Les entretiens AWS se présentent sous deux formes. Certains évaluent si vous savez ce que font les services et quand choisir chacun d'eux. D'autres vous donnent un scénario, comme une application web qui doit survivre à une panne ou une facture qui a doublé, et observent votre raisonnement sur la fiabilité, la sécurité et les coûts. Ce guide propose 25 questions avec des réponses dans les deux styles.
Les détails et les limites des services changent souvent, donc pour les chiffres exacts, consultez la documentation AWS. Ce que l'intervieweur veut surtout entendre, c'est votre raisonnement.
Services principaux
1. Quelle est la différence entre EC2, Lambda et les conteneurs (ECS ou EKS) ?
EC2 vous fournit des serveurs virtuels que vous gérez. Lambda exécute du code en réponse à des événements sans serveur à gérer, et vous payez à l'invocation et à la durée, avec des limites sur le temps d'exécution et la taille. Les conteneurs sur ECS ou EKS se situent entre les deux : vous empaquetez l'application, et le service la planifie, soit sur des serveurs que vous gérez, soit sur Fargate, qui supprime la gestion des serveurs.
Choisissez Lambda pour les charges événementielles ou irrégulières, les conteneurs pour les services de longue durée et la portabilité, et EC2 quand vous avez besoin d'un contrôle total de la machine.
2. Quelles sont les classes de stockage S3 ?
S3 propose des classes adaptées à différents modes d'accès : Standard pour un accès fréquent, Intelligent-Tiering pour un accès inconnu ou variable, Standard-IA et One Zone-IA pour un accès peu fréquent, et les classes Glacier pour l'archivage avec différents délais de récupération. Les règles de cycle de vie déplacent automatiquement les objets entre les classes.
3. Comment sécuriser un bucket S3 ?
Bloquez l'accès public au niveau du compte et du bucket, utilisez des politiques de bucket et des rôles IAM qui n'accordent que le nécessaire, activez le chiffrement (SSE-S3 ou KMS), activez le versioning pour la récupération, activez la journalisation des accès, et utilisez des points de terminaison VPC quand le trafic ne doit pas passer par internet.
4. Quelle est la différence entre EBS, EFS et S3 ?
EBS est un stockage par blocs attaché à une seule instance EC2, comme un disque. EFS est un système de fichiers réseau partagé que plusieurs instances peuvent monter. S3 est un stockage objet accessible via une API, adapté aux fichiers, aux sauvegardes et aux ressources statiques.
5. Quelle est la différence entre RDS, Aurora et DynamoDB ?
RDS exécute des bases de données relationnelles managées telles que MySQL et PostgreSQL. Aurora est le moteur relationnel d'AWS, compatible avec MySQL et PostgreSQL, conçu pour une disponibilité et des performances supérieures. DynamoDB est une base de données NoSQL clé-valeur et document managée qui monte en charge horizontalement et vous oblige à concevoir autour des modes d'accès. Choisissez le relationnel pour les jointures et les transactions sur de nombreuses tables, DynamoDB pour un accès par clé connu à grande échelle.
Réseau
6. Qu'est-ce qu'un VPC et quelles sont ses principales composantes ?
Un VPC est votre réseau privé dans AWS. Il comporte des sous-réseaux (publics et privés), des tables de routage, une passerelle internet pour le trafic public, des passerelles NAT pour que les sous-réseaux privés puissent accéder à internet en sortie, et des groupes de sécurité et des ACL réseau pour contrôler le trafic.
7. Quelle est la différence entre un groupe de sécurité et une ACL réseau ?
Un groupe de sécurité est un pare-feu avec état attaché à une instance ou à une interface réseau, avec uniquement des règles d'autorisation. Une ACL réseau est un pare-feu sans état au niveau du sous-réseau et prend en charge les règles d'autorisation et de refus. Le trafic de retour doit être explicitement autorisé dans une ACL.
8. Quelle est la différence entre un sous-réseau public et un sous-réseau privé ?
Un sous-réseau public dispose d'une route vers une passerelle internet, donc les ressources qui s'y trouvent peuvent être atteintes depuis internet si elles ont une adresse publique et l'autorisent. Un sous-réseau privé n'a pas de route directe, donc vous y placez les bases de données et les serveurs d'application et les laissez sortir via une passerelle NAT.
