Valida habilidades na construção de pipelines de dados, operações ETL e design de data lakes na AWS.
AWS Glue, Lambda, Kinesis, Amazon EMR, Step Functions
Amazon S3, Redshift, DynamoDB, Lake Formation, Apache Iceberg
CloudWatch, CloudTrail, Athena, QuickSight, Pipelines de Automação
IAM, KMS, Macie, Catálogo de Dados Glue, RBAC
Experimente questões no estilo do exame do conjunto de amostra gratuito. Cada resposta vem com uma explicação completa.
Devido aos requisitos de auditoria dos reguladores financeiros, uma empresa deve reter um histórico de 90 dias de todos os acessos e operações de manipulação de dados (como exclusão de objetos, alterações de política de bucket e downloads de dados) nos buckets do Amazon S3, e ser capaz de enviar esse histórico durante as auditorias.
Qual serviço AWS deve ser habilitado para atender a esses requisitos sem nenhuma alteração adicional no código do aplicativo?
Resposta: C. AWS CloudTrail
O ponto principal nesta questão é que a empresa deve manter um histórico de 90 dias de todos os acessos e operações de manipulação de dados nos buckets S3 e ser capaz de enviá-lo durante as auditorias, e deve atender a esses requisitos sem alterações adicionais no código do aplicativo. O AWS CloudTrail registra automaticamente todas as chamadas de API dentro da conta AWS e rastreia todas as operações S3, incluindo GetObject (download), DeleteObject (exclusão) e PutBucketPolicy (alterações de política de bucket) sem alterações de código. Os logs do CloudTrail podem ser armazenados em um bucket S3 e retidos pelo período desejado, atendendo ao requisito de 90 dias.
!image
O AWS CloudTrail registra eventos de gerenciamento (operações de plano de controle, como criação de bucket e alterações de política) e eventos de dados (operações em nível de objeto, como GetObject, PutObject e DeleteObject). O CloudTrail Lake permite reter dados de eventos por até 7 anos e consultar com SQL. Os eventos de gerenciamento são registrados automaticamente por padrão, enquanto os eventos de dados devem ser explicitamente habilitados. Todo o registro é realizado automaticamente no nível da conta AWS, sem necessidade de modificações no código do aplicativo.
Para questões de log de auditoria, distinga precisamente os propósitos dos serviços. Se o requisito é auditar chamadas de API e rastrear histórico de acesso, escolha o AWS CloudTrail. Se for rastrear o histórico de alterações de configuração de recursos, escolha o AWS Config. Se a identificação de PII e a classificação de dados forem necessárias, o Amazon Macie é a resposta. Os logs de acesso ao servidor S3 são logs em nível de solicitação HTTP, separados da auditoria de API do CloudTrail.
Uma empresa de serviços de dados financeiros opera uma API de análise de dados interna através do Amazon API Gateway. Esta API deve ser chamada apenas de contas AWS específicas e domínios aprovados, bloqueando todos os outros acessos.
Qual é a configuração de segurança do API Gateway mais adequada para restringir contas e domínios acessíveis no nível da API sem uma camada de autenticação adicional?
Resposta: C. Política de recursos
Para selecionar a resposta correta, primeiro é necessário entender os mecanismos de controle de acesso disponíveis no API Gateway. Os requisitos principais neste cenário são permitir apenas contas AWS específicas e domínios aprovados no nível da API sem uma camada de autenticação adicional. A política de recursos do API Gateway é um documento de política IAM baseado em JSON que controla explicitamente o acesso com base em contas AWS, intervalos de endereços IP, VPCs e endpoints VPC, correspondendo perfeitamente a esses requisitos.
!image
As políticas de recursos funcionam bloqueando o acesso antes que o API Gateway processe a solicitação. Chaves de condição como aws:SourceAccount, aws:SourceVpc e aws:SourceIp permitem especificar com precisão as contas AWS e intervalos de IP permitidos. Nenhuma lógica de autenticação baseada em credenciais de usuário (como uma função Lambda ou integração com grupo de usuários Cognito) é necessária, mantendo a configuração simples.
O autorizador de grupos de usuários Cognito (Opção 1) e o autorizador personalizado Lambda (Opção 2) introduzem uma camada de autenticação adicional, o que não corresponde aos requisitos. As chaves de API e planos de uso (Opção 4) são ferramentas de limitação e monitoramento de uso, não mecanismos de controle de acesso baseados em conta ou domínio.
Uma função AWS Lambda que realiza tarefas de transformação de dados está com problemas de timeout ao processar grandes arquivos JSON.
Qual configuração do Lambda deve ser ajustada para melhorar a velocidade de execução da função sem alterar a lógica do código?
Resposta: C. Aumentar a alocação de memória do Lambda
Esta questão testa se você consegue identificar a configuração do Lambda que melhora a velocidade de processamento sem alterações no código. No Lambda, a memória e o vCPU estão vinculados — aumentar a alocação de memória aumenta automática e proporcionalmente o vCPU atribuído à função. Ajustar apenas a configuração melhora a velocidade de processamento sem nenhuma alteração no código, tornando-a a solução mais direta para problemas de timeout ao processar grandes arquivos JSON.
