収録問題 60問 ／ 10問ランダム出題
ランダムに出題・即時フィードバック・間違えた問題の復習機能付き
CloudFront経由でS3の静的コンテンツを配信する。利用者がS3へ直接アクセスできない構成にしたい。適切なのはどれですか？
答え： S3の公開をブロックし、CloudFront OACからだけ読み取りを許可する
OACとバケットポリシーを使うと、S3を非公開のままCloudFrontからの取得だけを許可できます。
別AWSアカウントの運用担当者へ、本番環境の監視権限を一時的に与えたい。長期アクセスキーを共有しない方法はどれですか？
答え： 信頼ポリシーを設定したIAM Roleを引き受けてもらう
クロスアカウントIAM Roleは一時クレデンシャルと最小権限で別アカウントへアクセスさせる代表的な方法です。
ECSタスクが利用するDB認証情報をコードへ埋め込まず、定期的に更新したい。適切な構成はどれですか？
答え： Secrets Managerに保存し、タスクRoleへ必要な取得権限だけ付与する
Secrets ManagerとECSタスクRoleを組み合わせると、イメージに秘密情報を含めず取得とローテーションを制御できます。
S3上の機密データを顧客管理鍵で暗号化し、鍵の管理者とデータ利用者を分離したい。中心となるサービスはどれですか？
答え： AWS KMS
KMSの顧客管理鍵では、キーポリシーとIAMを使って鍵管理と暗号化利用の権限を分離できます。
公開WebアプリをSQLインジェクションや既知の悪意あるリクエストパターンから保護したい。ALBの前段で使うサービスはどれですか？
答え： AWS WAF
AWS WAFはWeb ACLとマネージドルールなどでHTTP/HTTPSリクエストを検査・制御できます。
プライベートサブネットのEC2からS3へ接続する。インターネットやNAT Gatewayを経由させたくない。適切なのはどれですか？
答え： S3用Gateway VPC Endpoint
S3 Gateway Endpointをルートテーブルへ関連付けると、S3へAWSネットワーク内で到達できます。
Webアプリを単一AZ障害でも継続したい。EC2層の設計として適切なのはどれですか？
答え： 複数AZのAuto Scaling GroupをALB配下に置く
ALBと複数AZのAuto Scaling Groupを組み合わせると、正常なAZのインスタンスへトラフィックを継続できます。
RDS for MySQLの可用性を高め、プライマリ障害時に自動フェールオーバーさせたい。適切なのはどれですか？
答え： Multi-AZ配置
RDS Multi-AZは同期スタンバイを維持し、障害時の自動フェールオーバーを提供します。
注文APIと後続処理を分離し、一時的な処理遅延や失敗を吸収したい。適切な構成はどれですか？
答え： SQSキューとDLQを使い、ワーカーが非同期処理する
SQSで受付と処理を疎結合化し、DLQへ繰り返し失敗したメッセージを隔離できます。
2リージョンにWebアプリを配置し、主リージョンの障害時だけ待機系へDNSを切り替えたい。適切なのはどれですか？
答え： Route 53のフェイルオーバールーティングとヘルスチェック
フェイルオーバールーティングはプライマリ/セカンダリを定義し、ヘルスチェック結果に応じて応答を切り替えます。
重要なS3オブジェクトを別リージョンへ複製し、リージョン災害に備えたい。必要な機能はどれですか？
答え： Versioningを有効にしたうえでCross-Region Replicationを設定する
S3レプリケーションにはVersioningが必要です。CRRで別リージョンのバケットへオブジェクトを複製できます。
世界中の利用者へS3上の画像を低遅延で配信し、オリジン負荷も減らしたい。適切なのはどれですか？
答え： CloudFront
CloudFrontはエッジキャッシュを利用してコンテンツを低遅延で配信し、S3への取得回数を減らします。
DynamoDBの読み取りが非常に多く、同じデータへのマイクロ秒単位の応答を求められている。検討すべきサービスはどれですか？
答え： DynamoDB Accelerator（DAX）
DAXはDynamoDB互換のインメモリキャッシュで、読み取り中心のワークロードを高速化できます。
複数AZのLinux EC2から同時にマウントでき、自動的に容量が伸縮する共有ファイルシステムが必要です。適切なのはどれですか？
答え： Amazon EFS
EFSは複数のLinuxクライアントから利用できるマネージドNFSで、複数AZ構成と容量の自動伸縮に対応します。
