AWS Cloud Practitioner CLF-C02

📋 Struttura dell'Esame CLF-C02

L'esame CLF-C02 è composto da 65 domande (50 scored + 15 non-scored). Durata: 90 minuti. Punteggio minimo: 700/1000. Costo: $100 USD.

24%

Domain 1

Cloud Concepts

30%

Domain 2

Security & Compliance

34%

Domain 3

Technology & Services

12%

Domain 4

Billing, Pricing & Support

Tip esame: Le domande non-scored non sono identificabili. Tratta ogni domanda come se valesse punti. Rispondi sempre: non c'è penalità per le risposte errate.

☁️ Giorno 1 – Fondamenti del Cloud Domain 1

Cos'è il Cloud Computing?

Il cloud computing è la fornitura on-demand di risorse IT (compute, storage, database, networking, software) tramite internet con pagamento a consumo (pay-as-you-go).

I 6 Vantaggi del Cloud (AWS)

Trade fixed expense for variable expense – Paghi solo ciò che usi
Benefit from massive economies of scale – AWS aggrega milioni di clienti
Stop guessing capacity – Scala su/giù in base alla domanda
Increase speed and agility – Risorse pronte in minuti
Stop spending money running data centers – Focus sul business, non sull'infrastruttura
Go global in minutes – Deploy in più Regioni con pochi click

I 3 Modelli di Servizio Cloud

Modello	Descrizione	Esempio AWS	Responsabilità Cliente
IaaS	Infrastruttura come servizio – hardware virtualizzato	EC2, VPC, EBS	OS, middleware, app, dati
PaaS	Piattaforma come servizio – ambiente di sviluppo gestito	Elastic Beanstalk, RDS	Solo app e dati
SaaS	Software come servizio – app complete nel cloud	Amazon WorkMail, Chime	Solo utilizzo

I 3 Modelli di Deployment Cloud

Modello	Descrizione	Caso d'uso
Public Cloud	Tutto nel cloud AWS. Nessun hardware on-premises.	Startup, nuove app cloud-native
Private Cloud	Cloud dedicato, on-premises (es. VMware, OpenStack)	Settore bancario, governo, compliance stretta
Hybrid Cloud	Combinazione di on-premises + cloud pubblico	Migrazione graduale, dati sensibili on-prem

Nota esame: AWS Outposts è la soluzione AWS per portare l'infrastruttura AWS fisica nel tuo data center (hybrid/private).

Infrastruttura Globale AWS

Concetto	Descrizione	Dettaglio
Region	Area geografica con ≥2 AZ	~33 Regioni attive. Scelta: latenza, compliance, costo, servizi disponibili
Availability Zone (AZ)	1+ data center fisicamente separati	Connessi con fibra privata ridondante. Isolati per fault tolerance
Edge Location	Nodo CloudFront/Route53	>400 POP globali. Cache contenuti vicino agli utenti
Local Zone	Estensione di Regione in area metropolitana	Latenza ultra-bassa per città specifiche (es. Los Angeles)
Wavelength Zone	Deploy AWS nelle reti 5G dei carrier	Latenza <10ms per app mobile/IoT
AWS Outposts	Rack AWS fisici nel tuo data center	Stessa API AWS on-premises. Ideale per compliance dati locali

Modello di Responsabilità Condivisa

AWS Responsabile ("Security OF the Cloud")	Cliente Responsabile ("Security IN the Cloud")
Hardware fisico, data center, rete globale	Dati dei clienti
Hypervisor, virtualizzazione	Configurazione OS (patch, updates)
Software dei servizi gestiti (es. RDS OS)	Networking (Security Groups, NACL)
Infrastruttura globale (Regioni, AZ, Edge)	Gestione identità (IAM, MFA)
Software fondamentale (compute, storage, DB)	Crittografia lato client e server

Mnemonico: AWS protegge il palazzo (hardware, infrastruttura). Tu sei responsabile di quello che metti dentro (dati, OS, configurazioni).

🌐 Giorno 2 – Infrastruttura Globale Domain 1 & 3

Come Scegliere una Regione AWS?

Compliance & Data Residency: Leggi locali (es. GDPR impone dati in EU)
Latenza: Scegli la Regione più vicina ai tuoi utenti
Disponibilità dei Servizi: Non tutti i servizi AWS sono in tutte le Regioni
Costi: I prezzi variano tra Regioni (us-east-1 spesso più economica)

Servizi Globali vs Regionali

Scope	Servizi	Note
Globale	IAM, Route 53, CloudFront, WAF	Non legati a una Regione specifica
Regionale	EC2, S3, RDS, Lambda, VPC	Le risorse esistono in una Regione
Zonal	EC2 instances, EBS volumes	Legate a una specifica AZ

Nota: S3 è regionale ma i bucket hanno nomi globalmente unici. I dati restano nella Regione scelta salvo replica esplicita.

AWS Well-Architected Framework – 6 Pilastri

Pilastro	Focus	Principio chiave
Operational Excellence	Eseguire e monitorare sistemi	Infrastructure as Code, runbook, automazione
Security	Proteggere dati e sistemi	Least privilege, crittografia, MFA
Reliability	Resilienza ai guasti	Multi-AZ, backup, auto-healing
Performance Efficiency	Uso efficiente delle risorse	Serverless, right-sizing, benchmark
Cost Optimization	Eliminare sprechi	Reserved Instances, spot, auto-scaling
Sustainability	Impatto ambientale	Ridurre carbon footprint, ottimizzare utilizzo

AWS Cloud Adoption Framework (CAF)

Framework che aiuta le organizzazioni a pianificare la migrazione al cloud attraverso 6 prospettive:

Business: Allineare IT agli obiettivi aziendali
People: Training, change management, cultura
Governance: Gestione rischi, compliance, KPI
Platform: Architettura target, ambienti cloud
Security: Controlli di sicurezza, IAM, risposta agli incidenti
Operations: Monitoraggio, service management, automazione

🔐 Giorno 3 – IAM & Identity Domain 2

AWS IAM – Concetti Fondamentali

Entità IAM	Descrizione	Caso d'uso
Root User	Account owner, accesso totale illimitato	Solo per task iniziali. Non usare quotidianamente!
IAM User	Persona o applicazione con credenziali fisse	Sviluppatori, admin con accesso console/CLI
IAM Group	Collezione di Users con stesse policy	Gruppo "Developers" con policy S3/EC2
IAM Role	Identità temporanea assumibile da servizi/utenti	EC2 che accede a S3, Lambda che scrive su DynamoDB
IAM Policy	Documento JSON che definisce permessi	Allegata a User/Group/Role

Root User – 12 Cose Solo il Root Può Fare

Best practice: Crea subito un IAM User admin, abilita MFA sul root, poi non usarlo più!

Chiudere l'account AWS
Cambiare piano Support
Restaurare permessi IAM admin
Configurare S3 bucket con MFA Delete
Attivare/disattivare MFA sull'account root
Modificare le impostazioni dell'account (nome, email, password)
Visualizzare alcune tax invoices
Registrarsi come venditore nel Marketplace
Configurare CloudFront key pairs
Creare un AWS GovCloud account
Abilitare IAM access to Billing console
Submit reverse DNS per EC2

MFA – Multi-Factor Authentication

Tipo MFA	Descrizione	Esempio
Virtual MFA	App su smartphone genera TOTP	Google Authenticator, Authy, AWS MFA app
Hardware TOTP token	Dispositivo fisico genera codici temporali	Gemalto, YubiKey (modalità OTP)
FIDO Security Key (U2F)	Chiave USB fisica, standard FIDO2/WebAuthn	YubiKey, eWBM, SurePassID

AWS Organizations

Servizio per gestire più account AWS centralmente.

