Amazon SOA-C02: Netzwerk und Inhaltsbereitstellung — Lernleitfaden

By Laurynas Brazys · 2 August 2026 · #amazon #soa-c02 #certification #exam-prep #study-guide

Teil des AWS SysOps Administrator Associate SOA-C02 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Amazon-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

CloudFront CDN, Caching-Strategien und Invalidierung

CloudFront beschleunigt die Bereitstellung von Inhalten durch Caching an Edge-Standorten und reduziert die Last auf dem Ursprungsserver. Konfigurieren Sie Cache-Verhalten (Cache Behaviors) pro Pfadmuster; steuern Sie das Caching über die Header Cache-Control und Expires vom Ursprungsserver oder überschreiben Sie diese über weitergeleitete Werte (Forwarded Values) und minimale/maximale TTL in den Verteilungseinstellungen. Verwenden Sie Origin Shield, um die Last auf dem Ursprungsserver zu reduzieren, die von mehreren Edge-Standorten ausgeht.

Wichtige Caching-Strategien:

Statische Inhalte: lange TTLs, verwenden Sie Fingerprinting (Objektversionierung), sodass eine Invalidierung nicht erforderlich ist.
Dynamische Inhalte: Setzen Sie Cache-Control: no-cache oder eine minimale TTL und verwenden Sie Lambda@Edge oder eine Cache-Richtlinie (Cache Policy), um selektiv basierend auf Headern/Cookies zu cachen.
APIs: Erwägen Sie einen regionalen Cache (API Gateway + CloudFront) mit kurzen TTLs.

Invalidierungs- und Verwaltungsmuster:

Verwenden Sie

undefined

zur sofortigen Entfernung; beachten Sie die Kosten für die Invalidierung bei großen Mustern.

Bevorzugen Sie Objektversionierung (Änderung des Dateinamens oder Versionierung über Query-Strings), um häufige Invalidierungen zu vermeiden.
Stellen Sie die korrekte Konfiguration des Ursprungsservers sicher: Ein S3-Ursprung sollte mit Origin Access Control (OAC) oder OAI abgesichert werden, sodass nur CloudFront Lesezugriff hat; bei einem ALB-Ursprung stellen Sie sicher, dass Zustandsprüfungen (Health Checks) und Stickiness-Einstellungen mit dem Verhalten von CloudFront übereinstimmen.

TLS-Zertifikate, ACM und der Lebenszyklus von Zertifikaten

Verwenden Sie den AWS Certificate Manager (ACM), um Zertifikate für ELB, CloudFront und API Gateway bereitzustellen. Fordern Sie öffentliche Zertifikate mit

undefined

für die DNS-Validierung an, was eine automatische Erneuerung ermöglicht. Wichtig: CloudFront erfordert ACM-Zertifikate in der Region us-east-1; regionale Dienste (ALB, regionales API Gateway) benötigen Zertifikate in der Zielregion.

Validierungs- und Rotationsmuster:

Die DNS-Validierung automatisiert die Erneuerung und ist die bevorzugte Methode für den Produktivbetrieb; erstellen Sie CNAME-Einträge in Route 53 über die Konsole oder mit

undefined

Für manuelle oder importierte Zertifikate verwenden Sie

undefined

und verfolgen Sie das Ablaufdatum mit

undefined

Rotieren Sie Zertifikate, indem Sie das neue Zertifikat parallel zum alten bereitstellen (zu ALB oder CloudFront-Verteilung hinzufügen), den Datenverkehr überprüfen und dann das alte Zertifikat vor dessen Ablauf entfernen.

Entscheidungskriterien: Verwenden Sie ACM für öffentliche Zertifikate, die an von AWS verwaltete Endpunkte angehängt werden. Importierte Zertifikate sollten nur verwendet werden, wenn eine private CA oder externe Vertrauensanker (Trust Anchors) erforderlich sind.