!image
A memória do Lambda pode ser configurada de 128 MB a 10.240 MB (10 GB), com um vCPU completo atribuído a 1.792 MB. Acima de 1.792 MB, vários vCPUs são alocados, fornecendo benefícios adicionais de desempenho para código que suporta processamento paralelo. Como aumentar a memória também aumenta os custos de execução, é recomendável usar a ferramenta Lambda Power Tuning para encontrar a configuração de memória ideal.
Estender o timeout e aumentar a memória são frequentemente confundidos. O timeout é um limite superior no tempo de execução permitido — estendê-lo não melhora a velocidade de processamento real, portanto erros de timeout repetidos podem continuar. Quando 'melhorar a velocidade de processamento' é o objetivo, aumente a memória; quando 'permitir temporariamente mais tempo de execução' é o objetivo, estenda o timeout.
Uma equipe de análise de dados de uma empresa de e-commerce deseja analisar imediatamente terabytes de dados de log de pedidos e comportamento de clientes armazenados no Amazon S3 usando SQL padrão, sem carregá-los em um data warehouse separado.
Qual serviço AWS é mais adequado para executar consultas interativas diretamente em um data lake S3 sem provisionamento de infraestrutura separado?
Resposta: B. Amazon Athena
Para selecionar a resposta correta, você primeiro precisa entender a diferença entre o Amazon Athena e o Amazon Redshift Spectrum. O Athena é um serviço de consulta interativa totalmente sem servidor que permite executar SQL padrão imediatamente em terabytes de dados de log armazenados no Amazon S3 sem provisionar nenhum cluster ou infraestrutura. Cobra com base na quantidade de dados verificados, tornando-o econômico para analisar dados do S3 diretamente sem carregá-los em um data warehouse.
!image
O Athena usa um mecanismo Presto/Trino internamente para suportar SQL ANSI padrão e se integra ao AWS Glue Data Catalog para gerenciar automaticamente os metadados de dados do S3. Suporta vários formatos de arquivo, incluindo CSV, JSON, Parquet e ORC, e o uso de particionamento pode reduzir significativamente os dados verificados e os custos de consulta.
A Opção 1 (Amazon Redshift Spectrum) pode consultar dados do S3, mas requer o provisionamento de um cluster Redshift, tornando-a inadequada para requisitos de início imediato. A Opção 3 (AWS Glue Studio) é uma ferramenta de transformação ETL que não suporta consultas SQL interativas. A Opção 4 (Amazon EMR) requer provisionamento e gerenciamento de cluster, não atendendo ao requisito de analisar dados imediatamente sem infraestrutura.
De acordo com a política de governança de dados, os dados sensíveis de clientes armazenados no S3 devem ser criptografados com chaves KMS gerenciadas pelo cliente, e as chaves devem ser rotacionadas automaticamente a cada ano. Além disso, quando uma chave específica não for mais necessária, ela deve poder ser descartada com segurança.
Qual tipo de chave KMS atende a todos esses requisitos?
Resposta: C. Chaves Gerenciadas pelo Cliente
As Chaves Gerenciadas pelo Cliente (CMK) suportam tanto a configuração de rotação automática anual quanto a Exclusão de Chave Programada (Scheduled Key Deletion), satisfazendo todos os requisitos de governança neste cenário. Os usuários criam e gerenciam as chaves diretamente, com ciclos de rotação automática personalizáveis entre 90 e 2.560 dias. Após desativar uma chave, ela pode ser excluída com segurança após um período de espera de 7 a 30 dias.
Os tipos de chaves KMS são divididos em três categorias com base no nível de controle. As Chaves Gerenciadas pelo Cliente são criadas e gerenciadas diretamente pelo usuário, permitindo controle total do ciclo de vida. As Chaves Gerenciadas pela AWS são gerenciadas pelos serviços AWS em nome do usuário, giram automaticamente apenas em um ciclo de 3 anos e não podem ser excluídas diretamente. As Chaves de Propriedade da AWS são compartilhadas pela AWS em várias contas e os usuários não podem nem visualizar as próprias chaves.
!image
Para evitar confundir Chaves Gerenciadas pela AWS com Chaves Gerenciadas pelo Cliente, distinga-as pelo fato de o ciclo de rotação ser configurável e se a chave pode ser excluída. Se a rotação anual ou intervalo personalizado e a capacidade de descomissionar são necessários, escolha Chaves Gerenciadas pelo Cliente; se o padrão do serviço AWS for suficiente, escolha Chaves Gerenciadas pela AWS.
O exame AWS Certified Data Engineer - Associate (DEA-C01) tem 65 questões e limite de 130 minutos.
A nota de aprovação do exame DEA-C01 é 720 de 1000.
O conjunto de amostra de DEA-C01 (20 questões com explicações completas) é gratuito. O banco completo com mais de 470 questões está disponível com uma assinatura do CloudMasterIT.
A certificação DEA-C01 é válida por 3 anos após a aprovação. Depois disso é necessária a recertificação.