Componente	Descrizione
Management Account (Root)	Account principale che crea l'Organization. Paga tutto.
Organizational Unit (OU)	Contenitore logico per raggruppare account (es. OU-Prod, OU-Dev)
Member Account	Account figlio all'interno dell'Organization
Service Control Policy (SCP)	Policy che definisce il MAX dei permessi consentiti per OU/account. NON concede permessi da sola.

Vantaggi: Consolidated Billing (una sola fattura), sconti volume aggregati, SCP per governance centralizzata.

AWS IAM Identity Center (ex SSO)

Soluzione di Single Sign-On per accedere a più account AWS e applicazioni business con un unico set di credenziali.

Si integra con Active Directory, Okta, Azure AD
Assegna Permission Sets (es. PowerUserAccess) agli utenti
Accesso centralizzato tramite AWS Access Portal
Ideale per organizzazioni con decine/centinaia di account

Principio del Minimo Privilegio (Least Privilege)

Concedi solo i permessi strettamente necessari per eseguire il lavoro. Inizia con zero permessi e aggiungi solo quelli necessari.

Pratica: Usa AWS Access Analyzer per identificare risorse con accesso eccessivo. Usa IAM Access Advisor per vedere gli ultimi accessi e rimuovere permessi inutilizzati.

🛡️ Giorno 4 – Sicurezza & Compliance Domain 2

Protezione da DDoS – Shield & WAF

Servizio	Livello	Cosa Protegge	Costo
AWS Shield Standard	L3/L4	Tutti i clienti AWS automaticamente. Protegge da SYN floods, UDP floods	Incluso
AWS Shield Advanced	L3/L4/L7	EC2, ELB, CloudFront, Route53, Global Accelerator. DDoS Response Team 24/7	$3000/mese
AWS WAF	L7	CloudFront, ALB, API Gateway. Blocca SQL injection, XSS, bot, IP malevoli	Pay-per-use
Network Firewall	L3-L7	VPC-level. Stateful/stateless rules, IPS/IDS capabilities	Pay-per-use

Servizi di Security Monitoring

Servizio	Funzione	Input
Amazon GuardDuty	Threat detection ML-based. Rileva attività anomale	CloudTrail, VPC Flow Logs, DNS Logs
AWS Security Hub	Dashboard centralizzata security findings	GuardDuty, Inspector, Macie, Config
Amazon Inspector	Vulnerability scanning automatico su EC2/Container/Lambda	CVE database, network reachability
Amazon Macie	Scopre e protegge dati sensibili (PII) in S3	S3 bucket contents, ML classification
Amazon Detective	Indagine forense sicurezza, graph analysis	GuardDuty findings, CloudTrail, VPC Flow Logs
AWS CloudTrail	Audit trail di TUTTE le chiamate API AWS	Console, CLI, SDK, servizi AWS
AWS Config	Traccia configurazione risorse nel tempo, compliance rules	Resource config changes

AWS Trusted Advisor – 5 Categorie

Strumento che analizza il tuo account AWS e fornisce raccomandazioni in 5 categorie:

🔴 Cost Optimization: Risorse sottoutilizzate, Reserved Instances non usate
🟡 Performance: EC2 sovraccarichi, CloudFront senza compressione
🔴 Security: MFA non abilitata sul root, Security Groups aperti
🟡 Fault Tolerance: RDS senza Multi-AZ, S3 senza versionamento
🔵 Service Limits: Avviso quando si avvicina ai limiti di servizio

Piano gratuito: Solo 7 check base (security + service limits). Business/Enterprise Support: tutti i check + notifiche automatiche.

AWS Control Tower

Configura e governa un ambiente multi-account AWS in modo sicuro e conforme. Si basa su AWS Organizations e offre:

Landing Zone: Ambiente multi-account ben architettato (pronto in ore)
Guardrails: Policy preventive (SCP) e detective (Config Rules) pre-configurate
Account Factory: Provisioning automatizzato di nuovi account con baseline
Dashboard: Visibilità centralizzata sulla conformità di tutti gli account

Crittografia in AWS

Servizio	Funzione	Tipo
AWS KMS	Gestione chiavi di crittografia (CMK)	Simmetrica, Asimmetrica. Integrato con S3, EBS, RDS...
AWS CloudHSM	Hardware Security Module dedicato (FIPS 140-2 L3)	Chiavi esclusivamente sotto il tuo controllo
AWS Certificate Manager	Provisioning, gestione, rinnovo cert SSL/TLS	Gratuito per ACM-integrated services
AWS Secrets Manager	Archivia e ruota automaticamente segreti (DB password, API key)	Rotation automatica ogni X giorni

Conformità e Programmi di Compliance

AWS Artifact: Portale self-service per report di compliance (SOC 1/2/3, PCI DSS, ISO 27001, HIPAA)
AWS Audit Manager: Raccolta automatica prove per audit continuo
Programmi: PCI DSS, HIPAA/HITECH, SOC, ISO, FedRAMP, GDPR

💻 Giorno 5 – Compute & Storage Domain 3

Amazon EC2 – Tipi di Istanze

Famiglia	Ottimizzata per	Esempi	Caso d'uso
`t3, t4g`	Burstable General Purpose	t3.micro, t3.medium	Web server, dev/test, piccoli DB
`m6i, m7g`	General Purpose bilanciata	m6i.large	App server, backend
`c6i, c7g`	Compute-optimized	c6i.4xlarge	HPC, ML inference, gaming server
`r6i, r7g`	Memory-optimized	r6i.xlarge	Database in-memory, SAP, Spark
`i3, i4i`	Storage-optimized (IOPS)	i4i.xlarge	NoSQL DB, data warehousing
`p3, p4, g5`	GPU Accelerated	p4d.24xlarge	ML training, rendering, video

EC2 Modelli di Acquisto

Modello	Sconto vs On-Demand	Impegno	Quando usarlo
On-Demand	0%	Nessuno	Carichi variabili, test, sviluppo
Reserved Instances (1yr)	fino a 40%	1 anno	Carico stabile e prevedibile
Reserved Instances (3yr)	fino a 72%	3 anni	Massimo risparmio, carico fisso
Savings Plans	fino a 66%	1-3 anni	Flessibile: EC2, Fargate, Lambda
Spot Instances	fino a 90%	Nessuno (interrompibile)	Batch, ML training, rendering
Dedicated Hosts	–	On-demand o reserved	BYOL, compliance regulatory
Dedicated Instances	–	On-demand	Isolamento hardware fisico

Auto Scaling Groups (ASG)

Gestisce automaticamente un fleet di istanze EC2, garantendo scalabilità orizzontale:

Minimum capacity: Numero minimo di istanze sempre attive
Desired capacity: Numero target normale
Maximum capacity: Limite massimo scalabile
Scaling policies: Target Tracking (CPU al 70%), Step Scaling, Scheduled
Health checks: Rimpiazza automaticamente istanze unhealthy

Elastic Load Balancer (ELB) – Tipi

Tipo	Layer	Protocolli	Caso d'uso
ALB (Application)	L7	HTTP, HTTPS, gRPC	Web app, microservizi, path/host routing
NLB (Network)	L4	TCP, UDP, TLS	Ultra-bassa latenza, gaming, VoIP, static IP
GLB (Gateway)	L3	IP	Appliance di terze parti (firewall, IDS/IPS)
CLB (Classic)	L4/L7	HTTP, HTTPS, TCP	Legacy. Non usare per nuovi progetti