9. Comment connecteriez-vous des systèmes sur site à AWS ?
Un VPN site à site pour une liaison chiffrée rapide via internet, ou Direct Connect pour une connexion réseau dédiée avec des performances plus stables. De nombreuses architectures utilisent les deux, avec le VPN en secours.
10. À quoi sert Route 53 ?
C'est le service DNS d'AWS. Il prend également en charge les contrôles de santé et les politiques de routage telles que pondéré, basé sur la latence, géolocalisation et basculement.
Sécurité et identité
11. Qu'est-ce qu'IAM, et que signifie le principe du moindre privilège ?
IAM contrôle qui peut faire quoi dans AWS. Le moindre privilège consiste à n'accorder à chaque utilisateur, rôle ou service que les permissions dont il a besoin. Privilégiez les rôles avec des identifiants temporaires plutôt que les clés d'accès à longue durée de vie, et utilisez les conditions de politique et les limites de permissions lorsque c'est utile.
12. Quelle est la différence entre un utilisateur, un groupe, un rôle et une politique IAM ?
Un utilisateur est une identité dotée d'identifiants à long terme. Un groupe est un ensemble d'utilisateurs. Un rôle est une identité qui peut être assumée temporairement par une personne, un service ou un autre compte. Une politique est un document qui définit les permissions et qui est attaché à l'un des éléments ci-dessus.
13. Comment gérez-vous les secrets ?
Stockez-les dans Secrets Manager ou dans Systems Manager Parameter Store, et non dans le code ou dans des fichiers d'environnement d'un dépôt. Accordez l'accès via des rôles IAM, faites-les tourner et chiffrez-les avec KMS.
14. À quoi sert KMS ?
AWS Key Management Service crée et contrôle les clés de chiffrement. De nombreux services l'utilisent pour le chiffrement au repos, et vous contrôlez qui peut utiliser chaque clé via les politiques de clés et IAM.
Fiabilité et mise à l'échelle
15. Comment rendre une application hautement disponible ?
Répartissez-la sur au moins deux zones de disponibilité. Placez un équilibreur de charge devant, utilisez un groupe Auto Scaling pour remplacer les instances défaillantes, utilisez une base de données multi-AZ et évitez de stocker l'état sur un seul serveur. En cas de défaillance régionale, ajoutez une seconde région avec réplication des données et basculement DNS, et déterminez si le coût en vaut la peine.
16. Quelle est la différence entre un Application Load Balancer et un Network Load Balancer ?
L'ALB opère au niveau 7 pour HTTP et HTTPS et prend en charge le routage basé sur le chemin et l'hôte. Le NLB opère au niveau 4 pour TCP et UDP, gère un débit très élevé avec une faible latence et fournit des adresses IP statiques.
17. Comment fonctionne l'auto scaling ?
Un groupe Auto Scaling maintient un nombre d'instances entre un minimum et un maximum. Les politiques de mise à l'échelle ajoutent ou suppriment des instances en fonction de métriques telles que le CPU, le nombre de requêtes ou un calendrier. Les contrôles d'état remplacent les instances défaillantes.
18. Que sont le RTO et le RPO ? Quelles sont les principales stratégies de reprise après sinistre ?
Le RTO est la durée pendant laquelle vous pouvez être indisponible, et le RPO est la quantité de données que vous pouvez perdre. Les stratégies habituelles, de la moins chère et la plus lente à la plus chère et la plus rapide, sont la sauvegarde et restauration, le pilot light, le warm standby et le multi-site actif-actif.
19. Quand utiliseriez-vous SQS, SNS ou EventBridge ?
SQS est une file d'attente pour découpler les producteurs et les consommateurs et lisser la charge. SNS est un système de publication-abonnement, qui pousse un message vers de nombreux abonnés. EventBridge achemine les événements entre les services et les sources SaaS selon des règles. Un schéma courant consiste à utiliser SNS vers plusieurs files d'attente SQS, afin que chaque consommateur traite à son propre rythme.
