収録問題 70問 ／ 10問ランダム出題
ランダムに出題・即時フィードバック・間違えた問題の復習機能付き
AWSで、最小権限の原則に基づいてユーザーやロールの権限を管理する中心的サービスはどれですか？
答え： IAM
IAMはユーザー、グループ、ロール、ポリシーを扱います。実務では長期アクセスキーを避け、ロールを使う設計が基本です。
AWSで、EC2やRDSなどを配置する論理的に分離されたネットワークはどれですか？
答え： VPC
VPCはサブネット、ルートテーブル、セキュリティグループ、NACL、NAT Gatewayなどでネットワークを設計します。
AWS S3で、誤削除や上書きから復旧しやすくするために有効な機能はどれですか？
答え： Versioning
S3 Versioningを有効にするとオブジェクトの複数世代を保持できます。バックアップやランサムウェア対策でも重要です。
AWSで、API操作履歴を記録し監査に使うサービスはどれですか？
答え： CloudTrail
CloudTrailはAWSアカウント内のAPI呼び出し履歴を記録します。誰が何をしたかの監査に使います。
AWSで、メトリクスやログを集約しアラームを設定する代表的サービスはどれですか？
答え： CloudWatch
CloudWatchはメトリクス、ログ、アラーム、ダッシュボードなどの監視に使います。
AWS Well-Architected Frameworkの柱に含まれるものとして適切なのはどれですか？
答え： セキュリティ、信頼性、パフォーマンス効率、コスト最適化、運用上の優秀性、持続可能性
AWS Well-Architectedは設計レビューの観点として複数の柱を提供し、運用・セキュリティ・コストなどを体系的に確認します。
AWSで仮想サーバーを起動してOSやミドルウェアを自分で管理したい。代表的なサービスはどれですか？
答え： EC2
EC2はAWSの仮想サーバーサービスです。インスタンスタイプ、AMI、ストレージ、ネットワーク、セキュリティグループなどを選んで利用します。
AWSでサーバ管理をせず、イベントに応じて短いコードを実行したい。適切なサービスはどれですか？
答え： Lambda
Lambdaはサーバレスで関数を実行するサービスです。API Gateway、S3イベント、スケジュールなどをきっかけに処理を動かせます。
AWSでWebサイトやAPIのトラフィックを複数のEC2などへ分散したい。代表的なサービスはどれですか？
答え： Elastic Load Balancing
Elastic Load Balancingは複数ターゲットへトラフィックを分散します。Web/APIではApplication Load Balancerを使う場面がよくあります。
AWSでコンテナイメージを保存するプライベートレジストリとして使う代表的サービスはどれですか？
答え： ECR
ECR（Elastic Container Registry）はコンテナイメージを保存・管理するサービスです。ECS、EKS、CI/CDなどと組み合わせて使います。
AWSでリソースに環境名や担当者などのメタ情報を付け、検索やコスト配分に使うものはどれですか？
答え： Tag
TagはAWSリソースに付けるキーと値のメタ情報です。環境、システム名、担当チーム、コスト配分などの整理に役立ちます。
プライベートサブネット内のEC2からパッケージ更新のためにインターネットへ出たいが、外部からEC2へ直接到達させたくない。一般的な設計はどれですか？
答え： パブリックサブネットにNAT Gatewayを置き、プライベートサブネットのルートを向ける
NAT Gatewayはプライベートサブネットから外向き通信を行う代表的な構成です。戻り通信は許可されますが、インターネット側からEC2へ新規接続させる用途ではありません。
複数AZのEC2でWeb APIを動かしている。異常なインスタンスへは自動的に送信せず、HTTPの状態を見て振り分けたい。適切なのはどれですか？
答え： Application Load Balancerのターゲットグループヘルスチェック
Application Load BalancerはHTTP/HTTPS向けの負荷分散に向いています。ターゲットグループのヘルスチェックで異常なターゲットを振り分け対象から外せます。
RDSをアプリケーションから利用する。データベースをインターネットへ公開せず、アプリだけが接続できるようにしたい。設計として適切なのはどれですか？
答え： RDSをプライベートサブネットに置き、DBのSecurity GroupでアプリのSecurity Groupからだけ許可する
RDSはプライベートサブネットに配置し、Security Group同士の参照でアプリ層からだけ接続を許可する構成が一般的です。公開到達性と認証情報の扱いを分けて考えます。
S3上の静的アセットを独自ドメインとHTTPSで配信し、世界中の利用者へキャッシュも効かせたい。中心になるサービスはどれですか？
答え： CloudFront
CloudFrontはCDNとしてS3などのオリジンを世界中のエッジから配信できます。独自ドメイン、TLS証明書、キャッシュ制御なども設計対象になります。
GitHub ActionsなどのCIからAWSへデプロイする。長期アクセスキーをリポジトリに置かず、一時的な権限で実行したい。推奨される考え方はどれですか？
答え： OIDC連携でIAM Roleを引き受ける
CI/CDではOIDCフェデレーションでIAM Roleを引き受ける構成にすると、長期アクセスキーの配布を避けやすくなります。信頼ポリシーと権限ポリシーを最小権限で設計します。
新規のWebサービスをAWSで設計する。1つのAZ障害でもサービスを継続したい場合、基本方針として最も適切なのはどれですか？