Storage – EBS vs EFS vs Instance Store

Caratteristica	EBS	EFS	Instance Store
Tipo	Block storage	File storage (NFS)	Block storage effimero
Persistenza	Persiste (detach/attach)	Persiste	Persi allo stop/terminate
Attachment	1 istanza (in genere)	Multi-istanza, multi-AZ	Solo istanza locale
Scalabilità	Fissa (fino a 64 TiB)	Automatica (petabyte)	Fissa (tipo istanza)
Costo	Medio	Alto	Incluso nell'istanza
Caso d'uso	Boot volume, DB	CMS, home directory, shared	Buffer, cache, temp data

AWS Storage Gateway

Bridge ibrido tra on-premises e AWS storage:

S3 File Gateway: File NFS/SMB → S3. Accesso locale, storage cloud
Volume Gateway (Stored): Dati primari on-prem, backup in S3 via EBS snapshots
Volume Gateway (Cached): Dati primari in S3, cache locale dati frequenti
Tape Gateway: Virtual Tape Library → S3/S3 Glacier (sostituisce nastri fisici)

Amazon S3 – Classi di Storage

Classe	Accesso	Durabilità	Caso d'uso
S3 Standard	Frequente	11 nove (99.999999999%)	Siti web, app, analytics
S3 Standard-IA	Infrequente	11 nove	Backup, disaster recovery
S3 One Zone-IA	Infrequente, 1 AZ	11 nove	Dati ricostruibili, secondari
S3 Glacier Instant	Retrieval ms	11 nove	Archivi con accesso immediato
S3 Glacier Flexible	1-12 ore	11 nove	Archivi con retrieval pianificato
S3 Glacier Deep Archive	12-48 ore	11 nove	Archivi regolatori a lungo termine
S3 Intelligent-Tiering	Variabile	11 nove	Pattern di accesso sconosciuti

S3 – Funzionalità Avanzate

Feature	Descrizione	Caso d'uso
Versioning	Mantiene tutte le versioni di ogni oggetto	Protezione da cancellazioni accidentali, rollback
MFA Delete	Richiede MFA per cancellare versioni o disabilitare versioning	Protezione extra oggetti critici
Object Lock	WORM (Write Once Read Many) – blocca cancellazione/modifica	Compliance normativa (SEC, FINRA)
Replication (CRR/SRR)	Cross-Region Replication o Same-Region Replication automatica	DR cross-region, riduzione latenza, backup
Presigned URL	URL temporaneo firmato per accesso privato a oggetti	Condivisione file privati per tempo limitato
Bucket Policy	Policy JSON a livello bucket che controlla accesso	Blocco accesso pubblico, accesso cross-account
Access Control List (ACL)	Legacy. Controlla accesso a bucket/oggetto singolo	Deprecato: usare Bucket Policy
S3 Transfer Acceleration	Usa CloudFront Edge Locations per upload veloci	Upload da utenti geograficamente distribuiti
Multipart Upload	Upload file grandi in parti parallele	File >100MB. Obbligatorio >5GB
Event Notifications	Trigger su eventi S3 (PUT, DELETE) verso Lambda/SQS/SNS	Processing automatico file al caricamento

Block Public Access: Impostazione account-level e bucket-level che blocca TUTTO l'accesso pubblico. Abilitato di default sui nuovi bucket. Non si può disabilitare se Block Public Access è attivo anche se la bucket policy lo permette.

Amazon CloudFront (CDN)

Content Delivery Network globale con 400+ Point of Presence (PoP/Edge Location):

Cache contenuti statici/dinamici vicino agli utenti
Integra con S3 (Origin Access Control), ALB, EC2, API Gateway
Lambda@Edge / CloudFront Functions: Esegui codice all'edge (personalizzazione, A/B testing)
Protegge da DDoS con Shield Standard incluso
Origin Shield: Layer aggiuntivo di cache prima dell'origine
Supporta HTTPS, HTTP/2, HTTP/3 (QUIC)

Compute Serverless

Servizio	Tipo	Timeout max	Caso d'uso
AWS Lambda	FaaS (Function as a Service)	15 minuti	Event-driven, API backend, automazione
AWS Fargate	Serverless containers (ECS/EKS)	Nessuno	Microservizi containerizzati senza gestire EC2
AWS App Runner	PaaS per containers	Nessuno	Deploy rapido web app senza infra

🗄️ Giorno 6 – Database & Networking Domain 3

Amazon RDS – Database Relazionale Gestito

Supporta: MySQL, PostgreSQL, MariaDB, Oracle, SQL Server, Amazon Aurora

Feature	RDS Multi-AZ	RDS Read Replica
Scopo	Alta disponibilità / failover	Scalabilità lettura / performance
Replica	Sincrona (standby passivo)	Asincrona (lettura attiva)
Failover auto	✅ Sì (60-120 sec)	❌ No (manuale promotion)
Lettura da replica	❌ No (standby non accessibile)	✅ Sì
Regioni diverse	❌ Solo stessa Regione	✅ Cross-Region possibile
Costo	2x istanza (standby)	Istanza aggiuntiva a prezzo pieno

Trap esame: Multi-AZ = failover automatico (HA). Read Replica = performance query di lettura. Non confonderli!

Amazon Aurora

Database AWS-native compatibile con MySQL/PostgreSQL
5x più veloce di MySQL, 3x di PostgreSQL standard
Storage auto-scaling fino a 128 TiB, replica su 3 AZ (6 copie dati)
Aurora Serverless v2: Auto-scaling istantaneo del compute
Aurora Global Database: Replica cross-region con RPO <1 sec

Database Specialty AWS

Servizio	Tipo DB	Caso d'uso
DynamoDB	NoSQL Key-Value / Document	Gaming, IoT, e-commerce, serverless app. Latenza ms
ElastiCache	In-memory (Redis/Memcached)	Cache sessioni, leaderboard, real-time. Sub-ms
DocumentDB	Document (MongoDB-compatible)	CMS, cataloghi, profili utente
Neptune	Graph database	Social network, fraud detection, knowledge graph
QLDB	Ledger (immutable)	Registro transazioni finanziarie, supply chain
Timestream	Time-series	IoT telemetry, metriche applicazioni, dati temporali
Keyspaces	Wide-column (Cassandra-compatible)	Applicazioni Cassandra migrate su AWS
Redshift	Data Warehouse (OLAP)	Analytics su petabyte, Business Intelligence, SQL

Amazon VPC – Virtual Private Cloud

Componente	Descrizione	Nota
VPC	Rete virtuale isolata in AWS	Ogni account ha un Default VPC per Regione
Subnet pubblica	Route table con Internet Gateway	Risorse accessibili da internet (con public IP)
Subnet privata	No route to Internet Gateway	DB, app tier – non direttamente accessibili
Internet Gateway (IGW)	Gateway tra VPC e internet	1 per VPC, scalabile e ridondante
NAT Gateway	Subnet privata → internet (outbound)	Gestito da AWS. Risiede in subnet pubblica
Security Group	Firewall stateful a livello istanza	Solo regole ALLOW. Stato connessione tracciato
NACL	Firewall stateless a livello subnet	Regole ALLOW e DENY. Ordine numerico. Stateless!

