memoria aumenta automática y proporcionalmente el vCPU asignado a la función. Ajustar solo la configuración mejora la velocidad de procesamiento sin ningún cambio en el código, lo que lo convierte en la solución más directa para problemas de tiempo de espera al procesar archivos JSON de gran tamaño.
!image
La memoria de Lambda se puede configurar de 128 MB a 10,240 MB (10 GB), con un vCPU completo asignado a 1,792 MB. Por encima de 1,792 MB, se asignan múltiples vCPUs, lo que proporciona beneficios adicionales de rendimiento para el código que admite procesamiento paralelo. Dado que aumentar la memoria también aumenta los costos de ejecución, se recomienda usar la herramienta Lambda Power Tuning para encontrar la configuración de memoria óptima.
Extender el tiempo de espera y aumentar la memoria se confunden con frecuencia. El tiempo de espera es un límite superior en el tiempo de ejecución permitido — extenderlo no mejora la velocidad de procesamiento real, por lo que los errores de tiempo de espera repetidos pueden continuar. Cuando 'mejorar la velocidad de procesamiento' es el objetivo, aumente la memoria; cuando 'permitir temporalmente más tiempo de ejecución' es el objetivo, extienda el tiempo de espera.
Un equipo de análisis de datos de una empresa de comercio electrónico desea analizar inmediatamente terabytes de datos de registro de pedidos y comportamiento de clientes almacenados en Amazon S3 usando SQL estándar sin cargarlos en un almacén de datos separado.
¿Qué servicio de AWS es más adecuado para ejecutar consultas interactivas directamente en un data lake de S3 sin aprovisionamiento de infraestructura separado?
Respuesta: B. Amazon Athena
Para seleccionar la respuesta correcta, primero debe comprender la diferencia entre Amazon Athena y Amazon Redshift Spectrum. Athena es un servicio de consulta interactiva totalmente sin servidor que le permite ejecutar SQL estándar inmediatamente en terabytes de datos de registro almacenados en Amazon S3 sin aprovisionar ningún clúster o infraestructura. Cobra según la cantidad de datos escaneados, lo que lo hace rentable para analizar datos de S3 directamente sin cargarlos en un almacén de datos.
!image
Athena utiliza un motor Presto/Trino internamente para admitir SQL ANSI estándar y se integra con AWS Glue Data Catalog para gestionar automáticamente los metadatos de datos de S3. Admite varios formatos de archivo, incluidos CSV, JSON, Parquet y ORC, y aprovechar el particionamiento puede reducir significativamente los datos escaneados y los costos de consulta.
La Opción 1 (Amazon Redshift Spectrum) puede consultar datos de S3, pero requiere aprovisionar un clúster de Redshift, lo que la hace inadecuada para los requisitos de inicio inmediato. La Opción 3 (AWS Glue Studio) es una herramienta de transformación ETL que no admite consultas SQL interactivas. La Opción 4 (Amazon EMR) requiere aprovisionamiento y gestión de clústeres, incumpliendo el requisito de analizar datos inmediatamente sin infraestructura.
Según la política de gobernanza de datos, los datos confidenciales de clientes almacenados en S3 deben cifrarse con claves KMS administradas por el cliente, y las claves deben rotarse automáticamente cada año. Además, cuando una clave específica ya no sea necesaria, debe poder eliminarse de forma segura.
¿Qué tipo de clave KMS cumple con todos estos requisitos?
Respuesta: C. Claves Administradas por el Cliente
Las Claves Administradas por el Cliente (CMK) admiten tanto la configuración de rotación automática anual como la Eliminación de Clave Programada (Scheduled Key Deletion), satisfaciendo todos los requisitos de gobernanza en este escenario. Los usuarios crean y administran las claves directamente, con ciclos de rotación automática personalizables entre 90 y 2.560 días. Después de deshabilitar una clave, se puede eliminar de forma segura tras un período de espera de 7 a 30 días.
Los tipos de claves KMS se dividen en tres categorías según el nivel de control. Las Claves Administradas por el Cliente son creadas y administradas directamente por el usuario, lo que permite el control total del ciclo de vida. Las Claves Administradas por AWS son administradas por los servicios AWS en nombre del usuario, se rotan automáticamente solo en un ciclo de 3 años y no pueden eliminarse directamente. Las Claves de Propiedad de AWS son compartidas por AWS en múltiples cuentas y los usuarios ni siquiera pueden ver las propias claves.
!image
Para evitar confundir las Claves Administradas por AWS con las Claves Administradas por el Cliente, distíngalas por si el ciclo de rotación es configurable y si la clave puede eliminarse. Si se requiere rotación anual o intervalo personalizado y la capacidad de descomisionar, elija Claves Administradas por el Cliente; si el valor predeterminado del servicio AWS es suficiente, elija Claves Administradas por AWS.
El examen AWS Certified Data Engineer - Associate (DEA-C01) consta de 65 preguntas y tiene un límite de 130 minutos.
La puntuación de aprobación del examen DEA-C01 es de 720 sobre 1000.
El conjunto de muestra de DEA-C01 (20 preguntas con explicaciones completas) es gratuito. El banco completo de más de 470 preguntas está disponible con una suscripción a CloudMasterIT.
La certificación DEA-C01 es válida durante 3 años después de aprobar. Después se requiere recertificación.