AWS 問題集・練習問題クイズ

AWSで、最小権限の原則に基づいてユーザーやロールの権限を管理する中心的サービスはどれですか？

答え： IAM

IAMはユーザー、グループ、ロール、ポリシーを扱います。実務では長期アクセスキーを避け、ロールを使う設計が基本です。

AWSで、EC2やRDSなどを配置する論理的に分離されたネットワークはどれですか？

答え： VPC

VPCはサブネット、ルートテーブル、セキュリティグループ、NACL、NAT Gatewayなどでネットワークを設計します。

AWS S3で、誤削除や上書きから復旧しやすくするために有効な機能はどれですか？

答え： Versioning

S3 Versioningを有効にするとオブジェクトの複数世代を保持できます。バックアップやランサムウェア対策でも重要です。

AWSで、API操作履歴を記録し監査に使うサービスはどれですか？

答え： CloudTrail

CloudTrailはAWSアカウント内のAPI呼び出し履歴を記録します。誰が何をしたかの監査に使います。

AWSで、メトリクスやログを集約しアラームを設定する代表的サービスはどれですか？

答え： CloudWatch

CloudWatchはメトリクス、ログ、アラーム、ダッシュボードなどの監視に使います。

AWS Well-Architected Frameworkの柱に含まれるものとして適切なのはどれですか？

答え： セキュリティ、信頼性、パフォーマンス効率、コスト最適化、運用上の優秀性、持続可能性

AWS Well-Architectedは設計レビューの観点として複数の柱を提供し、運用・セキュリティ・コストなどを体系的に確認します。

AWSで仮想サーバーを起動してOSやミドルウェアを自分で管理したい。代表的なサービスはどれですか？

答え： EC2

EC2はAWSの仮想サーバーサービスです。インスタンスタイプ、AMI、ストレージ、ネットワーク、セキュリティグループなどを選んで利用します。

AWSでサーバ管理をせず、イベントに応じて短いコードを実行したい。適切なサービスはどれですか？

答え： Lambda

Lambdaはサーバレスで関数を実行するサービスです。API Gateway、S3イベント、スケジュールなどをきっかけに処理を動かせます。

AWSでWebサイトやAPIのトラフィックを複数のEC2などへ分散したい。代表的なサービスはどれですか？

答え： Elastic Load Balancing

Elastic Load Balancingは複数ターゲットへトラフィックを分散します。Web/APIではApplication Load Balancerを使う場面がよくあります。

AWSでコンテナイメージを保存するプライベートレジストリとして使う代表的サービスはどれですか？

答え： ECR

ECR（Elastic Container Registry）はコンテナイメージを保存・管理するサービスです。ECS、EKS、CI/CDなどと組み合わせて使います。

AWSでリソースに環境名や担当者などのメタ情報を付け、検索やコスト配分に使うものはどれですか？

答え： Tag

TagはAWSリソースに付けるキーと値のメタ情報です。環境、システム名、担当チーム、コスト配分などの整理に役立ちます。

プライベートサブネット内のEC2からパッケージ更新のためにインターネットへ出たいが、外部からEC2へ直接到達させたくない。一般的な設計はどれですか？

答え： パブリックサブネットにNAT Gatewayを置き、プライベートサブネットのルートを向ける

NAT Gatewayはプライベートサブネットから外向き通信を行う代表的な構成です。戻り通信は許可されますが、インターネット側からEC2へ新規接続させる用途ではありません。

複数AZのEC2でWeb APIを動かしている。異常なインスタンスへは自動的に送信せず、HTTPの状態を見て振り分けたい。適切なのはどれですか？

答え： Application Load Balancerのターゲットグループヘルスチェック

Application Load BalancerはHTTP/HTTPS向けの負荷分散に向いています。ターゲットグループのヘルスチェックで異常なターゲットを振り分け対象から外せます。

RDSをアプリケーションから利用する。データベースをインターネットへ公開せず、アプリだけが接続できるようにしたい。設計として適切なのはどれですか？

答え： RDSをプライベートサブネットに置き、DBのSecurity GroupでアプリのSecurity Groupからだけ許可する

RDSはプライベートサブネットに配置し、Security Group同士の参照でアプリ層からだけ接続を許可する構成が一般的です。公開到達性と認証情報の扱いを分けて考えます。