多数の機器から届くイベントをリアルタイムで取り込み、複数の処理系へ流したい。適切なのはどれですか？
答え： Amazon Kinesis Data Streams
Kinesis Data Streamsは高スループットのストリーミングデータを取り込み、複数コンシューマーで処理できます。
Auroraの読み取り負荷が増えている。書き込み処理を変えずに読み取りを水平分散したい。適切なのはどれですか？
答え： Aurora Replicaを追加し、Reader Endpointを使う
Aurora ReplicaとReader Endpointを使うと、読み取り接続を複数レプリカへ分散できます。
S3ログは30日後に参照頻度が下がり、7年間保存後に削除する必要がある。コスト最適化に適した機能はどれですか？
答え： S3 Lifecycleで低コスト階層への移行と期限削除を設定する
S3 Lifecycleはアクセス頻度に応じたストレージクラス移行と、保持期限後の自動削除を実行できます。
複数のEC2やFargateで1年以上安定したコンピューティング利用が見込まれる。インスタンス種別変更の柔軟性も残したい。適切なのはどれですか？
答え： Compute Savings Plans
Compute Savings Plansは一定額のコンピューティング利用を約束し、EC2、Fargate、Lambdaなどで柔軟に割引を受けられます。
1日に数回だけ実行され、各処理が数秒で終わる画像メタデータ更新処理がある。待機サーバー費用を避けたい。適切なのはどれですか？
答え： イベントで起動するAWS Lambda
短時間・低頻度のイベント処理ではLambdaの実行量課金により、アイドル時のサーバー費用を避けられます。
プライベートサブネットの大量データ処理がS3へ頻繁にアクセスし、NAT Gatewayの処理料金が増えている。改善策はどれですか？
答え： S3 Gateway VPC Endpointを利用する
S3 Gateway Endpointを使うとS3通信をNAT Gatewayから外し、プライベート接続とNAT処理費用削減を両立できます。
EC2インスタンス上のアプリからS3へアクセスさせたい。最も安全な認証情報の渡し方はどれですか？
答え： IAMロールをEC2インスタンスにアタッチする
IAMロールを使うと一時的な認証情報が自動配布・更新され、長期キーの埋め込みや漏えいを避けられます。
サブネット単位でステートレスにトラフィックを許可・拒否したい。適切な機能はどれですか？
答え： ネットワークACL（NACL）
NACLはサブネット境界でステートレスに許可・拒否を行います。セキュリティグループはインスタンス単位でステートフルです。
保存データを暗号化し、暗号鍵を一元管理・ローテーションしたい。適切なサービスはどれですか？
答え： AWS KMS
KMSは暗号鍵の生成・管理・ローテーションを担い、S3やEBSなど多くのサービスと統合できます。
データベース接続パスワードを安全に保管し、自動ローテーションも行いたい。適切なサービスはどれですか？
答え： AWS Secrets Manager
Secrets Managerは機密情報を暗号化保管し、対応データベースの認証情報を自動ローテーションできます。
IAMの権限設計で推奨される基本方針はどれですか？
答え： 必要最小限の権限だけを付与する（最小権限）
最小権限の原則に従い、必要な操作だけを許可することで被害範囲を最小化します。
RDSで、計画停止や障害時の可用性を高めたい。適切な構成はどれですか？
答え： マルチAZ配置を有効にする
マルチAZは別AZにスタンバイを持ち、障害時に自動フェイルオーバーして可用性を高めます。
負荷変動に応じてEC2の台数を自動的に増減させたい。適切なサービスはどれですか？
答え： Auto Scaling グループ
Auto Scalingはメトリクスやスケジュールに応じてインスタンス数を自動調整し、可用性とコスト効率を両立します。
複数のEC2へトラフィックを分散し、異常なインスタンスを切り離したい。適切なサービスはどれですか？
答え： Elastic Load Balancing（ELB）
ELBはヘルスチェックに基づき正常なターゲットへ負荷を分散し、可用性を高めます。
Route 53で、主系がダウンしたら待機系へ自動的に切り替えたい。適切な機能はどれですか？
答え： ヘルスチェックを用いたフェイルオーバールーティング
フェイルオーバールーティングはヘルスチェック結果に基づき、異常時にセカンダリへ自動切替します。
