Welche AWS-Zertifizierung zu deiner Rolle passt

Der Exam Guide zu jeder Prüfung nennt die Domänen samt prozentualer Gewichtung. Nimm ihn als Gliederung für deinen Lernplan und hake die Punkte einzeln ab, statt ein Videokurs-Inhaltsverzeichnis von oben nach unten abzuarbeiten. Wer so vorgeht, lernt zwangsläufig an der Gewichtung vorbei und verbringt die meiste Zeit mit dem Thema, das die Prüfung am wenigsten interessiert. Für KI-Rollen gibt es eine eigene Linie: AI Practitioner (AIF-C01) als Einstieg, Machine Learning Engineer Associate, dessen neue Fassung MLA-C02 gerade als Beta läuft, und Generative AI Developer Professional (AIP-C01). Die Machine Learning Specialty hat AWS zum 31. März 2026 eingestellt. Wenn du zwischen AWS und Azure noch schwankst, hilft der Vergleich auf welche Azure-Zertifizierung passt bei der Einordnung.

aws sts get-caller-identity
aws iam create-account-alias --account-alias lernkonto-nachname

# MFA für den Root-Benutzer in der Konsole aktivieren, danach nur noch IAM nutzen
aws iam create-user --user-name lab
aws iam attach-user-policy --user-name lab \
  --policy-arn arn:aws:iam::aws:policy/PowerUserAccess

# Budget samt Benachrichtigung, Definition liegt in den JSON-Dateien
aws budgets create-budget --account-id 123456789012 \
  --budget file://budget.json \
  --notifications-with-subscribers file://notify.json

Der Budget-Alarm ist kein Limit. AWS schaltet nichts ab, du bekommst lediglich eine Nachricht. Ergänze deshalb einen festen Termin im Kalender, an dem du das Konto durchsiehst und abräumst.

aws ec2 describe-instances \
  --query 'Reservations[].Instances[?State.Name==`running`].[InstanceId,InstanceType]' --output table
aws ec2 terminate-instances --instance-ids i-0abc123 i-0def456

aws ec2 describe-nat-gateways --filter Name=state,Values=available \
  --query 'NatGateways[].NatGatewayId' --output text
aws ec2 describe-addresses --query 'Addresses[].[PublicIp,AssociationId]' --output table
aws ec2 describe-volumes --filters Name=status,Values=available \
  --query 'Volumes[].VolumeId' --output text

Wer die Labs mit CloudFormation oder Terraform aufbaut, spart sich diese Suche vollständig: Ein terraform destroy beziehungsweise aws cloudformation delete-stack räumt alles wieder ab. Das ist zugleich gute Übung, weil Infrastructure as Code in mehreren Domänen der Prüfungen auftaucht.

VPC=$(aws ec2 create-vpc --cidr-block 10.42.0.0/16 --query Vpc.VpcId --output text)
aws ec2 create-subnet --vpc-id $VPC --cidr-block 10.42.1.0/24 --availability-zone eu-central-1a
aws ec2 create-subnet --vpc-id $VPC --cidr-block 10.42.2.0/24 --availability-zone eu-central-1b

aws ec2 create-internet-gateway
aws ec2 describe-route-tables --filters Name=vpc-id,Values=$VPC

aws s3api create-bucket --bucket lab-nachname-2026 --region eu-central-1 \
  --create-bucket-configuration LocationConstraint=eu-central-1
aws s3api put-public-access-block --bucket lab-nachname-2026 \
  --public-access-block-configuration BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true

Zwei Subnetze in zwei Availability Zones sind kein Detail, sondern das Muster hinter sehr vielen Prüfungsfragen. Wer den Unterschied zwischen Region, Availability Zone und Edge Location einmal selbst gebaut hat, muss ihn nicht auswendig lernen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject"],
      "Resource": "arn:aws:s3:::lab-nachname-2026/*"
    },
    {
      "Effect": "Allow",
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::lab-nachname-2026"
    }
  ]
}

Der Unterschied zwischen Resource mit und ohne /* ist ein Klassiker in den Prüfungsfragen: Aktionen auf Objekte brauchen den Objektpfad, s3:ListBucket wirkt dagegen auf den Bucket selbst.

Für die Betriebsfragen in SOA-C03 lohnt sich zusätzlich eine Alarmkette aus CloudWatch und SNS sowie ein Blick auf AWS Config. Das sind die Bausteine, die dort immer wieder auftauchen. Wie ein Berechtigungskonzept über das Übungskonto hinaus aussieht, wenn mehrere Teams und Konten im Spiel sind, beschreibt das IAM-Berechtigungskonzept ausführlich.

Das Ergebnis erscheint in der Regel innerhalb weniger Werktage im Zertifizierungsportal, zusammen mit einer Auswertung je Domäne. Diese Auswertung ist auch bei bestandener Prüfung nützlich, weil sie zeigt, wo im Alltag noch Lücken sind. Wer durchfällt, muss vierzehn Tage bis zum nächsten Versuch warten und die Prüfung erneut bezahlen. Diese Frist ist der Grund, den Termin nicht auf den letzten möglichen Tag vor Ablauf einer bestehenden Zertifizierung zu legen.

Für die Planung der nächsten Stufe gilt eine einfache Regel: Die Professional-Prüfungen setzen echte Projekterfahrung voraus, nicht nur bestandene Vorstufen. Wer nach der Associate-Prüfung sofort weitergeht, ohne zwischendurch produktive Systeme gebaut zu haben, arbeitet gegen die Fallbeschreibungen an, die genau darauf zielen. Ein Jahr Abstand mit echten Projekten ist die bessere Vorbereitung als drei Monate Lernstoff. Die Specialty-Prüfungen sind ohnehin nur dann sinnvoll, wenn Sicherheit oder Netzwerk bereits dein Arbeitsschwerpunkt sind.