S3上の静的アセットを独自ドメインとHTTPSで配信し、世界中の利用者へキャッシュも効かせたい。中心になるサービスはどれですか？

答え： CloudFront

CloudFrontはCDNとしてS3などのオリジンを世界中のエッジから配信できます。独自ドメイン、TLS証明書、キャッシュ制御なども設計対象になります。

GitHub ActionsなどのCIからAWSへデプロイする。長期アクセスキーをリポジトリに置かず、一時的な権限で実行したい。推奨される考え方はどれですか？

答え： OIDC連携でIAM Roleを引き受ける

CI/CDではOIDCフェデレーションでIAM Roleを引き受ける構成にすると、長期アクセスキーの配布を避けやすくなります。信頼ポリシーと権限ポリシーを最小権限で設計します。

新規のWebサービスをAWSで設計する。1つのAZ障害でもサービスを継続したい場合、基本方針として最も適切なのはどれですか？

答え： 複数AZにアプリを配置し、ロードバランサーとマルチAZ対応データストアを使う

単一AZ障害へ備えるには、アプリ層とデータ層の両方を複数AZ前提で設計します。ロードバランサー、Auto Scaling、RDS Multi-AZなどを組み合わせるのが基本です。

注文受付APIからメール送信や在庫更新を呼び出している。処理の一部が遅くても受付を止めにくい疎結合設計にしたい。適切な構成はどれですか？

答え： SQSなどのキューを挟み、非同期ワーカーで後続処理を行う

SQSなどのキューを挟むと、受付処理と後続処理を分離できます。リトライ、バッファリング、ワーカーのスケールを設計しやすくなります。

本番システムの災害対策を設計している。RTOとRPOを満たせるかを判断するため、最初に明確にすべきものはどれですか？

答え： 復旧までに許容できる時間と、失ってよいデータ量

DR設計では、RTO（いつまでに復旧するか）とRPO（どこまでのデータ損失を許容するか）が方式選定の前提になります。バックアップ、レプリケーション、ウォームスタンバイなどの選択に直結します。

S3に保存した社内向けレポートを、特定のアプリ経由でだけ閲覧させたい。公開バケットにせずアクセス経路を絞る設計として適切なのはどれですか？

答え： S3のパブリックアクセスをブロックし、アプリ用IAM RoleやCloudFront OACなどで必要な経路だけ許可する

S3は公開しない前提で、Block Public Access、バケットポリシー、IAM Role、CloudFront OACなどを組み合わせてアクセス経路を設計します。名前の推測しにくさはアクセス制御ではありません。

開発・検証・本番の環境をAWSで分けたい。誤操作や権限混在、請求の見えにくさを減らす設計として適切なのはどれですか？

答え： AWS Organizationsでアカウントを分離し、OUとSCPで統制する

環境分離にはアカウント分離が強い境界になります。Organizations、OU、SCP、請求管理、IAM Identity Centerなどを組み合わせると統制しやすくなります。

S3バケットやIAM Roleが組織外のアカウントからアクセス可能になっていないか継続的に確認したい。適切なサービスはどれですか？

答え： IAM Access Analyzer

IAM Access Analyzerはリソースポリシーなどを解析し、信頼ゾーン外からアクセス可能なリソースを検出します。意図しない外部共有の確認に役立ちます。

AWSアカウント内のAPI活動やネットワーク情報を分析し、不審な認証情報利用や暗号資産マイニングの兆候を検出したい。適切なのはどれですか？

答え： Amazon GuardDuty

GuardDutyはAWS上の複数のログやシグナルを分析するマネージド脅威検出サービスです。検出結果は重大度を確認し、EventBridgeなどで対応フローへ連携できます。

アプリケーションが使うデータベースパスワードを安全に保管し、定期的な変更も自動化したい。最も適切なサービスはどれですか？

答え： AWS Secrets Manager

Secrets Managerはシークレットの保管、取得権限制御、暗号化、ローテーションを支援します。アプリにはIAM Roleを付与し、必要なシークレットだけを取得させます。