コンポーネント間を疎結合にし、急なリクエスト増を吸収（バッファリング）したい。適切なサービスはどれですか？
答え： Amazon SQS
SQSはキューでメッセージを一時保持し、送信側と処理側を疎結合にして負荷の波を吸収します。
読み取りの多いアプリで、DB負荷を下げ応答を高速化したい。適切なサービスはどれですか？
答え： Amazon ElastiCache
ElastiCache（RedisやMemcached）はインメモリキャッシュで頻出データを高速提供し、DB負荷を軽減します。
世界中の利用者へ静的・動的コンテンツを低遅延で配信したい。適切なサービスはどれですか？
答え： Amazon CloudFront
CloudFrontはエッジロケーションでコンテンツをキャッシュ配信し、地理的に近い拠点から低遅延で提供します。
RDSで読み取り負荷をスケールさせたい。適切な方法はどれですか？
答え： リードレプリカを追加する
リードレプリカは読み取りクエリを分散し、読み取り中心のワークロードをスケールできます。
遠隔地から大容量ファイルをS3へ高速にアップロードしたい。適切な機能はどれですか？
答え： S3 Transfer Acceleration
Transfer AccelerationはCloudFrontのエッジ経由で最適化された経路を使い、遠距離の転送を高速化します。
汎用SSD（gp3）と比べ、非常に高く安定したIOPSが必要な場合に選ぶEBSタイプはどれですか？
答え： プロビジョンドIOPS SSD（io1/io2）
io1/io2は必要なIOPSを明示指定でき、高IOPSを安定して要求するDBなどに適します。
中断されても再開できるバッチ処理を、最も低コストで実行したい。適切な購入方法はどれですか？
答え： スポットインスタンス
スポットは余剰キャパシティを大幅割引で使えますが中断され得るため、中断耐性のある処理に最適です。
常時稼働するワークロードのEC2/Fargate費用を、柔軟性を保ちつつ割引したい。適切なものはどれですか？
答え： Savings Plans
Savings Plansは一定の利用量を約束する代わりに割引が適用され、インスタンス種別をまたいで柔軟に使えます。
古いログを一定期間後に安価なアーカイブへ自動移動し、コストを下げたい。適切な機能はどれですか？
答え： S3 ライフサイクルルール
ライフサイクルルールで一定経過後にGlacier等へ自動移行・失効でき、保管コストを最適化できます。
アクセス頻度が予測できないデータの保管コストを、運用負荷なく最適化したい。適切なストレージクラスはどれですか？
答え： S3 Intelligent-Tiering
Intelligent-Tieringはアクセスパターンに応じて自動的に階層を移動し、手動管理なしでコスト最適化します。
プライベートサブネットからのインターネット向け通信のNATコストを抑えつつ可用性も確保したい。適切な考え方はどれですか？
答え： NAT Gatewayを使い、S3等はVPCゲートウェイエンドポイント経由にする
S3/DynamoDB向けはVPCゲートウェイエンドポイントでNATを経由させず、データ処理料金を削減できます。NAT Gatewayは可用性が高い構成です。
AWS Organizationsのメンバーアカウントで、管理者が特定リージョン外のサービスを利用できないよう組織全体の上限を設定したい。適切な方法はどれですか？
答え： 対象OUへService Control Policy（SCP）を適用し、禁止する操作を制限する
SCPは組織、OU、アカウントに対して利用可能な権限の上限を定義します。SCP自体は権限を付与せず、メンバーアカウントのIAMポリシーで許可されていてもSCPで拒否された操作は実行できません。
監査ログを7年間、誰にも上書き・削除させないWORM形式でS3に保管する必要がある。保持期間中はルートユーザーでも削除できない構成はどれですか？
答え： S3 Object LockのComplianceモードと保持期間を設定する
S3 Object LockのComplianceモードはWORMモデルでオブジェクトバージョンを保護し、保持期限まではルートユーザーを含めて上書きや削除を許可しません。Versioningだけでは権限を持つ利用者による完全削除を防げません。
本番アカウントが侵害された場合にも復旧できるよう、バックアップを別AWSアカウントかつ別リージョンへ定期的に保管したい。運用を一元化できる構成はどれですか？
答え： AWS Backupのバックアッププランで、別アカウント・別リージョンのバックアップボールトへのコピーを設定する
