Guide d'examen AWS Certified Security - Specialty (SCS-C02)

Version 1.1 SCS-C02

Introduction

L'examen AWS Certified Security - Specialty (SCS-C02) est destiné aux personnes occupant un rôle de sécurité. L'examen valide la capacité d'un candidat à démontrer efficacement ses connaissances sur la sécurisation des produits et services AWS.

L'examen valide également si un candidat possède les éléments suivants :

• Une compréhension des classifications de données spécialisées et des mécanismes de protection des données AWS
• Une compréhension des méthodes de chiffrement des données et des mécanismes AWS pour les mettre en œuvre
• Une compréhension des protocoles Internet sécurisés et des mécanismes AWS pour les mettre en œuvre
• Une connaissance pratique des services de sécurité AWS et des fonctionnalités des services pour fournir un environnement de production sécurisé
• Une compétence acquise à partir de 2 années ou plus d'expérience de déploiement en production dans l'utilisation des services et fonctionnalités de sécurité AWS
• La capacité de prendre des décisions d'arbitrage concernant les coûts, la sécurité et la complexité de déploiement pour répondre à un ensemble d'exigences applicatives
• Une compréhension des opérations de sécurité et des risques

Description du candidat cible

Le candidat cible devrait avoir l'équivalent de 3 à 5 années d'expérience dans la conception et la mise en œuvre de solutions de sécurité. De plus, le candidat cible devrait avoir un minimum de 2 années d'expérience pratique dans la sécurisation des charges de travail AWS.

Connaissances AWS recommandées

Le candidat cible devrait avoir les connaissances suivantes :

• Le modèle de responsabilité partagée AWS et son application
• Connaissance générale des services AWS et du déploiement de solutions cloud
• Contrôles de sécurité pour les environnements et les charges de travail AWS
• Stratégies de journalisation et de surveillance
• Gestion des vulnérabilités et automatisation de la sécurité
• Moyens d'intégrer les services de sécurité AWS avec des outils tiers
• Contrôles de reprise après sinistre, y compris les stratégies de sauvegarde
• Cryptographie et gestion des clés
• Gestion des identités et des accès
• Rétention des données et gestion du cycle de vie
• Comment résoudre les problèmes de sécurité
• Gouvernance multi-comptes et conformité organisationnelle
• Détection des menaces et stratégies d'intervention en cas d'incident

Tâches professionnelles hors du champ d'application du candidat cible

La liste suivante contient des tâches professionnelles que le candidat cible n'est pas censé pouvoir effectuer. Cette liste n'est pas exhaustive. Ces tâches sont hors du champ d'application de l'examen :

• Développer des logiciels dans un langage spécifique (par exemple, Python, Java)
• Confirmer la conformité réglementaire
• Gérer les cycles de vie du développement de logiciels
• Concevoir des topologies de réseau
• Architecturer les déploiements cloud dans leur ensemble
• Configurer les services de stockage en fonction des exigences de résidence des données (par exemple, Règlement général sur la protection des données [RGPD])

Reportez-vous à l'annexe pour une liste des technologies et concepts susceptibles d'apparaître à l'examen, une liste des services et fonctionnalités AWS dans le champ d'application et une liste des services et fonctionnalités AWS hors du champ d'application.

Contenu de l'examen

Types de réponses

Il y a deux types de questions à l'examen :

• Choix multiple : Une seule réponse correcte et trois réponses incorrectes (distracteurs)
• Choix multiple avec réponses multiples : Deux réponses correctes ou plus parmi cinq réponses ou plus

Sélectionnez une ou plusieurs réponses qui complètent le mieux l'énoncé ou répondent à la question. Les distracteurs, ou réponses incorrectes, sont des options de réponse qu'un candidat ayant des connaissances ou des compétences incomplètes pourrait choisir. Les distracteurs sont généralement des réponses plausibles qui correspondent au domaine de contenu.

