복잡한 엔터프라이즈 아키텍처 설계 및 마이그레이션 전략 수립 역량을 검증하는 고급 자격증.
크로스 계정 액세스, AWS Organizations, AWS Control Tower, 하이브리드 네트워킹, AWS Transit Gateway, AWS Resource Access Manager
서버리스 아키텍처, Amazon ECS·EKS 컨테이너, Amazon Aurora·DynamoDB, Amazon API Gateway, AWS Step Functions, 이벤트 기반 아키텍처
AWS Well-Architected Framework, AWS Cost Explorer·Trusted Advisor, Auto Scaling 고급 정책, Amazon CloudWatch·X-Ray, ElastiCache·DAX 캐싱 전략, 비용 최적화
AWS Migration Hub, AWS Application Migration Service, AWS Database Migration Service, AWS Snow Family, AWS DataSync, 6R 마이그레이션 전략
무료 샘플 세트의 실전형 문제를 바로 풀어보세요. 모든 정답에 상세 해설이 제공됩니다.
한 글로벌 전자상거래 기업이 온프레미스 데이터센터에서 운영하던 웹 서비스를 AWS로 전면 마이그레이션하려고 합니다.
현재 시스템은 단일 서버 기반이며, 정적 콘텐츠와 동적 콘텐츠가 혼합되어 있고, MySQL 데이터베이스를 사용합니다. 마이그레이션 후에는 글로벌 사용자에 대한 지연 시간 최소화, DDoS 방어, Multi-AZ 고가용성, 자동 확장이 보장되어야 합니다. 데이터베이스는 MySQL 호환성을 유지하면서 읽기 성능을 향상시켜야 하며, 운영팀의 인프라 관리 부담을 최소화해야 합니다.
이 요구사항을 동시에 만족하는 표준적인 AWS 마이그레이션 아키텍처로 가장 적절한 설계는 무엇입니까?
정답: B. CloudFront + ALB + Auto Scaling + Aurora MySQL
CloudFront + ALB + Auto Scaling + Aurora MySQL 조합은 글로벌 지연시간 최소화, DDoS 방어, Multi-AZ 고가용성, 자동 확장, MySQL 호환 읽기 성능 향상, 운영 부담 최소화라는 6가지 요건을 모두 충족하는 표준 마이그레이션 아키텍처입니다. CloudFront가 AWS Shield Standard를 통해 DDoS 방어를 제공하면서 정적 콘텐츠를 전 세계 엣지에서 캐싱하고, ALB + Auto Scaling이 동적 트래픽의 Multi-AZ 분산과 자동 확장을 담당하며, Aurora MySQL이 완전 관리형으로 MySQL 호환성과 읽기 성능을 모두 해결합니다.
Amazon CloudFront는 600개 이상의 엣지 로케이션을 통해 전 세계 사용자에게 최소 지연시간으로 콘텐츠를 제공하는 글로벌 CDN 서비스입니다. Amazon Aurora MySQL은 MySQL과 완전 호환되면서 기존 MySQL 대비 최대 5배의 성능을 제공하며, 최대 15개의 Read Replica를 지원하여 읽기 부하를 분산할 수 있습니다. ALB와 EC2 Auto Scaling Group의 조합은 트래픽 변화에 따라 자동으로 인스턴스를 추가하거나 제거하므로 운영팀이 직접 용량을 관리하지 않아도 됩니다.
Global Accelerator와 CloudFront를 혼동하지 않도록 주의해야 합니다. Global Accelerator는 TCP/UDP 기반 동적 트래픽의 라우팅 최적화에 적합하고, CloudFront는 HTTP 기반 정적+동적 콘텐츠 캐싱과 DDoS 방어까지 포함합니다. 정적+동적 혼합 웹 서비스, 글로벌 사용자, DDoS 방어, MySQL 호환 키워드가 함께 나오면 CloudFront + ALB + Aurora MySQL 조합이 표준 정답입니다.
한 SaaS 기업이 AWS Organizations로 관리되는 멀티 계정 환경에서, 공유 서비스 계정의 Route 53 프라이빗 호스티드 존에 내부 마이크로서비스 엔드포인트와 RDS 인스턴스의 DNS 레코드를 관리하고 있습니다. 새로 생성되는 워크로드 계정의 VPC에서도 이 프라이빗 DNS를 사용해야 하지만, 각 워크로드 계정 소유자가 직접 호스티드 존을 수정할 수는 없어야 합니다.
워크로드 계정이 지속적으로 추가되는 환경에서 운영 오버헤드를 최소화하면서 보안 요구사항을 충족하는 프라이빗 DNS 공유 구조로 가장 적절한 설계는 무엇입니까?