AWS Backupはバックアッププランから対応リソースのリカバリポイントを別アカウントや別リージョンのボールトへコピーできます。障害ドメインと管理境界を分離することで、リージョン障害や本番アカウント侵害への耐性を高められます。
世界中の利用者がTCPアプリへ接続する。固定のグローバルIPアドレスを提供し、利用者に近いエッジからAWSグローバルネットワークへ取り込んで遅延を改善したい。適切なサービスはどれですか？
答え： AWS Global Accelerator
AWS Global Acceleratorは固定エニーキャストIPを提供し、TCP/UDPトラフィックを利用者に近いエッジからAWSグローバルネットワークへ取り込み、正常で最適なリージョンのエンドポイントへ転送します。
多数のEC2インスタンスについて過去の利用メトリクスを分析し、性能リスクも考慮した適正サイズへの変更候補を自動的に得たい。適切なサービスはどれですか？
答え： AWS Compute Optimizer
Compute Optimizerはリソース構成とCloudWatchの利用メトリクスを分析し、EC2などの適正サイズ、コスト、性能リスクを考慮した推奨事項を提供します。変更前には業務要件やピーク負荷も合わせて確認します。
複数のAWSサービスや独自アプリが発行するイベントを内容に応じて振り分け、Lambda、SQS、別アカウントの処理へ疎結合に配信したい。適切なサービスはどれですか？
答え： Amazon EventBridgeのイベントバスとルール
EventBridgeのイベントバスは複数ソースからイベントを受け取り、イベントパターンに一致するルールから複数のターゲットへ配送できます。送信元が受信先を直接知る必要がなく、イベント駆動の疎結合構成に適します。
注文処理で、在庫確認、決済、配送依頼を順番に実行し、各処理の失敗時に再試行や代替処理へ分岐したい。サーバーを管理せずワークフローを可視化できるサービスはどれですか？
答え： AWS Step Functions
Step Functionsはステートマシンで分散処理をオーケストレーションし、順次・並列実行、条件分岐、Retry、Catchなどを宣言的に定義できます。実行状態も追跡でき、個別サービスに制御ロジックを埋め込む必要を減らします。
数百のVPCとオンプレミスネットワークを接続する。VPCピアリングを多数組み合わせず、中央のルーターで経路を分離・管理したい。適切なサービスはどれですか？
答え： AWS Transit Gateway
Transit GatewayはVPC、VPN、Direct Connect Gatewayなどを接続するリージョン単位のトランジットハブです。アタッチメントとTransit Gatewayルートテーブルにより、フルメッシュのピアリングより接続と経路分離を集中管理しやすくなります。
Lambda関数からRDSへ短時間の接続が急増し、データベースの接続数上限と接続確立負荷が問題になっている。アプリ変更を抑えて改善する方法はどれですか？
答え： Amazon RDS Proxyを導入して接続をプール・再利用する
RDS Proxyはアプリケーション接続を受けて背後のDB接続をプールし、複数のクライアント間で再利用します。Lambdaなど接続数が急増するワークロードで、DBの接続確立負荷と過剰な接続を抑えられます。
利用量が予測しにくいAurora互換データベースで、負荷に応じて容量を細かく増減させ、アイドル時の過剰なプロビジョニングを抑えたい。適切な選択肢はどれですか？
答え： 最小・最大ACUを設定したAurora Serverless v2
Aurora Serverless v2は設定した最小・最大ACUの範囲で、CPU、メモリ、ネットワークなどの負荷に応じて容量を細かく増減します。実際に必要な容量へ追従しやすく、変動負荷での過剰プロビジョニングを抑えられます。
AWS Organizations配下の複数アカウントへ、社内IdPの利用者が一度のサインインでアクセスできるようにしたい。アカウントごとにIAMユーザーを作らず、職務別の権限を一元管理する方法はどれですか？
答え： IAM Identity CenterをIdPと連携し、Permission Setを各アカウントへ割り当てる
IAM Identity Centerは外部IdPと連携し、利用者・グループへPermission Setを割り当てて複数AWSアカウントへのアクセスを一元管理できます。各アカウントでは対応するIAMロールが利用され、一時認証情報でアクセスします。