公開APIに対する大量リクエストを送信元単位で制限し、一般利用者への影響を抑えたい。AWS WAFで使うルールはどれですか？

答え： レートベースルール

AWS WAFのレートベースルールは、一定期間のリクエスト数を集計して制限できます。対象パスや条件を絞り、正規アクセスを遮断しすぎない設計が重要です。

機密データを暗号化し、鍵の利用者と管理者を分離して操作履歴も監査したい。中心となるサービスはどれですか？

答え： AWS KMS

AWS KMSは暗号鍵の作成・管理と暗号化操作を提供します。キーポリシーとIAMで職務を分離し、CloudTrailで鍵利用を監査できます。

EC2へSSHポートをインターネット公開せず、監査可能なセッションで運用接続したい。適切なサービス機能はどれですか？

答え： AWS Systems Manager Session Manager

Session Managerを使うと、SSM AgentとIAM権限を前提に、踏み台やSSH公開なしでEC2へ接続できます。セッションログ連携も設計できます。

EC2に修正パッチを定期適用し、適用漏れを管理したい。AWS Systems Managerで使う機能はどれですか？

答え： Patch Manager

Patch Managerはマネージドノードのパッチ適用、スケジュール、準拠状況確認に使います。運用ではメンテナンスウィンドウと組み合わせます。

AWSリソースの設定変更履歴を記録し、暗号化必須などのルール準拠を継続評価したい。適切なサービスはどれですか？

答え： AWS Config

AWS Configはリソース構成の記録、変更追跡、Configルールによる準拠評価に使います。API操作履歴そのものはCloudTrailが担います。

EC2、EBS、RDSなどのバックアップをポリシーでまとめて管理したい。適切なサービスはどれですか？

答え： AWS Backup

AWS Backupは複数AWSサービスのバックアップ計画、保持期間、復元ポイントを一元管理するサービスです。

S3へのファイル作成イベントをきっかけに、後続処理をLambdaやStep Functionsへ疎結合に連携したい。中心になるサービスはどれですか？

答え： Amazon EventBridge

EventBridgeはAWSサービスやアプリのイベントをルールで振り分け、Lambda、Step Functions、SQSなどへ連携できます。

EC2やコンテナイメージ、Lambda関数に含まれる既知脆弱性を継続的に検出したい。適切なサービスはどれですか？

答え： Amazon Inspector

Amazon InspectorはEC2、ECRイメージ、Lambdaなどの脆弱性検出を支援します。Macieは主にS3内の機密データ検出です。

S3に保存された個人情報や認証情報らしきデータを自動検出し、漏えいリスクを把握したい。適切なサービスはどれですか？

答え： Amazon Macie

Amazon Macieは機械学習やパターンマッチングでS3内の機密データを検出し、データ保護状況の把握に使います。

プライベートサブネットのEC2からインターネットへ更新取得はしたいが、外部からEC2へ直接接続させたくない。一般的な構成はどれですか？

答え： パブリックサブネットのNAT Gateway経由で送信する

NAT Gatewayはプライベートサブネットからのアウトバウンド通信を可能にしつつ、外部からの直接到達を避ける設計で使います。

VPC内のアプリからS3へ、NAT Gatewayを経由せずAWSネットワーク内で接続したい。検討するものはどれですか？

答え： Gateway VPC Endpoint for S3

S3用Gateway VPC Endpointを使うと、VPCからS3への通信をAWSネットワーク内に保ち、NAT Gatewayのデータ処理費用削減にもつながります。

複数のEC2上のWebアプリへHTTP/HTTPSを振り分け、パスごとにターゲットを変えたい。適切なのはどれですか？

答え： Application Load Balancer

Application Load BalancerはL7負荷分散を提供し、ホスト名やパスに基づくルーティング、ヘルスチェック、TLS終端などに使います。

処理A、承認待ち、処理Bのような複数ステップを、失敗時のリトライも含めて管理したい。適切なサービスはどれですか？

答え： AWS Step Functions

Step Functionsは状態遷移でワークフローを定義し、LambdaやECSなどの処理を連携し、分岐、リトライ、待機を管理できます。

複数のEC2から同時にマウントできる共有ファイルシステムが必要です。Linux系ワークロードで代表的に使うサービスはどれですか？

答え： Amazon EFS

Amazon EFSは複数クライアントからNFSで利用できるマネージドファイルストレージです。EBSは基本的に単一インスタンス向けブロックストレージです。

アプリケーション間でメッセージをキューにため、受信側が一時停止しても後で処理できるようにしたい。適切なサービスはどれですか？

答え： Amazon SQS

SQSはメッセージキューで、送信側と受信側を疎結合にします。SNSは主にPub/Sub通知で複数購読者へ配信します。

多数の購読先へ同じ通知を一斉配信し、メールやSQS、Lambdaへ連携したい。適切なサービスはどれですか？

答え： Amazon SNS

SNSはトピックに対して複数の購読者へ通知を配信するPub/Subサービスです。SQSと組み合わせてファンアウト構成にも使います。