Les questions sans réponse sont considérées comme incorrectes ; il n'y a pas de pénalité pour deviner. L'examen comprend 50 questions qui influencent votre score.

Contenu non noté

L'examen comprend 15 questions non notées qui n'affectent pas votre score. AWS collecte des informations sur les performances de ces questions non notées afin de les évaluer pour une utilisation future en tant que questions notées. Ces questions non notées ne sont pas identifiées dans l'examen.

Résultats de l'examen

L'examen AWS Certified Security - Specialty (SCS-C02) a une désignation de réussite ou d'échec. L'examen est noté par rapport à une norme minimale établie par les professionnels AWS qui suivent les meilleures pratiques et lignes directrices de l'industrie de la certification.

Vos résultats pour l'examen sont rapportés sous la forme d'un score normalisé de 100 à 1 000. Le score minimum de passage est de 750. Votre score indique comment vous vous êtes comporté dans l'ensemble de l'examen et si vous avez réussi. Les modèles de notation normalisés permettent d'équivalencer les scores entre plusieurs formulaires d'examen qui peuvent avoir des niveaux de difficulté légèrement différents.

Votre rapport de score pourrait contenir un tableau de classifications de votre performance au niveau de chaque section. L'examen utilise un modèle de notation compensatoire, ce qui signifie que vous n'avez pas besoin d'obtenir un score de passage dans chaque section. Vous devez réussir uniquement l'examen dans son ensemble.

Chaque section de l'examen a une pondération spécifique, de sorte que certaines sections comportent plus de questions que d'autres. Le tableau des classifications contient des informations générales qui mettent en évidence vos points forts et vos points faibles. Soyez prudent lors de l'interprétation des commentaires au niveau des sections.

Plan de contenu

Ce guide d'examen comprend les pondérations, les domaines de contenu et les énoncés de tâches pour l'examen. Ce guide ne fournit pas une liste exhaustive du contenu de l'examen. Cependant, un contexte supplémentaire pour chaque énoncé de tâche est disponible pour vous aider à vous préparer à l'examen.

L'examen comporte les domaines de contenu et les pondérations suivants :

• Domaine 1 : Détection des menaces et intervention en cas d'incident (14 % du contenu noté)
• Domaine 2 : Journalisation et surveillance de la sécurité (18 % du contenu noté)
• Domaine 3 : Sécurité des infrastructures (20 % du contenu noté)
• Domaine 4 : Gestion des identités et des accès (16 % du contenu noté)
• Domaine 5 : Protection des données (18 % du contenu noté)
• Domaine 6 : Gestion et gouvernance de la sécurité (14 % du contenu noté)

Domaine 1 : Détection des menaces et intervention en cas d'incident

Énoncé de tâche 1.1 : Concevoir et mettre en œuvre un plan d'intervention en cas d'incident.

Connaissances de :

• Meilleures pratiques AWS pour l'intervention en cas d'incident
• Incidents cloud
• Rôles et responsabilités dans le plan d'intervention en cas d'incident
• Format AWS Security Finding (ASFF)

Compétences en :

• Mise en œuvre de stratégies d'invalidation et de rotation des informations d'identification en réponse à des compromettre (par exemple, en utilisant IAM et AWS Secrets Manager)
• Isolation des ressources AWS
• Conception et mise en œuvre de livrets et de cahiers des charges pour les réponses aux incidents de sécurité
• Déploiement de services de sécurité (par exemple, AWS Security Hub, Amazon Macie, Amazon GuardDuty, Amazon Inspector, AWS Config, Amazon Detective, Analyseur d'accès IAM)
• Configuration des intégrations avec les services AWS natifs et les services tiers (par exemple, en utilisant Amazon EventBridge et l'ASFF)

Énoncé de tâche 1.2 : Détecter les menaces et les anomalies de sécurité à l'aide des services AWS.