Connettività Ibrida e VPC

Servizio	Tipo	Banda	Latenza	Costo	Caso d'uso
Site-to-Site VPN	Tunnel IPsec cifrato su internet	Fino a 1.25 Gbps	Variabile	Basso	Connessione rapida on-prem ↔ AWS
AWS Direct Connect	Linea dedicata fisica (1-100 Gbps)	Fino a 100 Gbps	Costante, bassa	Alto	Alta banda, latenza deterministica
AWS PrivateLink	Connessione privata VPC ↔ servizi	–	Bassa	Medio	Esporre servizi senza internet
VPC Peering	Connessione diretta VPC ↔ VPC	–	Bassa	Trasferimento dati	2 VPC collegati direttamente
Transit Gateway	Hub centrale per molti VPC/VPN	50 Gbps/attachment	Bassa	Per attachment	Reti hub-and-spoke, centralizzazione

VPC Peering vs Transit Gateway: Peering = 1-to-1 (non transitivo). Transit Gateway = hub centrale che connette N VPC/VPN/DX in modo transitivo.

Amazon Route 53 – DNS Gestito

Route 53 è il servizio DNS globale di AWS. Gestisce registrazione domini, DNS routing e health checks.

Routing Policy	Logica	Caso d'uso
Simple	Ritorna sempre lo stesso record	Un solo endpoint
Weighted	Distribuisce % traffico tra record	A/B testing, canary deploy 90/10
Latency	Risponde con la Regione a latenza minore	App multi-regione
Failover	Primary → Secondary se primary fallisce	Disaster Recovery attivo/passivo
Geolocation	Routing basato su posizione geografica utente	Contenuti localizzati, compliance GDPR
Multi-Value	Ritorna multipli IP sani (con health check)	Load balancing DNS-level base

Trap esame: Route 53 è un servizio GLOBALE (non regionale). Il record Alias è AWS-specific e può puntare ad ALB, CloudFront, S3 website, API Gateway — GRATIS (a differenza di CNAME).

AWS Global Accelerator

Migliora la disponibilità e performance delle applicazioni globali usando la rete backbone privata AWS (non l'internet pubblico).

Fornisce 2 IP anycast statici globali come punto di ingresso fisso
Il traffico entra nella rete AWS all'Edge Location più vicina e viaggia sulla backbone AWS
Supporta EC2, ALB, NLB, Elastic IP come endpoint
Health checks automatici: failover in <30 secondi se endpoint non sano

Global Accelerator vs CloudFront: CloudFront = CDN (cache contenuti statici/dinamici). Global Accelerator = accelera traffico TCP/UDP non-HTTP (gaming, IoT, VoIP) o app che richiedono IP fissi.

Disaster Recovery – 4 Strategie

RPO (Recovery Point Objective) = quanti dati si può perdere (es. backup ogni 1h = RPO max 1h).
RTO (Recovery Time Objective) = quanto tempo per tornare operativi dopo un disastro.

Strategia DR	RPO	RTO	Costo	Descrizione
Backup & Restore	Alto (ore)	Alto (ore)	💲	Backup su S3/Glacier. Ripristino quando serve. Economico ma lento.
Pilot Light	Medio	Medio (minuti)	💲💲	Core minimo sempre attivo (es. DB replicato). Scale-out rapido in caso DR.
Warm Standby	Basso	Basso (minuti)	💲💲💲	Versione ridotta dell'ambiente sempre running. Scale-up in caso DR.
Multi-Site / Hot Standby	Minimo	Minimo (secondi)	💲💲💲💲	Due ambienti full-scale in parallelo. Failover istantaneo. Costo più alto.

Mnemonico: Backup→Pilot→Warm→Hot: costo sale, RPO/RTO scendono. Più spendi, prima recuperi.

🤖 Giorno 7 – AI, ML & Microservizi Domain 3

Servizi AI/ML Managed (Senza Codice ML)

Servizio	Funzione	Caso d'uso
Amazon Rekognition	Analisi immagini/video (visi, oggetti, testo)	Moderazione contenuti, autenticazione biometrica
Amazon Comprehend	NLP: sentiment, entità, lingua, topic	Analisi recensioni, classificazione documenti
Amazon Translate	Traduzione automatica neurale	App multilingua, localizzazione contenuti
Amazon Transcribe	Speech-to-Text automatico	Sottotitoli, trascrizione call center
Amazon Polly	Text-to-Speech (SSML)	Accessibilità, voicebot, audiolibri
Amazon Lex	Chatbot conversazionale (Alexa engine)	Call center bot, FAQ automatizzate
Amazon Kendra	Enterprise search ML-powered	Search interna su documenti aziendali
Amazon Personalize	Raccomandazioni personalizzate real-time	E-commerce, streaming, contenuti
Amazon Forecast	Previsioni time-series (ML)	Demand planning, inventory, financial planning
Amazon Textract	Estrazione testo/form/tabelle da documenti	OCR avanzato, elaborazione fatture
Amazon SageMaker	Build/train/deploy modelli ML custom	Data scientist, ML engineers
Amazon Bedrock	Modelli fondazionali (LLM) via API	GenAI app: testo, immagini, chatbot
Amazon Q	AI assistant per business e sviluppatori	Q Business: chat su dati aziendali. Q Developer: coding assistant

Microservizi & Orchestrazione

Servizio	Funzione	Caso d'uso
Amazon SQS	Message queue (pull-based). Disaccoppia componenti	Ordini e-commerce, task asincroni. Standard (at-least-once) o FIFO
Amazon SNS	Pub/Sub push notifications (fan-out)	Alerting, notifiche email/SMS/Lambda
Amazon EventBridge	Event bus serverless (event-driven)	Trigger da 90+ servizi AWS + SaaS (Zendesk, Shopify)
AWS Step Functions	Orchestrazione workflow serverless (state machine)	Processi multi-step, ML pipelines, ordini
Amazon API Gateway	Gestione API RESTful/HTTP/WebSocket	Frontend per Lambda, microservizi, mock API
AWS AppSync	GraphQL API managed	App real-time, mobile backend, data sync offline

Container Services

Servizio	Descrizione	Gestione infra
Amazon ECS	Elastic Container Service – orchestrazione container AWS-native	EC2 launch type (tu gestisci) o Fargate (serverless)
Amazon EKS	Managed Kubernetes – orchestra container con K8s	EC2 o Fargate. AWS gestisce control plane
AWS Fargate	Serverless compute per container ECS/EKS	AWS gestisce tutto. Paghi solo i container
Amazon ECR	Container registry (come Docker Hub ma AWS)	Fully managed. Integra con ECS/EKS

Developer Tools

AWS CodeCommit: Git repository privato (come GitHub ma AWS)
AWS CodeBuild: Build e test automatizzati (CI)
AWS CodeDeploy: Deploy automatizzato su EC2/Lambda/ECS (CD)
AWS CodePipeline: Orchestrazione CI/CD completa (commit → deploy)
AWS X-Ray: Tracing distribuito per debug applicazioni
Amazon CloudWatch: Metriche, log, allarmi, dashboard centralizzati
AWS CloudTrail: Audit di tutte le API calls nell'account

Amazon CloudWatch – Approfondimento

Feature	Descrizione	Esempio
Metrics	Dati numerici nel tempo (CPU, network, custom metrics)	EC2 CPU utilization, Lambda duration
Logs	Centralizza log da EC2, Lambda, ECS, API GW	Application logs, access logs
Alarms	Trigger su soglie metriche → SNS, Auto Scaling, EC2 actions	Alert se CPU > 90% per 5 min
Dashboards	Visualizzazioni personalizzate multi-metrica	Ops dashboard real-time
Log Insights	Query SQL-like sui CloudWatch Logs	Analisi errori, pattern nei log
Container Insights	Metriche/log per ECS, EKS, Kubernetes	Monitoring container in produzione
Contributor Insights	Identifica top contributors in dati di log	Top IP che generano errori 5xx
Events / EventBridge	Reagisce a eventi di stato AWS (es. EC2 state change)	Automation su eventi infrastruttura

CloudWatch Agent: Installato su EC2 per raccogliere metriche custom (RAM, disco) e log applicativi. La RAM NON è monitorata di default da CloudWatch senza agent.

