AWS CLF-C02 中，AI、数据、安全和治理是服务识别题的高频区域。
AI/ML 服务
AWS 提供多层 AI/ML 能力：
- AI 服务：直接调用能力，如识别、翻译、语音、文本分析
- ML 服务：用于训练和部署机器学习模型
- ML 框架和基础设施：面向更底层的训练环境
生成式 AI 相关服务中，Amazon Bedrock 常用于访问基础模型和构建生成式 AI 应用。
数据分析
常见流程是 ETL：
- Extract：抽取数据
- Transform：转换数据
- Load：加载数据
数据管道把数据从来源移动到存储和分析平台。分析服务用于查询、可视化和洞察。
身份与访问管理
IAM 用于管理用户、组、角色和权限策略。
IAM Identity Center 用于集中身份管理。
Secrets Manager 用于安全管理密钥和凭证。
Systems Manager 用于运维自动化和实例管理。
网络和应用保护
常见服务：
- AWS Shield：DDoS 防护
- AWS WAF：Web 应用防火墙
- Security Groups：实例级防火墙
- Network ACL：子网级防火墙
数据保护
KMS 用于密钥管理和加密。备份、加密、访问控制和审计共同构成数据保护体系。
监控与治理
CloudWatch 用于监控指标和日志。
CloudTrail 用于审计 API 调用。
AWS Config 跟踪资源配置变化。
AWS Organizations 管理多账号。
AWS Artifact 提供合规报告和协议文档。
延伸理解
复习这篇时，不要只记住名词，要把重点放在 IAM、KMS、WAF、监控治理、AI 服务选择和云上安全责任边界。这类知识如果只停留在定义层面，很容易在面试或项目中答得很散。更好的理解方式是把它放进一个具体场景：谁在调用它，输入从哪里来，失败后谁负责恢复，数据或状态会不会被重复处理。
- AWS 复习不能只背服务名，要把服务放进真实架构：入口、计算、网络、存储、权限、监控和成本。
- 每个服务都应该问三个问题：解决什么问题、由谁运维、失败时影响范围是什么。
- 考试和实际项目都很重视边界：Region 与 AZ、托管服务与自管理服务、有状态与无状态资源。
在真实项目中，可以把它当成一个判断框架：先确认输入、约束、失败场景和可观测性，再决定具体工具或写法。 如果一个方案看起来很简单，要继续追问它在规模扩大、权限变化、异常恢复和团队协作下是否仍然成立。
实践检查清单
- 明确这个知识点在系统中的位置：是开发时约束、运行时能力、基础设施能力，还是协作流程。
- 写出一个最小可运行例子，并补一个失败例子；只会写 happy path 说明理解还不够稳。
- 记录常见误用：例如边界条件、权限假设、性能假设、同步/异步差异或环境差异。
- 把概念和项目经历关联起来：如果面试被追问，可以用自己的项目说明为什么这样选。
- 最后用一句话总结取舍：它牺牲了什么，换来了什么。
自测问题
- 这个主题解决的核心问题是什么？
- 如果不用当前方案，还有哪些替代方案？代价是什么？
- 最容易出错的边界条件在哪里？
- 如何在代码、测试或监控中验证它真的可靠？
项目化应用场景
可以把这类知识放到一个小型 SaaS 部署场景里理解：用户通过域名访问 CloudFront 或 Load Balancer，请求进入公有子网，应用运行在 EC2、ECS 或 Lambda，数据库和缓存放在私有子网，日志进入 CloudWatch，权限由 IAM 控制，静态文件放在 S3。复习每个 AWS 服务时，都要问它在这条链路中的位置是什么：入口、计算、网络、存储、安全、监控还是成本控制。这样比孤立背服务定义更容易判断选型。
常见误区：
- 只背服务名，不能画出请求链路。
- 忽略默认网络边界，把数据库放到公网。
- 没有估算成本和失败影响范围。