Häufige Fallstricke und Entscheidungskriterien

Falsche Regeln in Sicherheitsgruppen oder Routing-Tabellen, die zu nicht erreichbaren Instanzen führen – überprüfen Sie die eingehenden und ausgehenden Regeln der Sicherheitsgruppen sowie die 0.0.0.0/0-Einträge in der Routing-Tabelle; denken Sie daran, dass Sicherheitsgruppen zustandsbehaftet (stateful) sind, während NACLs zustandslos (stateless) sind und explizite Freigaben für ephemere Ports erfordern.
Falsch konfigurierte DNS-TTLs, die nach einem Failover zu veraltetem Routing führen – legen Sie TTLs basierend auf den Failover-Fenstern fest (kurze TTLs für aktives Failover) und testen Sie das Failover mit aktivierten Zustandsprüfungen (Health Checks).
Übersehen der CloudFront-Ursprungskonfiguration und OAC/OAI – sichern Sie S3-Ursprünge ab, damit die Buckets nicht öffentlich sind, und stellen Sie sicher, dass die Ursprungsidentität von CloudFront Objekte lesen kann.
Sich auf Direct Connect ohne VPN-Backup zu verlassen – entwerfen Sie immer eine hybride DX + VPN-Architektur für Resilienz und validieren Sie das BGP-Failover-Verhalten.
Platzieren von NAT-Gateways in nur einer AZ – erstellen Sie NAT-Gateways pro AZ, um AZ-übergreifende Datenpfade und den Ausfall des Egress-Traffics in einer einzelnen AZ zu vermeiden.
Vergessen der ACM-Regionsregeln für CloudFront – fordern Sie öffentliche Zertifikate für CloudFront in us-east-1 an; föderierte oder regionale Dienste erfordern regionale Zertifikate.

Praktisches Problem: Anwendungsfallszenario

AcmePayments betreibt eine globale Zahlungsanwendung mit regionalen ALBs, einer auf S3 basierenden statischen Website und einem On-Premises-Rechenzentrum, das Verbindungen mit hohem Durchsatz für Abwicklungen benötigt. Sie erfordern eine vorhersagbare Latenz, eine sichere Verteilung für statische Inhalte und ein schnelles Failover, falls die Leistung einer Region nachlässt.

Entwerfen Sie VPCs mit AZ-lokalen öffentlichen und privaten Subnetzen; stellen Sie NAT-Gateways pro AZ bereit und konfigurieren Sie die Routing-Tabellen so, dass der ausgehende Verkehr (Egress) privater Subnetze über das lokale NAT-Gateway geleitet wird.
Stellen Sie eine Direct Connect-Verbindung mit einem privaten VIF zur nächstgelegenen Region bereit und konfigurieren Sie ein redundantes Site-to-Site-VPN als automatisches Failover mittels BGP mit entsprechender Routenpropagierung zu einem Transit Gateway.
Verwenden Sie latenzbasiertes Routing von Route 53 für ALBs mit Zustandsprüfungen (Health Checks) und niedrigen TTLs für kritische Endpunkte; implementieren Sie gewichtete Einträge (Weighted Records) für gestaffelte Failover-Tests.
Stellen Sie CloudFront für die statische Website mit einem S3-Ursprung bereit, der durch Origin Access Control gesichert ist, und legen Sie lange TTLs sowie Objektversionierung fest, um Invalidierungen zu vermeiden; verwenden Sie Lambda@Edge für erforderliche Header-Manipulationen.
Fordern Sie ACM-Zertifikate mittels DNS-Validierung an (in us-east-1 für CloudFront) und stellen Sie neue Zertifikate parallel zu den bestehenden für eine Blue/Green-Rotation bereit. Entfernen Sie anschließend die alten Zertifikate vor deren Ablauf.

Begründung: Diese Schritte isolieren Fehlerdomänen, bieten ein globales Routing mit niedriger Latenz, sichern und cachen statische Inhalte am Edge und stellen sicher, dass der Lebenszyklus der Zertifikate automatisiert und unterbrechungsfrei ist – im Einklang mit Best Practices für betriebliche Verfügbarkeit und Sicherheit.

← Sicherheit · Alle Domänen · Speicher und Datenverwaltung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →