AWS資格クイズ（4択・解説付き）

SAA-C03 中級

Lambda関数からRDS for MySQLへ接続するアプリで、同時実行数の急増時にデータベースの接続数上限に達してエラーが発生しています。アプリの変更を最小限にしつつ接続をプールして共有し、フェイルオーバー時間も短縮したい場合に適したサービスはどれですか

正解の理由：Amazon RDS Proxyは、アプリケーションとRDSの間に立つフルマネージドなデータベースプロキシで、多数の短命な接続をプールして共有し、DBへの実接続数を抑えます。接続先をProxyのエンドポイントに変えるだけで済み、フェイルオーバー時もProxyが接続を維持するため復旧時間が最大66パーセント短縮されます。ElastiCacheは読み取りのキャッシュであり接続枯渇そのものは解決しません。リードレプリカは書き込みの接続を減らせず、予約済み同時実行数を増やすと接続はむしろ増えます。

SCS-C02 中級

監視SaaS事業者に自社アカウントのCloudWatchメトリクスを読み取らせるため、クロスアカウントのIAMロールを用意します。同じSaaSを利用する他社が、自社のロールを誤ってまたは悪意で引き受けさせる「混乱した代理」問題を防ぐために、ロールの信頼ポリシーへ追加すべき条件はどれですか

正解の理由：サードパーティにロールを引き受けさせる場合の「混乱した代理(confused deputy)」問題は、信頼ポリシーでsts:ExternalIdを要求することで防ぎます。事業者は顧客ごとに一意の外部IDを発行し、AssumeRole時にその値を必ず付与するため、他社が自社のロールARNを指定しても外部IDが一致せず拒否されます。MFAやIPアドレス制限は事業者の運用に依存し本質的な対策になりません。長期のアクセスキーを渡す方法は漏えいリスクが高く、ロールによる一時的な認証情報を使うべきです。

SAP-C02 上級

既存のS3バケットに対してクロスリージョンレプリケーションを新たに有効化しましたが、設定前から保存されていた数億件のオブジェクトはレプリケートされません。これらの既存オブジェクトを、アプリケーションの改修や再アップロードなしにまとめて複製する方法として最も適切なものはどれですか

正解の理由：S3のレプリケーション(CRR・SRR)はルール作成後にアップロードされた新しいオブジェクトだけが対象です。既存オブジェクトや過去にレプリケートに失敗したオブジェクトを複製するにはS3バッチレプリケーションを使います。S3バッチオペレーションのジョブとして実行され、マニフェストの自動生成や完了レポートも取得できます。ルールの再作成では既存分は対象にならず、ライフサイクルルールはストレージクラスの変更や削除であり別バケットへの移動はできません。Transfer Accelerationはクライアントからのアップロード高速化の機能です。

DOP-C02 初級

稼働中のCloudFormationスタックのテンプレートを更新する前に、どのリソースが置換(再作成)されるのかを実際に変更を適用せずに確認したい場合に使う機能はどれですか

正解の理由：変更セット(Change Set)は、更新後のテンプレートやパラメータを与えると、追加・変更・削除されるリソースと、変更が「置換(Replacement)」を伴うかどうかを事前に一覧化してくれる機能です。内容を確認してから実行するかどうかを選べるため、データベースの意図しない再作成などを防げます。ドリフト検出はテンプレートと実リソースの差分を調べる機能、スタックポリシーは特定リソースへの更新を禁止する仕組み、ロールバックトリガーは更新中のアラームで自動ロールバックする機能であり、事前の影響確認には使いません。

ANS-C01 中級

IPv6のデュアルスタック構成にしたプライベートサブネットのEC2から、インターネット上のIPv6宛先へ送信を許可しつつ、インターネット側からEC2への接続開始は拒否したい場合に使うコンポーネントはどれですか

正解の理由：IPv6アドレスはグローバルに一意でありNATを行わないため、IPv4で使うNATゲートウェイは送信専用の用途に使えません(NATゲートウェイのIPv6対応はNAT64向け)。IPv6で「送信のみ許可・受信の接続開始を拒否」を実現するのがEgress-onlyインターネットゲートウェイで、ルートテーブルにIPv6のデフォルトルートの送信先として設定します。通常のインターネットゲートウェイは双方向の通信を許可するため要件を満たしません。仮想プライベートゲートウェイはVPNやDirect Connect用のコンポーネントです。

SAP-C02 中級

Amazon Redshiftのデータウェアハウスから、S3データレイク上にある数PB規模の履歴データを、Redshiftへロードせずに同じSQLで既存テーブルと結合して分析したい場合に適した機能はどれですか

正解の理由：Amazon Redshift Spectrumは、S3上のデータを外部テーブルとして定義し、Redshiftクラスターのローカルテーブルと同じSQLで結合・集計できる機能です。データをロードせずに済むため、ホットデータはRedshift、コールドな履歴データはS3という階層化ができます。Athenaのフェデレーテッドクエリは逆にAthena側から各種データソースを参照する機能です。Glue DataBrewはノーコードのデータ準備ツール、Redshift Serverlessはクラスター管理不要の提供形態であり、ロードせずにS3を参照する機能そのものではありません。

SCS-C02 上級

機密データを格納したS3バケットに対して、自社VPC内に作成した特定のVPCエンドポイント経由のアクセスのみを許可し、インターネット経由など他の経路からのアクセスはIAM権限があっても拒否したい場合、バケットポリシーで使う条件キーはどれですか

正解の理由：バケットポリシーでaws:SourceVpce条件キーを使い、指定したVPCエンドポイントID以外からのアクセスを明示的にDenyすると、IAMで許可されているプリンシパルであっても他の経路からは拒否されます。明示的Denyはすべての許可に優先するため強力なガードレールになります。aws:SourceIpはパブリックIPアドレスに基づく制御で、VPCエンドポイント経由の通信はプライベートIPになるため意図どおりに動きません。aws:PrincipalOrgIDは組織のアカウントに限定する条件、s3:x-amz-server-side-encryptionは暗号化ヘッダーを要求する条件です。

SAA-C03 初級

世界各地の拠点から数GBの動画ファイルを東京リージョンのS3バケットへアップロードしており、遠隔地からの転送に時間がかかっています。アプリの構成を大きく変えずに、AWSのエッジロケーション経由で長距離の転送を高速化するS3の機能はどれですか

正解の理由：S3 Transfer Accelerationは、クライアントから最寄りのCloudFrontエッジロケーションへ接続し、そこからAWSの最適化されたネットワークでバケットへ転送する機能です。バケットで有効化し、専用のエンドポイント名を使うだけで、遠距離のアップロードが大幅に高速化されます。CloudFrontは主に配信(ダウンロード)を高速化するサービス、Snowball Edgeはネットワークを使わないオフライン転送、Intelligent-Tieringはストレージコスト最適化の機能です。

ANS-C01 上級

AWS Direct Connectの10Gbps専用接続で、オンプレミス機器とAWSのDirect Connectデバイス間のレイヤー2リンクを暗号化し、IPsec VPNのオーバーヘッドなしに高いスループットを維持したい場合に利用する機能はどれですか

正解の理由：Direct Connectの10Gbpsおよび100Gbps専用接続では、対応ロケーションでMACsecによるレイヤー2のポイントツーポイント暗号化が利用できます。回線速度に近いスループットを保ったまま暗号化できるのが利点です。Direct Connect上でSite-to-Site VPNを張る方法は広く使われますが、IPsecのオーバーヘッドとVPNトンネルの帯域上限(1本あたり1.25Gbps)があり、10Gbpsを活かせません。PrivateLinkはサービスのプライベート公開の仕組み、TLS終端はアプリケーション層の暗号化であり回線自体の暗号化ではありません。

DOP-C02 中級

Auto Scalingグループのスケールイン時に、EC2インスタンスが終了される前にローカルのログファイルをS3へ退避する処理を確実に実行してから終了させたい場合に使う機能はどれですか

正解の理由：Auto Scalingのライフサイクルフックを使うと、インスタンスを「終了中:待機(Terminating:Wait)」状態で一時停止させ、その間にEventBridge経由でLambdaやSystems Manager Run Commandを実行してログ退避などの後処理を行えます。処理完了後にcomplete-lifecycle-actionを呼ぶか、タイムアウトでインスタンスが終了します。スケジュールされたスケーリングは時刻ベースの増減、スケールイン保護は特定インスタンスを終了対象から外す機能で処理の実行はしません。ウォームプールは起動時間短縮のための事前初期化済みインスタンスのプールです。

SAA-C03 中級

Webサイトのクリックストリームを秒単位で取り込み、複数の分析アプリケーションがそれぞれ独立に同じデータを並行して読み取り、必要に応じて過去7日分のデータを再読み取りできるようにしたい場合に適したサービスはどれですか

正解の理由：Kinesis Data Streams はシャード単位でデータを保持し、複数のコンシューマーが同じストリームを独立した位置(シーケンス番号)から読み取れます。保持期間は既定の24時間から最長365日まで延長でき、7日分の再読み取りという要件も満たせます。拡張ファンアウトを使えばコンシューマーごとに専用の読み取りスループットも確保できます。Firehose は配信先へのロードに特化した「配信」サービスで、ストリームからの再読み取りやコンシューマーごとの独立した消費位置は提供しません。SQS は1つのメッセージを1つのコンシューマーが処理して削除するモデルで、複数アプリが同じデータを並行して読む用途には向きません。SNS は通知の配信であり、7日分の保持や再読み取りはできません。

SCS-C02 中級

WebアプリケーションのSSRF脆弱性を悪用してEC2インスタンスメタデータサービスからIAMロールの一時認証情報を窃取される攻撃を防ぐため、インスタンスに設定すべき項目はどれですか

正解の理由：IMDSv2 はセッション指向の方式で、まずPUTリクエストでトークンを取得し、そのトークンをヘッダーに付けてメタデータを取得します。典型的なSSRFはサーバーに任意のGETを送らせるだけでヘッダーやPUTを操作できないため、IMDSv2必須にすることで認証情報の窃取を大きく困難にできます。トークン取得時のTTLヘッダーがプロキシで落とされる設計や、応答ホップ制限(HttpPutResponseHopLimit)を1にする対策も試験でよく問われます。セキュリティグループはインスタンス内部からメタデータサービスへのリンクローカル通信を制御できません。長期アクセスキーの埋め込みは根本的に危険で、認証情報漏えいのリスクを高めます。EBS暗号化は保管データの保護であり、この攻撃とは無関係です。

SAP-C02 上級

DR用のセカンダリリージョンで、災害発生時に特定のAZで数百台の特定インスタンスタイプを確実に起動できるようにしたい。平常時はインスタンスを起動せず、1年や3年の長期コミットもしたくない場合に使う機能はどれですか

正解の理由：オンデマンドキャパシティ予約は、特定のAZ・インスタンスタイプ・プラットフォームの組み合わせでEC2の容量を「予約」する機能で、期間の縛りなくいつでも作成・キャンセルできます。予約した容量はそのアカウント(または共有先)のインスタンスのために確保され、DR発動時に起動失敗するリスクを避けられます。なお予約中はインスタンスを起動していなくてもオンデマンド料金が課金される点が試験でも問われます。ゾーンRIも容量を予約できますが1年や3年のコミットが必要で要件に反します。Savings Plans は料金割引の仕組みで容量の確保はしません。スポットは中断される可能性があり、確実な起動には使えません。

DOP-C02 中級

四半期末の決算期間や大型セール期間には本番環境へのデプロイと自動パッチ適用を一切行わない「変更凍結期間」を設けたい。凍結期間を一元的に定義し、Systems Manager Automation やパイプラインがその期間中は実行をブロックされるようにする機能はどれですか

正解の理由：Change Calendar は iCalendar 形式で「変更を許可する期間」または「変更を禁止する期間」を定義し、カレンダーの状態(OPEN または CLOSED)をAPIで参照できる機能です。Automation ランブックや State Manager の関連付け、Maintenance Windows はカレンダーを指定するとCLOSED期間中は実行を待機します。CodePipeline からも GetCalendarState を呼ぶ Lambda を承認ゲートとして組み込めば、凍結期間中のデプロイをブロックできます。Maintenance Windows は「作業を実行する時間帯」を定義するもので、凍結の一元管理には向きません。Parameter Store は値の保管、EventBridge Scheduler はジョブの起動スケジュールであり、凍結期間を全体で共有する仕組みではありません。

ANS-C01 上級

VPC内で稼働するサードパーティ製SD-WAN仮想アプライアンスをTransit Gatewayに接続し、IPsec VPNより高い帯域でGREトンネルとBGPによる動的ルーティングを使いたい場合に作成するアタッチメントはどれですか

正解の理由：Transit Gateway Connect は、VPC(またはDirect Connect)上のトランスポートアタッチメントを土台にして、GREトンネルとBGPでサードパーティ製の仮想アプライアンス(SD-WANなど)をTransit Gatewayへ接続する専用のアタッチメントです。GREトンネル1本あたり最大5Gbps、複数トンネルで帯域を拡張でき、IPsecのオーバーヘッドなしにBGPで経路を動的に交換できます。VPCアタッチメントは単なるVPCの接続で、アプライアンスとのBGPピアリングはできません。VPNアタッチメントはIPsec VPNでトンネルあたり1.25Gbpsの制約があります。ピアリングアタッチメントはTransit Gateway同士の接続に使うものです。

SAA-C03 初級

S3に保存した数百TBの学習データを数百台のEC2から並列に読み書きする機械学習トレーニングで、サブミリ秒のレイテンシと非常に高いスループットを持つPOSIX互換の高性能ファイルシステムが必要です。S3のオブジェクトをそのままファイルとして参照できるサービスはどれですか

正解の理由：FSx for Lustre は HPC や機械学習向けの高性能な並列ファイルシステムで、データリポジトリの関連付けによってS3バケットのオブジェクトをファイルとして透過的に読み書きでき、処理結果をS3へ書き戻すこともできます。数百GB毎秒のスループットとサブミリ秒のレイテンシが得られるのはこのサービスです。EFS もPOSIX互換の共有ファイルシステムですが、S3との直接連携や Lustre ほどの並列性能は提供しません。FSx for Windows はSMBプロトコル向けで、Linux中心のML基盤には不向きです。EBS のマルチアタッチは同一AZ内の少数のインスタンスに限られ、数百台からの共有には使えません。

SCS-C02 上級

組織内の数百のアカウントから共有S3バケットへアクセスできるようにしたいが、アカウントが追加・削除されるたびにバケットポリシーのプリンシパル一覧を更新したくありません。組織外からのアクセスは拒否したい場合、バケットポリシーの条件に使う最も適切なキーはどれですか

正解の理由：aws:PrincipalOrgID は、リクエストを行ったプリンシパルが所属する AWS Organizations の組織IDを表すグローバル条件キーです。Principal を "*" にしつつ Condition で aws:PrincipalOrgID を組織IDに一致させれば、組織内のすべてのアカウントに許可を与え、組織外を暗黙的に拒否できます。アカウントの増減があってもポリシーの更新は不要です。aws:SourceAccount はサービスプリンシパル経由のアクセス元アカウントを示すキーで、個別アカウントIDの列挙が必要になり要件に反します。aws:userid はユーザー単位の識別子、s3:x-amz-acl はアップロード時のACL指定を制御するキーで、組織単位の制御には使えません。より細かく OU 単位で制御したい場合は aws:PrincipalOrgPaths を使います。

SAP-C02 中級

数十のチームが1つの大規模データレイクバケットを共有しており、チームごとに異なるプレフィックスへのアクセス制御を追加するたびにバケットポリシーが肥大化して管理が困難になっています。バケットを分割せずに、チームごとの専用エンドポイントと独立したポリシーでアクセスを管理できる機能はどれですか

正解の理由：S3 アクセスポイントは、1つのバケットに対して用途やチームごとの専用ホスト名と独自のアクセスポリシーを持つ「入口」を複数作れる機能です。各アクセスポイントのポリシーで対象プレフィックスや許可アクション、接続元VPCを個別に定義できるため、共有バケットのバケットポリシーを肥大化させずに数百のアプリケーションへアクセス管理を分散できます。バケット分割とレプリケーションはデータの重複とコスト増を招き、ACLはオブジェクト単位の粗い制御で現在は無効化が推奨されています。CloudFront の署名付きURLはコンテンツ配信の一時的なアクセス許可であり、データレイクのチーム別アクセス管理には適しません。

DOP-C02 初級

CloudFormationスタックを削除・更新する際に、スタック内のRDSデータベースやS3バケットが誤って削除されないようリソースを保持したり、削除前にスナップショットを取得したりするために設定する属性はどれですか

正解の理由：DeletionPolicy はスタック削除時(またはテンプレートからリソースを除去した時)の挙動を Delete、Retain、Snapshot から指定する属性で、RDS や Redshift、EBS などは Snapshot を指定すると削除前に自動でスナップショットを取得します。UpdateReplacePolicy は更新でリソースの置換が発生する場合の旧リソースの扱いを同様に指定します。両方をセットで指定するのがベストプラクティスで、S3バケットは中身があると削除自体が失敗するため Retain が定番です。DependsOn は作成順序の制御、Condition はリソースを作成するかどうかの条件、Metadata は補足情報の記述であり、削除時の保護には関係しません。

ANS-C01 中級

海外拠点からAWSへのSite-to-Site VPNで、インターネット経路の輻輳によるジッターと遅延が問題になっています。VPNトンネルの終端をAWSグローバルネットワークのエッジに近づけ、パブリックインターネットを通る区間を最小化する機能はどれですか

正解の理由：Accelerated Site-to-Site VPN は AWS Global Accelerator を利用し、拠点に最も近いAWSエッジロケーションでVPNトンネルを終端させて、そこから先はAWSのグローバルバックボーンを通します。インターネット区間が短くなるためジッターや遅延が安定し、この機能は Transit Gateway アタッチメントのVPNでのみ有効化できます(仮想プライベートゲートウェイでは使えません)。Direct Connect Gateway は専用線の構成要素でVPNの経路改善ではありません。VPN CloudHub は複数拠点間の通信をVGW経由で中継する構成で、インターネット区間の品質は改善しません。ECMPは複数トンネルへの負荷分散で帯域の合算には有効ですが、経路品質の問題は解決しません。

SAA-C03 中級

スマートフォン向けチャットアプリで、メッセージの追加をクライアントへリアルタイムに配信しつつ、オフライン時の再接続後は自動的に差分を同期したい場合に適したサービスはどれですか

正解の理由：AppSyncはGraphQLのSubscriptionでWebSocket経由のリアルタイム配信を提供し、オフラインからの復帰時はクライアントSDKのオフラインキャッシュと自動再同期機能で差分を補える。ポーリングは遅延とコストが増え要件のリアルタイム性を満たさない。SQSはキューであり双方向のリアルタイム配信の仕組みを持たない。Step Functionsはワークフローオーケストレーションでクライアント配信の仕組みではない。

SCS-C02 スペシャリスト

EC2インスタンス上でクレジットカード番号などの機密データを処理する際、同じインスタンスを操作できる運用担当者やOSプロセスからもメモリ内容を隔離し、処理結果の正当性を暗号学的に証明したい場合に適した機能はどれですか

正解の理由：Nitro Enclavesは親インスタンスから分離された専用のCPUとメモリを持つ隔離実行環境を作成でき、外部ネットワーク接続を持たず、証明（アテステーション）機能により処理結果や実行コードの正当性を暗号学的に検証できる。IMDSv2はメタデータサービスへのアクセス保護、KMSのCMKはデータの暗号鍵管理、EBS暗号化は保存データの暗号化であり、いずれも実行中メモリの隔離とアテステーションは提供しない。

SAP-C02 上級

AWS Organizations配下の50アカウント・6リージョンに散在するリソースについて、リソースタイプやタグを横断的にキーワード検索し、どのアカウント・リージョンにあるかをすばやく特定したい場合に適したサービスはどれですか

正解の理由：AWS Resource Explorerはアカウントやリージョンをまたいでリソースをインデックス化し、統一されたコンソールとAPIからキーワード検索でリソースを横断的に発見できる。Config アグリゲータは構成変更の履歴とコンプライアンス評価が主目的で汎用的なリソース検索には向かない。Inspectorは脆弱性スキャン、Trusted Advisorはベストプラクティスの推奨であり、いずれもリソース検索機能ではない。

DOP-C02 上級

本番環境への設定変更やRunbook実行について、申請から承認者の承認を経てから実行する統制されたワークフローを構築し、承認履歴を監査証跡として残したい場合に適した機能はどれですか

正解の理由：Systems Manager Change Managerは変更リクエストの申請、承認者による承認ワークフロー、Automationランブックの実行までを一元管理し、承認履歴を含む監査証跡を残せる。State Managerは構成を継続的に適用する仕組みで承認ワークフローは持たない。ConfigとCloudTrailはそれぞれ構成評価とAPI操作の記録が目的であり、承認ベースの変更管理ワークフローそのものは提供しない。

SAA-C03 中級

S3バケットに保存された数千万件の既存オブジェクトに対して、Lambda関数を使って一括でタグ付けとACL変更を行いたい場合、最も効率的な方法はどれですか

正解の理由：S3 Batch Operationsはインベントリレポートやリストを入力として、数十億個規模のオブジェクトに対しLambda呼び出しやタグ付け、ACL変更などの一括処理をマネージドに実行でき、進捗管理や失敗時のリトライも自動化される。CLIループでは数千万件規模でスループットとエラー処理の面で非現実的。Transfer AccelerationはS3への高速アップロード機能で本件と無関係。Lifecycleルールはストレージクラス変更のみでタグやACL変更はできない。

ANS-C01 上級

本番環境のDirect Connect専用線に障害が発生した際、BGPのデフォルトのタイムアウトでは切り替えに数十秒かかり許容できません。ミリ秒〜秒単位で障害を検知し高速にフェイルオーバーさせたい場合に有効化すべき機能はどれですか