AWS Elastic Beanstalk

Servizio PaaS che automatizza il deploy di applicazioni web senza gestire l'infrastruttura sottostante.

Supporta: Node.js, Python, Java, .NET, PHP, Ruby, Go, Docker
Provisioning automatico: EC2, ALB, Auto Scaling, RDS
Il cliente carica solo il codice; AWS gestisce tutto il resto
Free: Elastic Beanstalk è gratis — paghi solo le risorse create (EC2, ALB, ecc.)
Ideale per sviluppatori che vogliono focus sul codice, non sull'infrastruttura

Elastic Beanstalk vs Lambda: Beanstalk = applicazione tradizionale su server (long-running). Lambda = funzione event-driven (stateless, max 15 min).

AWS Marketplace

Catalogo digitale con migliaia di software di terze parti precostituiti per AWS:

AMI preconfigurate (es. WordPress, SAP, database commerciali)
Software SaaS, container, ML models
Licenze BYOL (Bring Your Own License) o pay-as-you-go
Fatturazione integrata nella bolletta AWS
Prodotti verificati e sicuri da AWS

Amazon Athena & AWS Glue

Servizio	Funzione	Quando usarlo
Amazon Athena	Query SQL serverless direttamente su file S3 (CSV, JSON, Parquet)	Analisi log, query ad-hoc su data lake. Paghi per dati scansionati.
AWS Glue	ETL serverless (Extract, Transform, Load) + Data Catalog	Preparazione dati per analytics, catalogazione metadata
Amazon QuickSight	BI dashboard serverless su dati AWS	Visualizzazioni interattive per business users
Amazon OpenSearch	Search e analytics su log/documenti (ex Elasticsearch)	Full-text search, analisi log real-time
AWS Lake Formation	Setup e governance di data lake su S3	Centralizza accesso ai dati, fine-grained permissions

💰 Giorno 8 – Billing, Costi & Support Domain 4

Modelli di Pricing AWS

Pay-as-you-go: Paghi esattamente ciò che usi, quando lo usi
Pay less when you reserve: Impegno 1-3 anni = sconti fino al 72%
Pay less with more use: Sconti volume su S3, Data Transfer
Free Tier: 12 mesi gratuiti per servizi nuovi + always-free (Lambda 1M req/mese)

Strumenti di Cost Management

Strumento	Funzione	Quando usarlo
AWS Pricing Calculator	Stima costi PRIMA del deploy	Planning, proposte commerciali, budget preventivo
AWS Cost Explorer	Analizza costi storici e futuri (grafici)	Identificare trend di spesa, anomalie
AWS Budgets	Alert quando superi soglie di spesa	Notifiche email/SNS al 80%, 100% del budget
Cost & Usage Report (CUR)	Report granulare CSV su S3 (ogni ora)	Analisi avanzata, chargeback, FinOps
Cost Anomaly Detection	ML che rileva spike di costo inattesi	Alert automatici per spese anomale
AWS Compute Optimizer	Raccomandazioni right-sizing EC2/Lambda/EBS	Ridurre over-provisioning, ottimizzare spesa compute

AWS Support Plans

Piano	Costo	TAM	Resp. Critica	Trusted Advisor
Basic	Gratis	❌	❌	7 check
Developer	$29/mese (min)	❌	❌	7 check
Business	$100/mese (min)	❌	<1 ora	✅ Tutti
Enterprise On-Ramp	$5500/mese (min)	Pool TAM	<30 min	✅ Tutti
Enterprise	$15000/mese (min)	TAM dedicato	<15 min	✅ Tutti

Differenza Enterprise vs Enterprise On-Ramp: Enterprise On-Ramp ha un pool di TAM (condivisi), Enterprise ha un TAM dedicato. Entrambi hanno risposta <15/30 min per critical issues.

Consolidated Billing

Un solo pagamento per tutti gli account dell'Organization
Volume discounts: I consumi di tutti gli account si sommano → soglie di sconto più basse
Free tiers: Si applicano per account, non a livello di Organization
Il Management Account paga tutto. Può condividere Reserved Instances e Savings Plans tra account

Reserved Instance Marketplace

Permette di vendere Reserved Instances non più necessarie ad altri clienti AWS. Puoi acquistare RI di terze parti con sconti aggiuntivi e scadenze residue.

AWS Cost Allocation Tags

Tag applicati alle risorse AWS per tracciare i costi per progetto, team, ambiente:

AWS generated tags: es. aws:createdBy
User-defined tags: es. Project: Phoenix, Environment: Prod
Attiva i tag nel Billing Console per vederli in Cost Explorer e CUR

AWS License Manager

Gestisce e traccia le licenze software (Microsoft, Oracle, SAP) su AWS e on-premises. Aiuta a rimanere conformi agli accordi di licenza ed evitare sanzioni.

AWS Personal Health Dashboard

Mostra lo stato di salute dei servizi AWS relativi al TUO account specifico (eventi pianificati, interruzioni che ti impattano). Diverso dal AWS Service Health Dashboard (stato globale di tutti i servizi AWS per tutti).

Differenza chiave: Service Health Dashboard = stato globale AWS (tutti). Personal Health Dashboard = impatto sul tuo account specifico.

AWS Well-Architected Tool

Strumento gratuito che valuta l'architettura AWS del tuo workload confrontandola con le best practice dei 6 pilastri del Well-Architected Framework. Genera report con rischi identificati e raccomandazioni.

Riassunto Prezzi EC2 per l'Esame

Scenario Esame	Risposta Corretta
Carico imprevedibile, breve durata	On-Demand
Carico stabile, 1 anno, massimo risparmio	Reserved Instances 1yr All Upfront
Carico stabile, 3 anni, massimo risparmio assoluto	Reserved Instances 3yr All Upfront
Flessibilità tipo istanza con sconto	Savings Plans (Compute)
Batch, ML, rendering, CI/CD (interrompibile)	Spot Instances
Compliance BYOL, server fisico dedicato	Dedicated Hosts
Test/dev, uso occasionale	On-Demand

📝 Giorno 9 – Ripasso Finale Review

Usa questa sezione per consolidare i concetti chiave prima dell'esame. Rivedi le flashcard, fai il quiz trappola e il mock exam completo.