Connaissances de :

• Services de sécurité gérés par AWS qui détectent les menaces
• Techniques d'anomalie et de corrélation pour joindre les données entre les services
• Visualisations pour identifier les anomalies
• Stratégies pour centraliser les conclusions de sécurité

Compétences en :

• Évaluation des conclusions des services de sécurité (par exemple, GuardDuty, Security Hub, Macie, AWS Config, Analyseur d'accès IAM)
• Recherche et corrélation des menaces de sécurité à travers les services AWS (par exemple, en utilisant Detective)
• Effectuer des requêtes pour valider les événements de sécurité (par exemple, en utilisant Amazon Athena)
• Création de filtres de métriques et de tableaux de bord pour détecter les activités anormales (par exemple, en utilisant Amazon CloudWatch)

Énoncé de tâche 1.3 : Répondre aux ressources et aux charges de travail compromises.

Connaissances de :

• Guide d'intervention en cas d'incident de sécurité AWS
• Mécanismes d'isolation des ressources
• Techniques d'analyse des causes profondes
• Mécanismes de capture de données
• Analyse des journaux pour la validation des événements

Compétences en :

• Automatisation des mesures correctives en utilisant des services AWS (par exemple, AWS Lambda, AWS Step Functions, EventBridge, AWS Systems Manager, Security Hub, AWS Config)
• Réponse aux ressources compromises (par exemple, en isolant les instances Amazon EC2)
• Enquête et analyse pour mener une analyse des causes profondes (par exemple, en utilisant Detective)
• Capture des données forensiques pertinentes à partir d'une ressource compromise (par exemple, instantanés du volume Amazon Elastic Block Store [Amazon EBS], vidage de mémoire)
• Interrogation des journaux dans Amazon S3 pour obtenir des informations contextuelles liées aux événements de sécurité (par exemple, en utilisant Athena)
• Protection et préservation des artefacts forensiques (par exemple, en utilisant le verrouillage des objets S3, des comptes forensiques isolés, le cycle de vie S3 et la réplication S3)
• Préparation des services aux incidents et récupération des services après des incidents

Domaine 2 : Journalisation et surveillance de la sécurité

Énoncé de tâche 2.1 : Concevoir et mettre en œuvre une surveillance et des alertes pour traiter les événements de sécurité.

Connaissances de :

• Services AWS qui surveillent les événements et fournissent des alarmes (par exemple, CloudWatch, EventBridge)
• Services AWS qui automatisent les alertes (par exemple, Lambda, Amazon Simple Notification Service [Amazon SNS], Security Hub)
• Outils qui surveillent les métriques et les lignes de base (par exemple, GuardDuty, Systems Manager)

Compétences en :

• Analyse des architectures pour identifier les exigences de surveillance et les sources de données pour la surveillance de la sécurité
• Analyse des environnements et des charges de travail pour déterminer les exigences de surveillance
• Conception de la surveillance de l'environnement et de la surveillance des charges de travail en fonction des exigences commerciales et de sécurité
• Configuration d'outils et de scripts automatisés pour effectuer des audits réguliers (par exemple, en créant des analyses personnalisées dans Security Hub)
• Définition des métriques et des seuils qui génèrent des alertes

Énoncé de tâche 2.2 : Résoudre les problèmes de surveillance et d'alerte de sécurité.

Connaissances de :

• Configuration des services de surveillance (par exemple, Security Hub)
• Données pertinentes indiquant des événements de sécurité

Compétences en :

• Analyse du fonctionnement du service, des autorisations et de la configuration des ressources après un événement qui n'a pas fourni de visibilité ou d'alerte
• Analyse et remédiation de la configuration d'une application personnalisée qui ne signale pas ses statistiques
• Évaluation des services de journalisation et de surveillance pour l'alignement avec les exigences de sécurité

Énoncé de tâche 2.3 : Concevoir et mettre en œuvre une solution de journalisation.