정답: B. Route 53 Resolver + RAM
이 문제는 멀티 계정 환경에서 DNS 레코드 수정 권한은 공유 서비스 계정에 집중하면서 워크로드 계정 VPC에서 프라이빗 DNS를 사용할 수 있도록 하는 아키텍처를 올바르게 선택할 수 있는지 확인하는 문제입니다. Route 53 Resolver Rule을 AWS RAM으로 공유하면 공유 서비스 계정이 DNS 레코드 권한을 유지한 채 워크로드 계정의 VPC에 Resolver 전달 규칙을 배포할 수 있습니다. OU 기반 공유를 구성하면 신규 계정 추가 시 자동으로 적용되어 확장성과 운영 편의성을 동시에 확보합니다.
Route 53 Resolver Rule은 특정 도메인에 대한 DNS 쿼리를 지정한 IP로 전달하도록 설정하는 규칙입니다. 공유 서비스 계정에 Inbound Resolver Endpoint를 구성하면 외부 계정 VPC에서 프라이빗 도메인 쿼리를 이 엔드포인트로 포워딩할 수 있습니다. AWS RAM을 사용하면 이 Resolver Rule을 Organizations 내 특정 OU 또는 개별 계정에 공유할 수 있으며, 워크로드 계정은 공유된 Rule을 자신의 VPC에 연결하는 작업만 수행하면 됩니다. 호스티드 존 자체에 대한 직접 접근 권한 없이도 DNS 해석이 가능하므로 보안 요구사항을 충족합니다.
AWS 시험에서 멀티 계정 DNS 공유 문제는 수정 권한 격리 여부가 핵심 판단 기준입니다. 호스티드 존 직접 공유가 필요하면 Route 53 크로스 계정 VPC 연결, 쿼리 전달과 권한 격리가 모두 필요하면 Resolver Rule + RAM이 정답입니다.
한 대형 기업이 AWS 마이그레이션을 계획하고 있으며, 온프레미스 데이터센터에 VMware vSphere 환경의 500대 VM, Hyper-V 환경의 200대 VM, 그리고 50대의 물리 서버가 혼재되어 있습니다.
마이그레이션 팀은 모든 서버의 CPU, 메모리, 네트워크 의존성, 소프트웨어 인벤토리를 자동으로 수집하여 마이그레이션 우선순위와 적정 EC2 인스턴스 유형을 결정하려 합니다. 수집된 데이터를 기반으로 경영진에게 시각화된 마이그레이션 리포트를 제공해야 합니다.
AWS Migration Hub를 중심으로 이기종 환경의 디스커버리와 리포팅을 구성하는 가장 적절한 접근 방식은 무엇입니까?
정답: B. Migration Hub + Agentless Connector + Agent
AWS Application Discovery Service는 온프레미스 서버의 구성·성능 데이터를 수집하는 두 가지 방법을 제공합니다. VMware vSphere 환경은 Agentless Collector(OVA 어플라이언스)를 vCenter에 배포하여 에이전트 설치 없이 VM 메타데이터를 수집하고, Hyper-V 환경과 물리 서버는 Agent를 직접 설치하여 실행 프로세스, 네트워크 연결, 소프트웨어 인벤토리를 수집합니다. 보기 2는 두 방법을 조합하여 이기종 환경 전체를 커버합니다.
AWS Migration Hub는 Application Discovery Service가 수집한 데이터를 중앙에서 집계하고 시각화합니다. 수집된 CPU·메모리·스토리지·네트워크 데이터를 기반으로 적정 EC2 인스턴스 유형을 추천하고, 애플리케이션 그루핑 기능으로 서버 간 의존성을 시각화하여 마이그레이션 우선순위와 웨이브 계획을 수립할 수 있습니다. 모든 마이그레이션 상태를 단일 뷰로 추적하여 경영진에게 리포트를 제공합니다.
시험에서 세 도구의 역할을 명확히 구분하세요. 온프레미스 인벤토리 수집에는 Application Discovery Service, 마이그레이션 추적·관리에는 Migration Hub, 서버 실제 이전에는 MGN을 선택합니다. AWS Config는 AWS 클라우드 내 리소스 상태 추적 전용으로 온프레미스 디스커버리에 사용할 수 없습니다.
한 대형 금융 그룹이 AWS Organizations를 사용하여 200개 이상의 멤버 계정을 관리하고 있으며, 루트 수준에서 특정 리전 외의 모든 AWS 서비스 사용을 차단하는 deny SCP를 적용하고 있습니다. 최근 해외 자회사를 인수하면서 해당 자회사의 기존 AWS 계정을 Organizations에 온보딩해야 하는데, 이 자회사는 인수 완료 후 6개월간 기존 리전의 워크로드를 유지해야 하는 규제 요구사항이 있습니다.
기존 조직 전체의 보안 정책을 유지하면서 이 자회사 계정에 한시적으로 추가 리전 접근을 허용하기 위해 가장 적절한 SCP 설계 방법은 무엇입니까?