Checklist Pre-Esame

✅ Conosco i 4 domini e le loro percentuali (24/30/34/12)
✅ So distinguere Modello Condiviso AWS (OF) vs Cliente (IN)
✅ IAM: User vs Group vs Role vs Policy – differenze chiare
✅ Multi-AZ = failover HA, Read Replica = performance lettura
✅ Security Group = stateful, NACL = stateless
✅ S3 classi: Standard → IA → Glacier → Deep Archive (costo↓, retrieval↑)
✅ Spot = 90% sconto ma interrompibile, Reserved = 72% con impegno
✅ CloudTrail = AUDIT API calls, Config = COMPLIANCE resource state
✅ Shield Standard = gratis+auto, Advanced = $3000/mese+DRT
✅ Support: Business = TAM pool + 1h critical, Enterprise = TAM dedicato + 15min
✅ Route 53: Simple/Weighted/Latency/Failover/Geo/MultiValue routing policies
✅ DR: Backup→Pilot Light→Warm Standby→Multi-Site (costo↑, RTO/RPO↓)
✅ S3 versioning + Object Lock (WORM) + presigned URL + Block Public Access
✅ CloudWatch: Metrics, Logs, Alarms, Dashboards — RAM NON monitorata senza agent
✅ Elastic Beanstalk = PaaS gratis (paghi solo le risorse), Lambda = FaaS event-driven
✅ Athena = SQL serverless su S3, Glue = ETL serverless, QuickSight = BI dashboard
✅ Global Accelerator = 2 IP anycast statici, backbone AWS, TCP/UDP
✅ Personal Health Dashboard = il tuo account, Service Health Dashboard = tutti

🚀 Giorno 10 – Migrazione & Infrastructure as Code Domain 3

Le 7 R della Migrazione Cloud

Strategia	Nome	Descrizione	Effort
Retire	Dismetti	Elimina applicazioni non più necessarie	–
Retain	Mantieni	Lascia on-premises (compliance, non migra ora)	–
Rehost	Lift & Shift	Sposta VM as-is su EC2 senza modifiche	Basso
Replatform	Lift, Tinker & Shift	Piccole ottimizzazioni (es. DB su RDS invece di EC2)	Medio
Repurchase	Drop & Shop	Passa a SaaS (es. Salesforce invece di CRM custom)	Medio
Refactor / Re-architect	Modernizza	Riprogetta come cloud-native, microservizi	Alto
Relocate	Sposta a VMware Cloud	Migra VMware on-prem su VMware Cloud on AWS	Basso

Strumenti di Migrazione AWS

Servizio	Funzione
AWS Migration Hub	Dashboard centralizzata per tracciare lo stato di tutte le migrazioni
AWS Application Discovery Service	Scopre e analizza server/dipendenze on-premises prima della migrazione
AWS Application Migration Service (MGN)	Rehost automatizzato di server fisici/VM su EC2 (ex CloudEndure)
AWS Database Migration Service (DMS)	Migra DB omogenei (MySQL→MySQL) ed eterogenei (Oracle→Aurora)
AWS Schema Conversion Tool (SCT)	Converte schema DB + stored procedure tra engine diversi
AWS DataSync	Trasferimento dati online da NFS/SMB/HDFS a S3/EFS/FSx
AWS Snow Family	Migrazione fisica dati via dispositivo (offline, alta sicurezza)

AWS Snow Family – Migrazione Dati Fisici

Dispositivo	Capacità	Caso d'uso
Snowcone	8-14 TB	Edge computing, raccolta dati remota (piccolo, robusto)
Snowball Edge Storage	80 TB	Migrazione dati, storage distribuito
Snowball Edge Compute	42 TB + EC2	Machine learning edge, processing locale
Snowmobile	100 PB	Migrazione datacenter intera su camion

Infrastructure as Code (IaC)

Servizio	Linguaggio	Livello	Descrizione
AWS CloudFormation	JSON / YAML	Dichiarativo	IaC nativa AWS. Template = Stack. Rollback automatico
AWS CDK	Python, TypeScript, Java...	Imperativo → CF	Codice si compila in template CloudFormation
AWS SAM	YAML (estende CF)	Dichiarativo	Serverless Application Model – semplifica Lambda+API GW+DynamoDB
Terraform (HashiCorp)	HCL	Dichiarativo	Multi-cloud IaC. NON nativo AWS ma comunemente usato

AWS Systems Manager (SSM)

Suite di strumenti per gestire e automatizzare l'infrastruttura AWS:

Session Manager: Shell browser su EC2 senza SSH/bastion host
Patch Manager: Patching automatizzato OS su flotte di istanze
Parameter Store: Archiviazione sicura di configurazioni e segreti
Run Command: Esegui comandi su flotte di EC2 senza SSH
Automation: Runbook automatizzati (es. restart istanze, backup)

AWS OpsWorks

Servizio di configuration management basato su Chef e Puppet. Gestisce configurazioni server, deployment, automazione. Utile per chi già usa Chef/Puppet on-premises e vuole portarlo su AWS.

🗝️ Keyword Mapping – Guida Rapida all'Esame

Quando vedi queste parole chiave nella domanda d'esame, pensa subito al servizio corrispondente.