Exploitation et coûts
20. Comment surveillez-vous une application AWS ?
CloudWatch pour les métriques, les journaux et les alarmes, X-Ray ou un outil de traçage similaire pour les chemins de requêtes, et CloudTrail pour l'activité des API et l'audit. Les alarmes doivent être envoyées à une personne ou à une automatisation, et les tableaux de bord doivent afficher les signaux qui comptent, comme le taux d'erreur et la latence.
21. Qu'est-ce que l'infrastructure as code, et quels outils utilisez-vous ?
Le fait de définir l'infrastructure dans des fichiers versionnés et revus. Sur AWS, les principaux outils sont CloudFormation et CDK, Terraform étant largement utilisé comme option tierce. Les avantages sont la reproductibilité, la revue et la facilité de reconstruction.
22. Votre facture AWS a doublé. Que faites-vous ?
- Ouvrez Cost Explorer et regroupez par service, compte et tag pour identifier ce qui a changé.
- Vérifiez les ressources nouvelles ou redimensionnées, le transfert de données, ainsi que les volumes non attachés ou les instances inactives.
- Vérifiez s'il y a un pic de trafic ou un processus emballé.
- Corrigez la cause, puis définissez des budgets et des alertes pour être prévenu plus tôt.
- Cherchez des économies à long terme, comme le right-sizing, les Savings Plans ou la capacité réservée, les instances spot pour les charges flexibles et les règles de cycle de vie du stockage.
23. Comment réduire les coûts de transfert de données ?
Gardez le trafic au sein d'une même région et d'une même zone de disponibilité lorsque c'est possible, utilisez des points de terminaison VPC pour les services AWS plutôt que des NAT gateways, utilisez un CDN comme CloudFront pour la diffusion de contenu et compressez les données.
Questions de mise en situation
24. Concevoir une application web hautement disponible sur AWS.
« Je placerais l'application dans un Auto Scaling group réparti sur deux ou trois zones de disponibilité, dans des sous-réseaux privés derrière un Application Load Balancer situé dans des sous-réseaux publics. La base de données serait une RDS Multi-AZ ou Aurora, avec des sauvegardes et des read replicas si les lectures sont nombreuses. Le contenu statique irait sur S3 derrière CloudFront. Les sessions seraient stockées dans ElastiCache ou dans la base de données, pas sur les instances. Je déploierais avec de l'infrastructure as code, je surveillerais avec des alarmes CloudWatch, et je garderais les secrets dans Secrets Manager. »
Ensuite, discutez des compromis : coût, temps de reprise, et nécessité ou non d'une architecture multi-région.
25. Une fonction Lambda expire. Comment enquêtez-vous ?
Consultez les logs CloudWatch et les métriques de durée, cherchez des appels en aval lents comme une base de données ou une API, vérifiez les effets de cold start et les paramètres de mémoire (plus de mémoire donne aussi plus de CPU), et vérifiez si la fonction attend une connexion VPC ou se heurte à des limites. Corrigez avec des timeouts et des retries, du caching, un réglage de mémoire plus élevé, ou en déplaçant le travail long vers une file d'attente ou un conteneur.
Comment se préparer
Réalisez un petit projet qui utilise un VPC, un load balancer, une base de données et un bucket, et entraînez-vous à expliquer chaque choix. Apprenez les piliers du Well-Architected (excellence opérationnelle, sécurité, fiabilité, efficacité des performances, optimisation des coûts et durabilité), car de nombreuses réponses aux mises en situation s'y rattachent. Pour vous entraîner à des designs similaires, consultez notre guide d'entretien de system design, et pour les épreuves de code, le guide de l'assistant d'entretien de code.
Entraînez-vous à dire vos designs à voix haute, puis relisez une transcription pour repérer les moments où vous avez cité un service sans justification. Respectez les règles de l'employeur concernant les outils d'IA pendant un entretien en direct.
Entraînez-vous aux réponses d'entretien AWS avec YesToTheOffer
Faites un entretien technique simulé, présentez une conception à voix haute et relisez votre transcription ensuite. 30 minutes gratuites, sans abonnement.