正解の理由：BFDは接続の生存確認を高頻度に行うプロトコルで、リンク障害をミリ秒〜秒単位で検出しBGPへ即座に通知することで高速フェイルオーバーを実現する。Direct ConnectはBFDをサポートしている。MED属性は経路の優先順位付けであり検出速度には関係しない。ECMPは複数経路への負荷分散、LAGは複数物理接続の帯域集約であり、いずれも障害検知の高速化そのものではない。

SAP-C02 上級

自社独自のセキュリティ基準やコスト基準を組み込んだアーキテクチャレビューを、複数の事業部門で共通のチェックリストとして繰り返し実施したい場合に適した機能はどれですか

正解の理由：Well-Architected Toolのカスタムレンズを使うと、標準の6つの柱に加えて自社固有の質問・ベストプラクティスを定義し、組織全体で統一したアーキテクチャレビューを繰り返し実施できる。Configマネージドルールはリソースの構成準拠チェックであり、レビュー質問形式のアーキテクチャ評価には使えない。Trusted AdvisorとInspectorも固定的なチェック項目であり、自社基準のカスタマイズはできない。

SCS-C02 上級

モバイルアプリの会員向けサインインで、漏えいした認証情報を使ったログイン試行を自動的に検知してブロックし、普段と異なる場所からのログインには追加の認証を要求したい場合に有効化すべき機能はどれですか

正解の理由：Cognitoユーザープールの高度なセキュリティ機能は、既知の漏えい認証情報リストとの照合や、普段と異なるデバイス・場所からのサインインをリスクスコアで判定し、多要素認証の追加要求やブロックを自動化できる。WAFはWebリクエスト層の保護でユーザー認証の文脈は扱わない。GuardDutyはアカウントやワークロードへの脅威検出が対象でエンドユーザー認証は対象外。IAM Identity Centerは社内向けのSSOであり会員向けモバイル認証には使わない。

ANS-C01 上級

社内業務アプリケーションへのアクセスについて、VPNクライアントの配布や管理をなくし、デバイスの状態とIDプロバイダーの認証結果に基づいてリクエストごとにゼロトラストでアクセス可否を判断したい場合に適したサービスはどれですか

正解の理由：AWS Verified AccessはVPNなしでゼロトラストの原則に基づき、IDプロバイダーやデバイス管理サービスからの信号をポリシーエンジンで評価し、リクエスト単位でアプリケーションへのアクセスを許可・拒否できる。Client VPNはVPN接続自体が必要でクライアント配布の課題が残る。Site-to-Site VPNとDirect Connectは拠点間接続でエンドユーザーのゼロトラストアクセス制御を提供する機能ではない。

DOP-C02 上級

多数の開発チームが独自の方法でコンテナサービスをデプロイしており、IaCテンプレートやCI・CDパイプラインの品質にばらつきがあります。プラットフォームチームが承認済みのテンプレートを提供し、開発者はセルフサービスでそれを選んでデプロイできるようにしたい場合に適したサービスはどれですか

正解の理由：AWS Protonはコンテナやサーバーレスアプリケーション向けに、インフラとCI・CDパイプラインを含むテンプレートをプラットフォームチームが定義し、開発者がセルフサービスでそれを利用してデプロイ・更新できるサービス。CodeArtifactはパッケージ管理、Service Catalogは主にリソース単位のカタログ化でパイプラインを含む包括的なテンプレートには不向き、StackSetsは複数アカウント・リージョンへのスタック展開機能でセルフサービスのカタログ提供が目的ではない。

SAA-C03 初級

取引先が既存のSFTPクライアントでファイルを送信してきます。サーバーを自前で運用せず、受信したファイルをAmazon S3に直接保存したい場合に適したサービスはどれですか

正解の理由：AWS Transfer Family は、SFTP・FTPS・FTP・AS2のマネージドエンドポイントを提供し、受信したファイルをS3やEFSへ直接保存します。サーバーの管理やパッチ適用が不要で、取引先は既存のクライアントをそのまま使えます。EC2でOpenSSHを運用すると、可用性・パッチ・同期処理を自前で管理することになり「自前運用しない」要件に反します。署名付きURLは取引先側の運用方法を変える必要があり、SFTPクライアントを使い続ける要件を満たしません。DataSync はストレージ間のデータ転送サービスで、SFTPで受信するエンドポイントではありません。

SCS-C02 上級

オンプレミスのサーバー上のアプリケーションからAWS APIを呼び出します。長期的なアクセスキーは使わず、社内のプライベートCAが発行した証明書で認証して一時的な認証情報を取得したい場合に使う機能はどれですか

正解の理由：IAM Roles Anywhere は、AWS外のワークロードがX.509証明書を使ってIAMロールを引き受け、一時的な認証情報を取得できる機能です。信頼アンカー（社内CAなど）、プロファイル、引き受けるロールを設定します。長期アクセスキーを配布せずに済み、証明書の失効でアクセスを止められます。IAMユーザーのアクセスキーは長期認証情報で要件に反します。Cognito ID プールの未認証アクセスは権限管理と認証強度の面で不適切です。ハイブリッドアクティベーションはSystems Managerエージェント用の仕組みで、任意のアプリケーションがAWS APIを呼ぶための汎用的な認証には使えません。

ANS-C01 上級

ネットワーク設計全体を対象に、インターネットから内部のEC2インスタンスへの意図しない経路や、本番VPCから開発VPCへの想定外の到達性がないかを、条件を定義して一括で検出したい場合に使う機能はどれですか

正解の理由：Network Access Analyzer は、ネットワークアクセススコープで「インターネットゲートウェイから到達できてはならないリソース」「本番と開発の間の経路」といった意図を定義し、設定上存在する到達可能な経路を網羅的に検出します。実際に通信が発生していなくても、構成上の経路を見つけられる点が特長です。Reachability Analyzer は特定の送信元と宛先の間の到達性を検証するツールで、網羅的な意図外経路の検出には向きません。フローログとTraffic Mirroring は実際に発生した通信を観測するもので、発生していない潜在的な経路は検出できません。

DOP-C02 中級

トラフィックの多いAPIで全リクエストをトレースするとコストが増大します。通常のリクエストは一部だけを記録しつつ、重要なエンドポイントは高い割合で詳細に記録したい場合に設定すべきものはどれですか

正解の理由：X-Rayのサンプリングルールでは、URLパスやサービス名などの条件ごとに、毎秒必ず記録する件数（リザーバー）と、それを超えた分のサンプリング割合（固定レート）を指定できます。重要なエンドポイントには高い割合、それ以外には低い割合を設定することで、コストと可視性を両立できます。ルールはコンソールで変更でき、アプリケーションの再デプロイが不要です。トレースの保持期間は固定でありコスト削減の手段になりません。ログの保持期間はトレースのコストと別です。デーモンの手動停止は運用が不安定で、記録の欠落も予測できません。

SAP-C02 上級

数百のテーブルを持つデータレイクを複数アカウントで共有しています。部門ごとの機密区分に応じて、テーブルや列へのアクセス権をテーブルごとに個別付与することなく一元管理したい場合に最も適した方法はどれですか

正解の理由：Lake Formation のLF-タグベースアクセス制御（LF-TBAC）では、データベース・テーブル・列にLF-タグ（例：機密区分=社外秘）を付け、プリンシパルに対してタグの値に基づく権限を付与します。新しいテーブルにタグを付けるだけで既存のポリシーが自動適用されるため、数百テーブル規模でも運用が破綻しません。クロスアカウント共有もタグ単位で行えます。IAMポリシーのテーブル別付与やGlueのリソースポリシーの列挙は、テーブル数に比例して管理が増えます。S3バケットポリシーはオブジェクト単位の制御で、列レベルのアクセス制御やカタログ権限の一元管理はできません。

SCS-C02 上級

規制により暗号鍵のマテリアルを自社データセンターの外部のHSMに保持し続ける必要があります。AWSサービスのデータ暗号化にはKMSを経由して使いたい場合に利用する機能はどれですか

正解の理由：KMS 外部キーストア（XKS）は、鍵マテリアルを顧客管理の外部HSMやキー管理システムに置いたまま、外部キーストアプロキシを介してKMSの暗号化操作に利用できる機能です。鍵がAWSの外に出ない要件に合致します。CloudHSM のカスタムキーストアは鍵がAWS上のCloudHSMクラスターにあり、「自社データセンターの外部」という要件には当てはまりません。鍵マテリアルのインポートはKMS内に鍵のコピーが保持されます。AWS管理キーは鍵の管理をAWSが行うため、鍵の保持場所を制御できません。

SAA-C03 上級

複数リージョンにS3バケットを配置し、アプリケーションには1つのグローバルなエンドポイントを使わせて、リクエストを自動的にネットワーク遅延の低いリージョンのバケットへ振り分けたい場合に使う機能はどれですか

正解の理由：S3 Multi-Region Access Points は、複数リージョンのバケットに対して単一のグローバルエンドポイントを提供し、AWSのグローバルネットワーク上で最も近いバケットへ自動ルーティングします。バケット間のデータはレプリケーションルールで同期し、フェイルオーバーコントロールも設定できます。Transfer Acceleration は1つのバケットへのアップロードをエッジ経由で高速化する機能で、複数バケットへの振り分けではありません。CloudFront のオリジングループは主に読み取りのフェイルオーバー用で、書き込みを複数のバケットへ分散する用途には向きません。Route 53 でS3のREST APIエンドポイントへ振り分ける方法は、リクエストの署名やホスト名の整合性の問題があり実用的ではありません。

ANS-C01 中級

PrivateLinkで公開しているサービスがNetwork Load Balancerの背後で動いています。アプリケーション側で接続元のクライアントIPアドレスとVPCエンドポイントIDを把握したい場合に有効化する設定はどれですか

正解の理由：PrivateLink経由の接続では、NLBからターゲットに見える送信元IPはNLBのプライベートIPになります。ターゲットグループでプロキシプロトコルv2を有効化すると、接続の先頭に付与されるヘッダーから、元の接続元アドレスに加えてVPCエンドポイントID（TLV情報）も取得できます。ターゲット側のアプリケーションはプロキシプロトコルv2を解釈できる必要があります。X-Forwarded-For はALB（レイヤー7）のヘッダーでNLBでは使えません。クロスゾーン負荷分散は負荷の分散に関する設定で、IP情報の伝達とは無関係です。フローログはアプリケーションから参照できません。

SAP-C02 中級

オンプレミスの約500台のサーバーについて、実際の使用率データに基づいてAWS移行後の想定コストを試算し、経営層に提出するビジネスケースの根拠資料を作成したい場合に適したサービスはどれですか

正解の理由：AWS Migration Evaluator は、オンプレミス環境の使用状況データ（CPU・メモリ・ストレージの実測値）を収集・分析し、適正サイズのAWS構成と想定コストを試算してビジネスケースのレポートを提供します。移行計画の初期段階で「いくらかかるか」を根拠付きで示す用途に適しています。Application Migration Service は実際にサーバーをレプリケートして移行するサービスで、コスト試算ではありません。Cost Explorer と Budgets は既にAWS上で発生している利用料金の分析・予算管理のためのサービスで、オンプレミスの移行前試算には使えません。

DOP-C02 中級

イベント駆動の本番システムで、過去24時間に流れた実際のイベントを再現し、修正したコンシューマーのLambda関数が正しく処理できるかを検証したい場合に有効な機能はどれですか

正解の理由：EventBridge のアーカイブは、イベントバスに流れたイベントを（フィルター条件付きで）保存し、リプレイで指定した期間のイベントを再送できます。本番に近いイベントで修正の検証や障害後の再処理ができます。リプレイでは元のイベントがそのまま再送される点に注意し、ルールを絞って検証用のターゲットに送るのが安全です。DLQは処理に失敗したメッセージの退避先で、成功済みのイベントは再現できません。CloudTrailの履歴は管理APIの記録であり、アプリケーションのイベントではありません。スキーマレジストリは形式の定義とコード生成のための機能で、実データの再現はできません。

SAA-C03 初級

HPCアプリケーションで、EC2インスタンス間のネットワークレイテンシを最小にし高いスループットを得たい。適切な配置グループは？

正解の理由：クラスター配置グループは、単一AZ内の近接したハードウェアにインスタンスを集約し、低レイテンシで高帯域の通信を実現します。パーティションは大規模分散システムの障害分離、スプレッドは少数の重要インスタンスを別ハードウェアに分ける用途です。

SCS-C02 中級

長期間使われていないIAMロールや未使用の権限を検出し、最小権限へ見直すために利用できる機能は？

正解の理由：IAM Access Analyzerの未使用アクセス分析は、未使用のロール、アクセスキー、サービス・アクション権限を検出します。GuardDutyは脅威検知、Macieは機密データ検出、ShieldはDDoS対策であり、権限の棚卸しの用途ではありません。

ANS-C01 上級

VPC AとVPC Bをピアリングしている。VPC AにあるVPN接続の先のオンプレミスへ、VPC BのEC2から到達させるには？

正解の理由：VPCピアリングは推移的なルーティングに対応せず、ピアリング先のVPN接続やDirect Connectを経由した通信（エッジ間ルーティング）はできません。Transit Gatewayにて、VPCとVPNをアタッチメントとして接続するのが適切です。ルートやセキュリティグループの設定では解決しません。

DOP-C02 中級

ECSのローリングデプロイで新タスクの起動失敗が続く場合に、デプロイを自動的に失敗扱いにして直前の安定版へ戻す設定は？

正解の理由：ECSのデプロイサーキットブレーカーは、タスクの起動失敗やヘルスチェック失敗が続くとデプロイを失敗とみなし、ロールバックを有効にしていれば前回の安定したデプロイに自動で戻します。スケーリングポリシーや配置制約は、デプロイの失敗検知には関係しません。

SCS-C02 中級

S3バケット内のオブジェクト単位のGetObjectやPutObjectの操作をCloudTrailに記録するには？

正解の理由：S3のオブジェクトレベルの操作はデータイベントに分類され、既定では記録されません。トレイルでデータイベントを明示的に有効にします。管理イベントはバケット作成などコントロールプレーンの操作が対象で、InsightsはAPI呼び出し量の異常検知です。

SAP-C02 上級

オンプレミスのサーバーをブロックレベルで継続的に複製し、災害時に数分でリカバリーインスタンスを起動できる低コストなDRサービスは？

正解の理由：AWS Elastic Disaster Recoveryは、エージェントでソースサーバーをブロックレベルで継続複製し、平常時は低コストなステージング領域のみを稼働させ、災害時に数分で復旧インスタンスを起動します。Backupは定期的なバックアップ、DataSyncはファイル転送が主目的です。

SAA-C03 中級

認証済みユーザーが、バケットを公開せずに特定のS3オブジェクトだけを一時的にアップロードできるようにするには？

正解の理由：署名付きURLは、発行者の権限で特定オブジェクトへの操作を期限付きで許可する仕組みです。バケット公開や長期キーの埋め込みは過剰な権限や漏えいリスクがあり不適切です。

ANS-C01 上級

NAT Gatewayで同一宛先への大量接続によりErrorPortAllocationが増加した。適切な対処は？

正解の理由：NAT Gatewayは、1つのIPアドレスにつき同一の宛先（IP・ポート・プロトコル）への同時接続が約55,000に制限されます。セカンダリIPの追加や複数NAT Gatewayへの分散でポートを増やせます。サブネットサイズやNACL、IGWの数は上限に無関係です。

DOP-C02 初級

CloudWatch Logsに出力済みの大量ログから、特定エラーの件数を時間帯別に即席で集計・調査するには？

正解の理由：CloudWatch Logs Insightsは保存済みのログに対してクエリ（stats、filterなど）を実行し、時間帯別の集計ができます。メトリクスフィルターは作成後に取り込まれるログからメトリクスを生成するもので、過去ログには遡及しません。

SAP-C02 中級

Fargate・Lambdaも対象で、インスタンスファミリーやリージョンが変わっても割引が適用される柔軟なコミットメント型の割引は？

正解の理由：Compute Savings Plansは、EC2のファミリー・サイズ・リージョン・OSの変更に加え、FargateやLambdaにも適用される最も柔軟なプランです。EC2 Instance Savings Plansはファミリーとリージョンが固定で割引率はやや高くなります。スポットはコミットメントではなく余剰容量の入札型です。

SAA-C03 初級

S3に保存した大量のログをAthenaで分析する際、スキャン量を減らしてクエリ料金と実行時間を下げる最も効果的な方法は？

正解の理由：Athenaはスキャンしたデータ量に応じて課金されます。列指向のParquetやORCに変換すると必要な列だけを読み、さらに日付などでパーティション分割するとWHERE句に合う範囲だけをスキャンするため、料金と時間の両方が下がります。ワークグループは利用制御用で、バージョニングはスキャン量の削減に無関係です。

SCS-C02 上級

IAM管理を開発チームの管理者へ委任しつつ、その管理者が作成するIAMロールに付与できる権限の上限を強制したい。使うべき機能は？

正解の理由：アクセス許可の境界は、IAMユーザーやロールに付けられる権限の最大範囲を定める機能です。委任された管理者に「境界を付けたロールしか作れない」条件を課せば、権限の昇格を防げます。SCPはアカウント全体の上限を定める仕組みで、個別の委任管理者の作成範囲は制御できません。

SAP-C02 上級

予測しづらい断続的な負荷を持つSaaSのマルチテナント用MySQL互換データベースで、使われない時間帯は容量を最小まで縮小し、負荷に応じてACU単位で自動スケールさせたい。最も適切な選択は？

正解の理由：Aurora Serverless v2は、負荷に応じてACU単位で細かく容量を増減でき、使われない時間帯は設定した最小容量まで縮小できます。MySQL互換でマルチAZ構成も組めるため、利用が不規則なマルチテナント基盤に向きます。固定サイズのRDSは常に同じ料金がかかり、RedshiftはDWH用途、ElastiCacheはキャッシュ用で要件を満たしません。

DOP-C02 上級

CloudFormationで本番スタックを更新する前に、その変更がリソースの置換や削除を引き起こすかを事前に確認できる機能は？

正解の理由：変更セットは、スタック更新を実行する前に、追加・変更・削除されるリソースと置換の有無をプレビューできる機能です。内容を確認してから実行できるため、本番の誤削除を防げます。ドリフト検出は実環境とテンプレートの差異を調べ、スタックポリシーは更新を制限し、DeletionPolicyは削除時の挙動を決めるもので、事前プレビューではありません。

ANS-C01 中級

Route 53で、ユーザーに最もネットワークレイテンシーが小さいリージョンのエンドポイントへ誘導したい。適切なルーティングポリシーは？

正解の理由：レイテンシールーティングは、ユーザーから見て最もレイテンシーが小さいと判定されたリージョンのリソースを返します。位置情報は国や大陸などユーザーの所在地で振り分けるため、必ずしも最速とは限りません。加重は比率による分散、フェイルオーバーは正常性による切り替え用です。

SAA-C03 中級

海外拠点から大容量ファイルを1つのS3バケットへ頻繁にアップロードしており、インターネット経由の転送が遅い。バケットの場所を変えずに転送を高速化する機能は？

正解の理由：S3 Transfer Accelerationは、最寄りのCloudFrontエッジロケーションでデータを受け取り、AWSのバックボーン経由でバケットへ転送します。専用のアクセラレートエンドポイントを使うだけで有効化でき、遠距離の大容量アップロードに有効です。マルチパートアップロードと併用するとさらに効果的です。他の選択肢は転送速度とは関係ありません。

SCS-C02 中級

CloudTrailのログファイルが、保存後に改ざん・削除されていないことを後から検証できるようにする機能は？

正解の理由：ログファイルの整合性検証を有効にすると、CloudTrailが1時間ごとにダイジェストファイルを作成し、ログファイルのSHA-256ハッシュを含めてRSAで署名します。これにより、ログが変更・削除されていないかをCLIなどで検証できます。Insightsは異常なAPI利用の検出用、バージョニングだけでは改ざんの有無を証明できません。

SAP-C02 上級

Organizationsの一括請求を使っている。あるメンバーアカウントで購入したSavings Plansの割引は、同じ組織内の他アカウントの使用量にどう適用される？

正解の理由：一括請求（コンソリデーテッドビリング）では、リザーブドインスタンスやSavings Plansの割引が既定で組織内のアカウント間で共有され、購入分を使い切れない場合は他アカウントの対象使用量に適用されます。管理アカウントで共有設定をオフにして、アカウントごとに閉じることも可能です。RAMやIAMロールの設定は不要です。

DOP-C02 中級

Lambda関数のエイリアスでトラフィックを旧バージョンから新バージョンへ段階的に移行し、CloudWatchアラームの発報で自動ロールバックしたい。利用するサービスは？

正解の理由：CodeDeployはLambdaのデプロイにも対応し、カナリアやリニアといったデプロイ設定でエイリアスの重みを段階的に切り替えられます。CloudWatchアラームを関連付ければ、閾値違反で自動的にロールバックします。AWS SAMのDeploymentPreferenceからも同じ仕組みを使えます。CodeBuildはビルド、CodeArtifactはパッケージ管理用です。

ANS-C01 中級

VPC内のEC2から、インターネットゲートウェイやNATを経由せず、追加料金なしでDynamoDBへプライベートに接続したい。使うべきVPCエンドポイントは？

正解の理由：S3とDynamoDBにはゲートウェイエンドポイントがあり、ルートテーブルにプレフィックスリストへのエントリを追加するだけで、パブリック経路を使わずに接続できます。時間課金やデータ処理料金はかかりません。NATやIGW経由ではインターネット経路になり、VPCピアリングはAWSのマネージドサービスとの接続には使えません。