インターネット接続もNAT GatewayもないプライベートサブネットのEC2から、Secrets Manager APIへプライベートにアクセスしたい。適切な構成はどれですか？
答え： Secrets Manager用のInterface VPC Endpointを作成し、Private DNSを有効にする
AWS PrivateLinkを使用するInterface VPC Endpointを作成すると、EC2はプライベートIP経由でSecrets Manager APIへ接続できます。Private DNSを有効にすれば通常のサービスDNS名をエンドポイントへ解決できます。
CloudTrail、VPC Flow Logs、DNSログなどを継続分析し、漏えいした認証情報の悪用や不審な通信をマネージドに検出したい。適切なサービスはどれですか？
答え： Amazon GuardDuty
GuardDutyはAWSのログや脅威インテリジェンス、機械学習を利用して、認証情報侵害、異常なAPI操作、マルウェアや不審なネットワーク挙動などの脅威を検出します。
多数のS3バケットから個人情報や認証情報を含む可能性があるオブジェクトを自動検出し、機密データの所在を把握したい。適切なサービスはどれですか？
答え： Amazon Macie
MacieはS3オブジェクトを評価し、個人情報、金融情報、認証情報などの機密データを検出・分類します。組織内バケットの可視化や検出結果の集約にも利用できます。
ALBで公開するWebサイトへHTTPSを設定し、公開証明書の更新作業を最小化したい。適切な方法はどれですか？
答え： ACMで公開証明書を発行し、ALBのHTTPSリスナーへ関連付ける
ACMが発行した公開証明書をALBなどの統合サービスで使用すると、DNS検証など更新条件が維持されている限りACMが証明書の更新を管理します。TLS終端をALBへ集約でき、EC2ごとの証明書配布も不要です。
大規模な業務システムのリージョンDRで、RTOは数分、RPOも数分が必要である。待機リージョンでは縮小構成を常時稼働し、障害時に本番規模へ拡張できる。適切なDR戦略はどれですか？
答え： ウォームスタンバイ
ウォームスタンバイでは、待機リージョンに縮小した完全な機能環境を常時稼働させ、障害時にスケールアウトして切り替えます。数分単位のRTO/RPOを狙いつつ、常時フル構成のコストを抑えられます。
決済イベントをキューで処理する。顧客ごとの処理順序を維持し、短時間の再送で同じイベントが重複処理されることも防ぎたい。適切な構成はどれですか？
答え： SQS FIFOキューで顧客IDをMessageGroupIdにし、重複排除IDと冪等な処理を使用する
SQS FIFOはMessageGroupId内の順序を維持し、重複排除機能を提供します。ただし再試行や障害境界を含む厳密な一度だけの業務処理には、決済IDを記録するなど利用側の冪等性も必要です。
世界各地のアプリから同じキーバリューデータへ低遅延で読み書きし、1リージョン停止時も別リージョンで処理を継続したい。適切なデータストア構成はどれですか？
答え： 複数リージョンにレプリカを持つDynamoDB Global Tables
DynamoDB Global Tablesは複数リージョンへデータをレプリケートするマルチリージョン・マルチアクティブ構成です。各リージョンでローカルに読み書きでき、リージョン障害時の継続性と世界規模の低遅延アクセスに適します。
S3に日付別で保存した数TBのアクセスログをAthenaで頻繁に集計している。クエリ時間とスキャン料金を同時に減らす改善策はどれですか？
答え： 列指向のParquetへ変換し、日付でパーティション化して必要な列と期間だけを検索する
Athenaはスキャンしたデータ量に基づいて課金されます。Parquetの列指向形式、圧縮、日付パーティションの絞込みを組み合わせると、不要な列とオブジェクトを読まずに済み、性能とコストを改善できます。
複数部門が同じAWSアカウントを利用している。共有リソースを含む月次コストを部門別に可視化し、予算超過前に通知したい。適切な組合せはどれですか？
答え： コスト配分タグとCost Categoriesで分類し、Cost ExplorerとAWS Budgetsで分析・通知する
有効化したコスト配分タグとCost Categoriesで費用を部門や共有ルールへ分類し、Cost Explorerで傾向を分析できます。AWS Budgetsでは実績または予測コストがしきい値へ達した際の通知を設定できます。