Connaissances de :

• Services et fonctionnalités AWS qui offrent des capacités de journalisation (par exemple, VPC Flow Logs, journaux DNS, AWS CloudTrail, journaux Amazon CloudWatch)
• Attributs des capacités de journalisation (par exemple, niveaux de journalisation, type, verbosité)
• Destinations des journaux et gestion du cycle de vie (par exemple, période de rétention)

Compétences en :

• Configuration de la journalisation pour les services et les applications
• Identification des exigences de journalisation et des sources pour l'ingestion des journaux
• Mise en œuvre du stockage des journaux et de la gestion du cycle de vie conformément aux meilleures pratiques AWS et aux exigences organisationnelles

Énoncé de tâche 2.4 : Résoudre les problèmes des solutions de journalisation.

Connaissances de :

• Capacités et cas d'utilisation des services AWS qui fournissent des sources de données (par exemple, niveau de journalisation, type, verbosité, cadence, rapidité, immuabilité)
• Services et fonctionnalités AWS qui offrent des capacités de journalisation (par exemple, VPC Flow Logs, journaux DNS, CloudTrail, journaux CloudWatch)
• Autorisations d'accès nécessaires à la journalisation

Compétences en :

• Identification de la mauvaise configuration et détermination des étapes de remédiation pour les autorisations d'accès manquantes nécessaires à la journalisation (par exemple, en gérant les autorisations de lecture/écriture, les autorisations de seau S3, l'accès public et l'intégrité)
• Détermination de la cause de l'absence de journaux et mise en œuvre des étapes de remédiation

Énoncé de tâche 2.5 : Concevoir une solution d'analyse des journaux.

Connaissances de :

• Services et outils pour analyser les journaux capturés (par exemple, Athena, filtres des journaux CloudWatch)
• Fonctionnalités d'analyse des journaux des services AWS (par exemple, CloudWatch Logs Insights, CloudTrail Insights, insights Security Hub)
• Format et composants des journaux (par exemple, journaux CloudTrail)

Compétences en :

• Identification des modèles dans les journaux pour indiquer les anomalies et les menaces connues
• Normalisation, analyse et corrélation des journaux

Domaine 3 : Sécurité des infrastructures

Énoncé de tâche 3.1 : Concevoir et mettre en œuvre des contrôles de sécurité pour les services Edge.

Connaissances de :

• Fonctionnalités de sécurité des services Edge (par exemple, AWS WAF, équilibreurs de charge, Amazon Route 53, Amazon CloudFront, AWS Shield)
• Attaques, menaces et exploits courants (par exemple, OWASP Top 10, DDoS)
• Architecture en couches des applications web

Compétences en :

• Définition de stratégies de sécurité Edge pour des cas d'utilisation courants (par exemple, site web public, application serverless, backend d'application mobile)
• Sélection des services Edge appropriés en fonction des menaces et des attaques anticipées (par exemple, OWASP Top 10, DDoS)
• Sélection des protections appropriées en fonction des vulnérabilités et des risques anticipés (par exemple, logiciels, applications et bibliothèques vulnérables)
• Définition des couches de défense en combinant les services de sécurité Edge (par exemple, CloudFront avec AWS WAF et les équilibreurs de charge)
• Application de restrictions au niveau Edge en fonction de divers critères (par exemple, géographie, géolocalisation, limitation du taux)
• Activation des journaux, des métriques et de la surveillance autour des services Edge pour indiquer les attaques

Énoncé de tâche 3.2 : Concevoir et mettre en œuvre des contrôles de sécurité réseau.