Keyword / Scenario	Servizio AWS	Perché
"DDoS protection automatica"	AWS Shield Standard	Incluso gratis per tutti i clienti AWS, protegge L3/L4
"DDoS protection avanzata + supporto 24/7"	AWS Shield Advanced	$3000/mese, DDoS Response Team dedicato
"SQL injection / XSS / bot protection"	AWS WAF	Web Application Firewall L7 per CloudFront/ALB/API GW
"Audit di tutte le chiamate API"	AWS CloudTrail	Registra chi ha fatto cosa, quando, da dove
"Compliance e configurazione risorse nel tempo"	AWS Config	Traccia cambiamenti config, valuta regole compliance
"Threat detection, attività sospette"	Amazon GuardDuty	ML su CloudTrail + VPC Flow Logs + DNS
"Vulnerability scanning EC2/container"	Amazon Inspector	Scansione automatica CVE e network reachability
"Dati sensibili PII in S3"	Amazon Macie	ML scopre e classifica dati sensibili nei bucket S3
"Indagine forense sicurezza / grafo sicurezza"	Amazon Detective	Analizza GuardDuty findings con graph analysis
"Gestione chiavi crittografia"	AWS KMS	Customer Managed Keys, integrato con S3/EBS/RDS
"Hardware security module dedicato FIPS"	AWS CloudHSM	HSM fisico dedicato, cliente controlla tutte le chiavi
"Rotazione automatica password DB"	AWS Secrets Manager	Archivia e ruota automaticamente secrets
"Certificati SSL/TLS gratuiti"	AWS Certificate Manager	Provisioning e rinnovo auto cert per CloudFront/ALB
"Report compliance / attestazioni SOC PCI ISO"	AWS Artifact	Self-service portal per documentazione compliance
"SSO / Single Sign-On multi-account"	AWS IAM Identity Center	Un login per tutti gli account e app business
"Governance multi-account guardrails"	AWS Control Tower	Landing zone + guardrail preventivi/detective
"Policy limiti massimi permessi per OU"	Service Control Policy (SCP)	Parte di AWS Organizations, non concede permessi
"Connessione dedicata on-premises ad alta banda"	AWS Direct Connect	Linea fisica 1-100 Gbps, latenza deterministica
"Connessione VPN rapida on-prem ↔ AWS"	AWS Site-to-Site VPN	Tunnel IPsec cifrato su internet pubblico
"Connessione privata tra VPC e servizi AWS"	AWS PrivateLink	Evita traffico su internet pubblico
"Connessione hub tra molti VPC"	AWS Transit Gateway	Hub-and-spoke, transitivo, scalabile
"Cache sessioni / sub-millisecondo reads"	Amazon ElastiCache	Redis o Memcached in-memory
"Failover automatico database"	RDS Multi-AZ	Replica sincrona standby, failover auto 60-120s
"Scalabilità lettura / query reporting"	RDS Read Replica	Replica asincrona, accesso in lettura
"Serverless database infinitamente scalabile"	Amazon DynamoDB	NoSQL key-value/document, latenza ms
"Data warehouse / OLAP analytics"	Amazon Redshift	Petabyte-scale SQL analytics, BI
"Dashboard BI visualizzazione dati"	Amazon QuickSight	Business Intelligence serverless
"Migrazione database eterogenea (Oracle → Aurora)"	AWS DMS + SCT	DMS migra dati, SCT converte schema
"Migrazione petabyte offline / senza internet"	AWS Snowmobile	Camion con 100 PB di storage
"Migrazione TB offline dispositivo fisico"	AWS Snowball Edge	80TB per migrazione dati fisici
"Storage ibrido on-prem + cloud"	AWS Storage Gateway	File/Volume/Tape Gateway per ibrido
"CDN / cache contenuti vicino utenti"	Amazon CloudFront	400+ PoP, integra con S3/ALB/API GW
"Auto-healing / auto-scaling fleet EC2"	Auto Scaling Group	Min/desired/max instances, health checks
"Load balancing HTTP/HTTPS con routing avanzato"	Application Load Balancer	L7, path-based routing, host-based routing
"Load balancing TCP/UDP ultra-bassa latenza"	Network Load Balancer	L4, static IP, millions req/sec
"Esegui codice senza server"	AWS Lambda	FaaS, event-driven, 15min max, pay-per-invocation
"Container senza gestire server"	AWS Fargate	Serverless compute per ECS/EKS
"Event-driven da SaaS / third-party"	Amazon EventBridge	Event bus, 90+ sorgenti AWS + SaaS partner
"Disaccoppiamento code messaggi"	Amazon SQS	Pull-based, Standard (at-least-once) o FIFO
"Notifiche push / fan-out multi-subscriber"	Amazon SNS	Pub/Sub, email/SMS/Lambda/SQS
"Orchestrazione workflow multi-step serverless"	AWS Step Functions	State machine JSON, visual workflow
"API RESTful managed"	Amazon API Gateway	Frontend per Lambda, throttling, auth, caching
"Chatbot / interfaccia conversazionale"	Amazon Lex	Engine Alexa, NLU + ASR
"AI coding assistant / GenAI per sviluppatori"	Amazon Q Developer	Code suggestions, debugging, security scan
"AI assistant su dati aziendali interni"	Amazon Q Business	Chat su documenti S3, SharePoint, Salesforce
"Infrastructure as Code AWS nativo"	AWS CloudFormation	Template JSON/YAML → Stack AWS
"Monitoraggio metriche / allarmi / log"	Amazon CloudWatch	Metriche EC2/Lambda, Logs, Alarms, Dashboards
"Stima costi prima del deploy"	AWS Pricing Calculator	What-if analysis, export stime
"Alert spesa anomala ML-based"	AWS Cost Anomaly Detection	ML rileva spike inattesi, alert SNS/email
"Ottimizzare tipo istanza EC2 (right-sizing)"	AWS Compute Optimizer	ML analizza utilizzo, suggerisce tipo ottimale
"Raccomandazioni 5 categorie account"	AWS Trusted Advisor	Cost, Performance, Security, FT, Service Limits
"Hardware dedicato / BYOL licenze"	EC2 Dedicated Hosts	Server fisico dedicato a te, visibilità socket/core
"Spot instances / workload interrompibile"	Amazon EC2 Spot	Fino a 90% sconto, può essere interrotto da AWS
"Regole compliance risorse AWS"	AWS Config Rules	Valuta continuamente conformità risorse

🪤 Quiz Trappole – 10 Domande Difficili

Queste domande coprono i punti più frequentemente sbagliati nell'esame CLF-C02. Seleziona la risposta e clicca "Verifica".

1. Un'azienda deve garantire che il suo database rimanga disponibile anche se un'intera Availability Zone diventa inaccessibile. Quale funzionalità di RDS dovrebbe abilitare?

A. Read Replica in un'altra AZ B. RDS Multi-AZ deployment C. RDS Enhanced Monitoring D. RDS Automated Backup con retention 7 giorni

✅ Risposta: B – RDS Multi-AZ
Multi-AZ crea una replica sincrona standby in una AZ diversa con failover automatico (60-120 secondi). La Read Replica è asincrona e serve per scalare le letture, non per failover automatico.

2. Un Security Group permette il traffico in ingresso sulla porta 443. Un NACL blocca il traffico in uscita sulla porta 443 verso la stessa subnet. Cosa succede alle connessioni HTTPS in entrata?

A. Funzionano normalmente perché il Security Group è stateful B. Vengono bloccate perché il NACL nega il traffico di risposta C. Funzionano perché HTTPS usa connessioni one-way D. Vengono reindirizzate alla porta 80

✅ Risposta: B – Bloccate dal NACL
NACL è stateless: ogni pacchetto è valutato indipendentemente. Anche se la connessione in entrata è permessa, il traffico di risposta in uscita viene bloccato dal NACL. I Security Group sono stateful: tracciano lo stato della connessione e permettono automaticamente il traffico di risposta.

3. Un team deve archiviare log di compliance legale per 7 anni. I log non verranno mai letti ma devono essere recuperabili entro 48 ore se necessario. Quale classe S3 è più economica?

A. S3 Standard B. S3 Glacier Flexible Retrieval C. S3 Glacier Deep Archive D. S3 Standard-IA

✅ Risposta: C – S3 Glacier Deep Archive
È la classe S3 più economica (~$0.00099/GB/mese). Il retrieval di 12-48 ore soddisfa il requisito. Standard-IA e Glacier Flexible costano di più. Standard è la più cara per storage a lungo termine raramente acceduto.

4. Un'applicazione EC2 deve leggere file da un bucket S3. Quale è il metodo MIGLIORE per concedere questo accesso in modo sicuro?

A. Creare un IAM User con access keys e configurarle nell'applicazione B. Assegnare un IAM Role all'istanza EC2 con la policy S3 read necessaria C. Fare il bucket S3 pubblico D. Usare le credenziali root nel codice dell'applicazione

✅ Risposta: B – IAM Role sull'istanza EC2
I Role forniscono credenziali temporanee e rotanti automaticamente via Instance Metadata Service. Non bisogna mai hard-codare access keys nel codice (rischio di leak). Le credenziali root non vanno mai usate in applicazioni.

5. Qual è la differenza principale tra AWS CloudTrail e AWS Config?

A. CloudTrail monitora le configurazioni delle risorse; Config registra le chiamate API B. CloudTrail registra le chiamate API (chi ha fatto cosa); Config traccia le configurazioni delle risorse nel tempo (come sono cambiate) C. Sono lo stesso servizio con nomi diversi D. CloudTrail è per la sicurezza, Config è solo per il costo

✅ Risposta: B
CloudTrail = audit trail di TUTTE le chiamate API (chi, cosa, quando, da dove). Config = stato e cronologia configurazione risorse + regole di compliance. Esempi: CloudTrail dice "chi ha terminato l'istanza EC2 alle 14:30"; Config dice "questa istanza non aveva Multi-AZ abilitato".

6. Un'azienda con 20 account AWS vuole applicare una policy che impedisca a TUTTI gli account (incluso il management account) di disabilitare CloudTrail. Quale servizio usare?