정답: B. 자회사 전용 OU + 리전 허용 SCP 적용
한 금융 그룹이 루트 deny SCP로 전체 조직의 리전을 통제하면서, 자회사 계정에만 6개월간 추가 리전 예외를 허용해야 하는 상황입니다. SCP는 OU 계층 구조를 통해 상속되므로, 자회사를 전용 OU에 분리하고 해당 OU에 추가 리전을 허용하는 SCP를 추가하면 루트 정책을 변경하지 않고 예외를 구현할 수 있습니다. SCP 평가 원칙상 deny가 allow보다 항상 우선하지만, OU 배치를 통해 적용 대상을 구조적으로 분리하는 방식으로 자회사에만 예외를 부여합니다.
SCP는 계정·OU·루트 수준에서 허용 또는 거부 경계를 설정하는 거버넌스 도구입니다. 루트 SCP는 하위 모든 계정에 상속되지만, 자회사를 전용 OU로 분리하면 해당 OU에서만 적용되는 추가 SCP를 부여할 수 있습니다. 중요한 점은 SCP 구문에서 aws:PrincipalAccount 조건 키를 사용한 루트 SCP 내 예외 처리는 공식적으로 지원되지 않으므로, OU 분리가 유일한 방법입니다. 6개월 후에는 예외 SCP를 제거하거나 자회사 계정을 기존 OU로 이동하면 정책이 자동으로 통일됩니다.
시험에서 SCP 예외 처리가 나오면 루트 SCP 수정 없이 예외를 부여하는 방법은 항상 별도 OU 생성임을 기억하세요. IAM Policy로 SCP를 우회하려는 보기 3은 항상 오답이며, 루트 SCP 일시 해제는 200개 이상 전체 계정에 영향을 미치므로 오답입니다.
한 금융 기관이 AWS 인프라를 모두 CloudFormation으로 관리하고 있으며, 템플릿은 GitHub 리포지토리에 저장되어 있습니다.
최근 개발자가 프로덕션 스택의 CloudFormation 템플릿을 수정한 후 직접 배포하여 운영 중인 RDS 인스턴스가 교체되는 사고가 발생했습니다. 보안팀은 모든 인프라 변경이 CI/CD 파이프라인을 통해서만 이루어져야 하며, 프로덕션 배포 전에 변경 영향도를 사전 검증하는 단계가 반드시 포함될 것을 요구합니다.
운영 오버헤드를 최소화하면서 CloudFormation 변경의 안전한 배포를 보장하기 위해 가장 적절한 CI/CD 파이프라인 설계는 무엇입니까?
정답: C. CodePipeline + Change Sets + 승인 단계
한 금융 기관이 프로덕션 배포 전 변경 영향도를 검증하고 CI/CD 파이프라인을 강제화해야 하는 상황입니다. AWS CodePipeline + CloudFormation Change Sets + 수동 승인 단계 조합이 이 요구사항을 가장 효과적으로 충족합니다. Change Sets는 실제 스택에 변경사항을 적용하기 전에 각 리소스의 Action(Add/Modify/Remove)과 Replacement(True/False) 여부를 미리 보여주어, RDS 인스턴스 교체와 같은 파괴적 변경을 사전에 감지하고 수동 승인 단계에서 차단할 수 있습니다.
AWS CodePipeline은 완전관리형 CI/CD 서비스로 GitHub 소스 변경 감지 → Change Sets 생성 → 검토 및 승인 → ExecuteChangeSet 단계를 자동화합니다. 파이프라인이 모든 배포 경로를 통제하므로 개발자의 직접 배포를 구조적으로 차단할 수 있습니다. CloudFormation Change Sets의 Replacement 필드에 True가 표시되면 기존 리소스가 삭제 후 재생성됨을 의미하므로, 승인자가 이를 확인하고 배포를 거부하거나 대안을 선택할 수 있습니다.
시험에서 CloudFormation 안전 배포 문제는 Change Sets와 수동 승인 단계 조합을 핵심으로 기억하세요. StackSets는 여러 계정·리전에 동일 템플릿을 배포하는 기능으로 단일 스택의 변경 영향도 검증과 무관합니다. CDK Diff + 수동 배포는 CI/CD 파이프라인을 통한 강제화가 아니어서 개발자가 여전히 직접 배포할 수 있는 위험이 남습니다.
AWS Certified Solutions Architect - Professional (SAP-C02) 시험은 총 75문항으로 구성되어 있으며, 시험 시간은 180분입니다.
SAP-C02 시험의 합격 점수는 1000점 만점 중 750점 이상입니다.
SAP-C02 샘플 세트 20문항은 해설까지 포함해 무료로 풀 수 있습니다. 340문항 이상의 전체 문제 세트는 CloudMasterIT 구독으로 이용할 수 있습니다.
SAP-C02 자격증은 취득 후 3년간 유효하며, 이후 재인증이 필요합니다.