Connaissances de :

• Mécanismes de sécurité VPC (par exemple, groupes de sécurité, listes de contrôle d'accès réseau, AWS Network Firewall)
• Connectivité inter-VPC (par exemple, AWS Transit Gateway, points de terminaison VPC)
• Sources de télémétrie de sécurité (par exemple, Traffic Mirroring, VPC Flow Logs)
• Technologie, terminologie et utilisation des VPN
• Options de connectivité locale (par exemple, AWS VPN, AWS Direct Connect)

Compétences en :

• Mise en œuvre de la segmentation réseau en fonction des exigences de sécurité (par exemple, sous-réseaux publics, sous-réseaux privés, VPC sensibles, connectivité locale)
• Conception des contrôles réseau pour autoriser ou empêcher le trafic réseau selon les besoins (par exemple, en utilisant des groupes de sécurité, des listes de contrôle d'accès réseau et le pare-feu réseau)
• Conception des flux réseau pour garder les données hors d'Internet public (par exemple, en utilisant Transit Gateway, des points de terminaison VPC et Lambda dans les VPC)
• Détermination des sources de télémétrie à surveiller en fonction de la conception du réseau, des menaces et des attaques (par exemple, journaux des équilibreurs de charge, VPC Flow Logs, Traffic Mirroring)
• Détermination des exigences de redondance et de charge de travail de sécurité pour la communication entre les environnements locaux et le cloud AWS (par exemple, en utilisant AWS VPN, AWS VPN sur Direct Connect et MACsec)
• Identification et suppression des accès réseau inutiles
• Gestion des configurations réseau à mesure que les exigences changent (par exemple, en utilisant AWS Firewall Manager)

Énoncé de tâche 3.3 : Concevoir et mettre en œuvre des contrôles de sécurité pour les charges de travail de calcul.

Connaissances de :

• Approvisionnement et maintenance des instances EC2 (par exemple, correction des failles, inspection, création d'instantanés et d'AMI, utilisation d'EC2 Image Builder)
• Rôles d'instance IAM et rôles de service IAM
• Services qui analysent les vulnérabilités des charges de travail de calcul (par exemple, Amazon Inspector, Amazon Elastic Container Registry [Amazon ECR])
• Sécurité hôte (par exemple, pare-feux, durcissement)

Compétences en :

• Création d'AMI EC2 renforcées
• Application des rôles d'instance et des rôles de service selon les besoins pour autoriser les charges de travail de calcul
• Analyse des instances EC2 et des images de conteneurs pour détecter les vulnérabilités connues
• Application des correctifs sur une flotte d'instances EC2 ou d'images de conteneurs
• Activation des mécanismes de sécurité hôte (par exemple, pare-feux hôtes)
• Analyse des conclusions d'Amazon Inspector et détermination des techniques d'atténuation appropriées
• Transmission sécurisée des secrets et des informations d'identification aux charges de travail de calcul

Énoncé de tâche 3.4 : Résoudre les problèmes de sécurité réseau.

Connaissances de :

• Comment analyser l'accessibilité (par exemple, en utilisant VPC Reachability Analyzer et Amazon Inspector)
• Concepts fondamentaux de réseau TCP/IP (par exemple, UDP par rapport à TCP, ports, modèle OSI, utilitaires du système d'exploitation réseau)
• Comment lire les sources de journaux pertinentes (par exemple, journaux Route 53, journaux AWS WAF, VPC Flow Logs)

Compétences en :

• Identification, interprétation et priorisation des problèmes de connectivité réseau (par exemple, en utilisant Amazon Inspector Network Reachability)
• Détermination de solutions pour produire le comportement réseau souhaité
• Analyse des sources de journaux pour identifier les problèmes
• Capture d'échantillons de trafic pour l'analyse des problèmes (par exemple, en utilisant Traffic Mirroring)

Domaine 4 : Gestion des identités et des accès

Énoncé de tâche 4.1 : Concevoir, mettre en œuvre et résoudre les problèmes d'authentification pour les ressources AWS.

Connaissances de :

• Méthodes et services pour créer et gérer des identités (par exemple, fédération, fournisseurs d'identité, AWS IAM Identity Center [AWS Single Sign-On], Amazon Cognito)
• Mécanismes d'accréditation à long terme et temporaire
• Comment résoudre les problèmes d'authentification (par exemple, en utilisant CloudTrail, IAM Access Advisor et IAM Policy Simulator)

Compétences en :

• Établissement de l'identité par le biais d'un système d'authentification, en fonction des exigences
• Configuration de l'authentification multifacteur (MFA)
• Détermination du moment où il faut utiliser AWS Security Token Service (AWS STS) pour délivrer des informations d'identification temporaires

Énoncé de tâche 4.2 : Concevoir, mettre en œuvre et résoudre les problèmes d'autorisation pour les ressources AWS.

Connaissances de :

• Différentes politiques IAM (par exemple, politiques gérées, politiques intégrées, politiques basées sur l'identité, politiques basées sur les ressources, politiques de contrôle de session)
• Composants et impact d'une politique (par exemple, Principal, Action, Ressource, Condition)
• Comment résoudre les problèmes d'autorisation (par exemple, en utilisant CloudTrail, IAM Access Advisor et IAM Policy Simulator)

Compétences en :

• Élaboration de stratégies de contrôle d'accès en fonction des attributs (ABAC) et de contrôle d'accès en fonction du rôle (RBAC)
• Évaluation des types de politiques IAM pour des exigences et des charges de travail données
• Interprétation de l'effet d'une politique IAM sur les environnements et les charges de travail
• Application du principe du moindre privilège dans l'ensemble d'un environnement
• Application d'une séparation appropriée des fonctions
• Analyse des erreurs d'accès ou d'autorisation pour déterminer la cause ou l'effet
• Enquête sur les autorisations, les autorisations ou les privilèges non intentionnels accordés à une ressource, un service ou une entité

Domaine 5 : Protection des données

Énoncé de tâche 5.1 : Concevoir et mettre en œuvre des contrôles qui assurent la confidentialité et l'intégrité des données en transit.

Connaissances de :

• Concepts TLS
• Concepts VPN (par exemple, IPsec)
• Méthodes d'accès à distance sécurisées (par exemple, SSH, RDP via Systems Manager Session Manager)
• Concepts de Systems Manager Session Manager
• Fonctionnement des certificats TLS avec divers services et ressources réseau (par exemple, CloudFront, équilibreurs de charge)

Compétences en :

• Conception d'une connectivité sécurisée entre AWS et les réseaux locaux (par exemple, en utilisant Direct Connect et des passerelles VPN)
• Conception de mécanismes pour exiger le chiffrement lors de la connexion aux ressources (par exemple, Amazon RDS, Amazon Redshift, CloudFront, Amazon S3, Amazon DynamoDB, équilibreurs de charge, Amazon Elastic File System [Amazon EFS], Amazon API Gateway)
• Exigence de TLS pour les appels d'API AWS (par exemple, avec Amazon S3)
• Conception de mécanismes pour transférer le trafic sur des connexions sécurisées (par exemple, en utilisant Systems Manager et EC2 Instance Connect)
• Conception de la connectivité inter-Région en utilisant des VIF privées et publiques

Énoncé de tâche 5.2 : Concevoir et mettre en œuvre des contrôles qui assurent la confidentialité et l'intégrité des données au repos.

Connaissances de :

• Sélection des techniques de chiffrement (par exemple, côté client, côté serveur, symétrique, asymétrique)
• Techniques de vérification de l'intégrité (par exemple, algorithmes de hachage, signatures numériques)
• Politiques de ressources (par exemple, pour DynamoDB, Amazon S3 et AWS Key Management Service [AWS KMS])
• Rôles et politiques IAM

Compétences en :

• Conception de politiques de ressources pour restreindre l'accès aux utilisateurs autorisés (par exemple, politiques de seau S3, politiques DynamoDB)
• Conception de mécanismes pour empêcher l'accès public non autorisé (par exemple, blocage de l'accès public S3, prévention des instantanés et AMI publics)
• Configuration des services pour activer le chiffrement des données au repos (par exemple, Amazon S3, Amazon RDS, DynamoDB, Amazon Simple Queue Service [Amazon SQS], Amazon EBS, Amazon EFS)
• Conception de mécanismes pour protéger l'intégrité des données en empêchant les modifications (par exemple, en utilisant le verrouillage des objets S3, les politiques de clé KMS, le verrouillage du coffre-fort Glacier S3 et le verrouillage du coffre-fort de sauvegarde AWS)
• Conception du chiffrement au repos à l'aide d'AWS CloudHSM pour les bases de données relationnelles (par exemple, Amazon RDS, RDS Custom, bases de données sur des instances EC2)
• Choix des techniques de chiffrement en fonction des exigences commerciales

Énoncé de tâche 5.3 : Concevoir et mettre en œuvre des contrôles pour gérer le cycle de vie des données au repos.

Connaissances de :

• Politiques de cycle de vie
• Normes de rétention des données

Compétences en :

• Conception de mécanismes de cycle de vie S3 pour conserver les données pendant les périodes de rétention requises (par exemple, verrouillage des objets S3, verrouillage du coffre-fort Glacier S3, politique de cycle de vie S3)
• Conception de la gestion automatique du cycle de vie pour les services et ressources AWS (par exemple, Amazon S3, instantanés de volume EBS, instantanés de volume RDS, AMI, images de conteneurs, groupes de journaux CloudWatch, Amazon Data Lifecycle Manager)
• Établissement de calendriers et de rétention pour AWS Backup dans l'ensemble des services AWS

Énoncé de tâche 5.4 : Concevoir et mettre en œuvre des contrôles pour protéger les informations d'identification, les secrets et les matériels cryptographiques.

Connaissances de :

• Secrets Manager
• AWS Systems Manager Parameter Store
• Utilisation et gestion des clés symétriques et asymétriques (par exemple, AWS KMS)

Compétences en :

• Conception de la gestion et de la rotation des secrets pour les charges de travail (par exemple, informations d'identification d'accès à la base de données, clés d'API, clés d'accès IAM, clés gérées par le client AWS KMS)
• Conception de politiques de clé KMS pour limiter l'utilisation des clés aux utilisateurs autorisés
• Mise en place de mécanismes pour importer et supprimer le matériel de clé fourni par le client

Domaine 6 : Gestion et gouvernance de la sécurité

Énoncé de tâche 6.1 : Développer une stratégie pour déployer et gérer de manière centralisée les comptes AWS.

Connaissances de :

• Stratégies multi-comptes
• Services gérés permettant une administration déléguée
• Garde-fous définis par la politique
• Meilleures pratiques pour le compte racine
• Rôles inter-comptes

Compétences en :

• Déploiement et configuration d'AWS Organizations
• Détermination du moment et de la manière de déployer AWS Control Tower (par exemple, quels services doivent être désactivés pour un déploiement réussi)
• Mise en œuvre de SCPs en tant que solution technique pour faire appliquer une politique (par exemple, limitations sur l'utilisation d'un compte racine, mise en œuvre de contrôles dans AWS Control Tower)
• Gestion centralisée des services de sécurité et agrégation des conclusions (par exemple, en utilisant l'administration déléguée et les agrégateurs AWS Config)
• Sécurisation des informations d'identification du compte racine AWS

Énoncé de tâche 6.2 : Mettre en œuvre une stratégie de déploiement sécurisée et cohérente pour les ressources cloud.

Connaissances de :

• Meilleures pratiques de déploiement avec l'infrastructure en tant que code (IaC) (par exemple, durcissement des modèles CloudFormation et détection des dérives)
• Meilleures pratiques pour le balisage
• Gestion, déploiement et versionnage centralisés des services AWS
• Visibilité et contrôle sur l'infrastructure AWS

Compétences en :

• Utilisation de CloudFormation pour déployer de manière cohérente et sécurisée les ressources cloud
• Mise en œuvre et application de stratégies de balisage multi-comptes