A. IAM Permission Boundary B. AWS Config Rule C. Service Control Policy (SCP) applicata alla Root dell'Organization D. IAM Policy allegata agli utenti di ogni account

✅ Risposta: C – SCP sulla Root
Le SCP di AWS Organizations applicano i permessi massimi a tutta la gerarchia. Applicata alla Root, si estende a tutti gli OU e account. Le IAM Policy operano solo all'interno di un singolo account. Config Rules rilevano la non-conformità ma non la prevengono.

7. Un'organizzazione con 15 account AWS usa Consolidated Billing. Ha acquistato 100 Reserved Instances di tipo m5.large. Solo uno dei 15 account usa effettivamente quelle istanze. Come funziona lo sconto RI?

A. Lo sconto si applica solo all'account che ha acquistato le RI B. Lo sconto RI può essere condiviso con tutti gli account dell'Organization automaticamente C. Lo sconto si applica solo se tutti gli account usano lo stesso tipo di istanza D. Non c'è sconto perché le RI sono legate a un account specifico

✅ Risposta: B – Condivisione automatica
Con Consolidated Billing, le Reserved Instances e i Savings Plans vengono condivisi automaticamente tra tutti gli account dell'Organization (se la funzione RI Sharing è abilitata, che è il default). Questo massimizza l'utilizzo degli sconti. Questo è uno dei principali vantaggi del Consolidated Billing.

8. Un'applicazione deve elaborare 1 milione di immagini caricate su S3 ogni giorno. L'elaborazione richiede 2 minuti per immagine. Quale servizio è più appropriato?

A. AWS Lambda triggered da S3 events B. Amazon EC2 con Auto Scaling Group e SQS C. AWS Fargate con ECS e SQS D. B o C sono entrambe opzioni valide; Lambda NON è adatto

✅ Risposta: D – Lambda non è adatto
Lambda ha un timeout massimo di 15 minuti. 2 minuti è sotto il limite, però con 1 milione di immagini/giorno (~11.5/sec) e la natura batch del lavoro, EC2+ASG+SQS o Fargate+ECS+SQS sono più appropriati per carichi batch sostenuti. Lambda è ideale per task brevi event-driven.

9. Quale affermazione sul modello di responsabilità condivisa per Amazon RDS è CORRETTA?

A. Il cliente è responsabile del patching del sistema operativo del database B. AWS è responsabile del patching del motore DB e del OS sottostante; il cliente gestisce i dati e la configurazione C. AWS gestisce i dati del cliente incluse le query D. Il cliente deve configurare manualmente la replica Multi-AZ dell'OS

✅ Risposta: B
RDS è un servizio managed: AWS gestisce OS patching, DB engine patching, backup automatico, Multi-AZ failover hardware. Il cliente è responsabile dei dati, delle query, della configurazione dell'accesso (utenti DB, Security Groups), e della scelta delle opzioni di backup/retention.

10. Un'azienda vuole ridurre i costi EC2 per carichi di lavoro di produzione stabili e prevedibili che girano 24/7 per i prossimi 3 anni. Quale opzione di acquisto offre il MASSIMO risparmio?

A. Spot Instances B. On-Demand Instances C. Reserved Instances 3 anni, pagamento All Upfront D. Dedicated Hosts con Reserved pricing

✅ Risposta: C – Reserved Instances 3 anni All Upfront
Per carichi stabili 24/7 su 3 anni, RI 3yr All Upfront offre fino al 72% di sconto rispetto a On-Demand. Spot non è adatto per produzione (interrompibile). Dedicated Hosts sono più costosi e servono per compliance/BYOL. Savings Plans sono flessibili ma leggermente meno convenienti delle RI per stessi tipi di istanza.

🃏 Flashcard Mode – 42 Carte

Clicca sulla carta per girarla. Usa i pulsanti per segnare se la conosci o devi ripassarla.

Carta 1 di 42

Cloud Concepts

Loading...

👆 Clicca per vedere la risposta

Answer

Detail

🎯 Mock Exam – 20 Domande Simulate

Simula le condizioni reali dell'esame CLF-C02. 20 domande su tutti i 4 domini. Timer 30 minuti totali.

20

Domande

30 min

Tempo totale

70%

Punteggio minimo

4

Domini coperti

Domanda 1 di 20

Domain 1 – Cloud Concepts

30:00

–/20

–

Giorni Completati

Sezioni Studiate

Media Quiz

Flashcard Viste

📋 Struttura dell'Esame CLF-C02

Domain 1

Domain 2

Domain 3

Domain 4

☁️ Giorno 1 – Fondamenti del Cloud Domain 1

Cos'è il Cloud Computing?

I 6 Vantaggi del Cloud (AWS)

I 3 Modelli di Servizio Cloud

I 3 Modelli di Deployment Cloud

Infrastruttura Globale AWS

Modello di Responsabilità Condivisa

🌐 Giorno 2 – Infrastruttura Globale Domain 1 & 3

Come Scegliere una Regione AWS?

Servizi Globali vs Regionali

AWS Well-Architected Framework – 6 Pilastri

AWS Cloud Adoption Framework (CAF)

🔐 Giorno 3 – IAM & Identity Domain 2

AWS IAM – Concetti Fondamentali

Root User – 12 Cose Solo il Root Può Fare

MFA – Multi-Factor Authentication

AWS Organizations

AWS IAM Identity Center (ex SSO)

Principio del Minimo Privilegio (Least Privilege)

🛡️ Giorno 4 – Sicurezza & Compliance Domain 2

Protezione da DDoS – Shield & WAF

Servizi di Security Monitoring

AWS Trusted Advisor – 5 Categorie

AWS Control Tower

Crittografia in AWS

Conformità e Programmi di Compliance

💻 Giorno 5 – Compute & Storage Domain 3

Amazon EC2 – Tipi di Istanze

EC2 Modelli di Acquisto

Auto Scaling Groups (ASG)

Elastic Load Balancer (ELB) – Tipi

Storage – EBS vs EFS vs Instance Store

AWS Storage Gateway

Amazon S3 – Classi di Storage

S3 – Funzionalità Avanzate

Amazon CloudFront (CDN)

Compute Serverless

🗄️ Giorno 6 – Database & Networking Domain 3

Amazon RDS – Database Relazionale Gestito

Amazon Aurora

Database Specialty AWS

Amazon VPC – Virtual Private Cloud

Connettività Ibrida e VPC

Amazon Route 53 – DNS Gestito

AWS Global Accelerator

Disaster Recovery – 4 Strategie

🤖 Giorno 7 – AI, ML & Microservizi Domain 3

Servizi AI/ML Managed (Senza Codice ML)

Microservizi & Orchestrazione

Container Services

Developer Tools

Amazon CloudWatch – Approfondimento

AWS Elastic Beanstalk

AWS Marketplace

Amazon Athena & AWS Glue

💰 Giorno 8 – Billing, Costi & Support Domain 4

Modelli di Pricing AWS

Strumenti di Cost Management

AWS Support Plans

Consolidated Billing

Reserved Instance Marketplace

AWS Cost Allocation Tags

AWS License Manager

AWS Personal Health Dashboard

AWS Well-Architected Tool

Riassunto Prezzi EC2 per l'Esame

📝 Giorno 9 – Ripasso Finale Review

Checklist Pre-Esame

🚀 Giorno 10 – Migrazione & Infrastructure as Code Domain 3

Le 7 R della Migrazione Cloud

Strumenti di Migrazione AWS