答え： 複数AZにアプリを配置し、ロードバランサーとマルチAZ対応データストアを使う
単一AZ障害へ備えるには、アプリ層とデータ層の両方を複数AZ前提で設計します。ロードバランサー、Auto Scaling、RDS Multi-AZなどを組み合わせるのが基本です。
注文受付APIからメール送信や在庫更新を呼び出している。処理の一部が遅くても受付を止めにくい疎結合設計にしたい。適切な構成はどれですか？
答え： SQSなどのキューを挟み、非同期ワーカーで後続処理を行う
SQSなどのキューを挟むと、受付処理と後続処理を分離できます。リトライ、バッファリング、ワーカーのスケールを設計しやすくなります。
本番システムの災害対策を設計している。RTOとRPOを満たせるかを判断するため、最初に明確にすべきものはどれですか？
答え： 復旧までに許容できる時間と、失ってよいデータ量
DR設計では、RTO（いつまでに復旧するか）とRPO（どこまでのデータ損失を許容するか）が方式選定の前提になります。バックアップ、レプリケーション、ウォームスタンバイなどの選択に直結します。
S3に保存した社内向けレポートを、特定のアプリ経由でだけ閲覧させたい。公開バケットにせずアクセス経路を絞る設計として適切なのはどれですか？
答え： S3のパブリックアクセスをブロックし、アプリ用IAM RoleやCloudFront OACなどで必要な経路だけ許可する
S3は公開しない前提で、Block Public Access、バケットポリシー、IAM Role、CloudFront OACなどを組み合わせてアクセス経路を設計します。名前の推測しにくさはアクセス制御ではありません。
開発・検証・本番の環境をAWSで分けたい。誤操作や権限混在、請求の見えにくさを減らす設計として適切なのはどれですか？
答え： AWS Organizationsでアカウントを分離し、OUとSCPで統制する
環境分離にはアカウント分離が強い境界になります。Organizations、OU、SCP、請求管理、IAM Identity Centerなどを組み合わせると統制しやすくなります。
S3バケットやIAM Roleが組織外のアカウントからアクセス可能になっていないか継続的に確認したい。適切なサービスはどれですか？
答え： IAM Access Analyzer
IAM Access Analyzerはリソースポリシーなどを解析し、信頼ゾーン外からアクセス可能なリソースを検出します。意図しない外部共有の確認に役立ちます。
AWSアカウント内のAPI活動やネットワーク情報を分析し、不審な認証情報利用や暗号資産マイニングの兆候を検出したい。適切なのはどれですか？
答え： Amazon GuardDuty
GuardDutyはAWS上の複数のログやシグナルを分析するマネージド脅威検出サービスです。検出結果は重大度を確認し、EventBridgeなどで対応フローへ連携できます。
アプリケーションが使うデータベースパスワードを安全に保管し、定期的な変更も自動化したい。最も適切なサービスはどれですか？
答え： AWS Secrets Manager
Secrets Managerはシークレットの保管、取得権限制御、暗号化、ローテーションを支援します。アプリにはIAM Roleを付与し、必要なシークレットだけを取得させます。
公開APIに対する大量リクエストを送信元単位で制限し、一般利用者への影響を抑えたい。AWS WAFで使うルールはどれですか？
答え： レートベースルール
AWS WAFのレートベースルールは、一定期間のリクエスト数を集計して制限できます。対象パスや条件を絞り、正規アクセスを遮断しすぎない設計が重要です。
機密データを暗号化し、鍵の利用者と管理者を分離して操作履歴も監査したい。中心となるサービスはどれですか？
答え： AWS KMS
AWS KMSは暗号鍵の作成・管理と暗号化操作を提供します。キーポリシーとIAMで職務を分離し、CloudTrailで鍵利用を監査できます。
EC2へSSHポートをインターネット公開せず、監査可能なセッションで運用接続したい。適切なサービス機能はどれですか？
答え： AWS Systems Manager Session Manager
Session Managerを使うと、SSM AgentとIAM権限を前提に、踏み台やSSH公開なしでEC2へ接続できます。セッションログ連携も設計できます。
EC2に修正パッチを定期適用し、適用漏れを管理したい。AWS Systems Managerで使う機能はどれですか？
答え： Patch Manager
Patch Managerはマネージドノードのパッチ適用、スケジュール、準拠状況確認に使います。運用ではメンテナンスウィンドウと組み合わせます。
AWSリソースの設定変更履歴を記録し、暗号化必須などのルール準拠を継続評価したい。適切なサービスはどれですか？
答え： AWS Config
AWS Configはリソース構成の記録、変更追跡、Configルールによる準拠評価に使います。API操作履歴そのものはCloudTrailが担います。
EC2、EBS、RDSなどのバックアップをポリシーでまとめて管理したい。適切なサービスはどれですか？
答え： AWS Backup
AWS Backupは複数AWSサービスのバックアップ計画、保持期間、復元ポイントを一元管理するサービスです。
S3へのファイル作成イベントをきっかけに、後続処理をLambdaやStep Functionsへ疎結合に連携したい。中心になるサービスはどれですか？
答え： Amazon EventBridge
EventBridgeはAWSサービスやアプリのイベントをルールで振り分け、Lambda、Step Functions、SQSなどへ連携できます。
EC2やコンテナイメージ、Lambda関数に含まれる既知脆弱性を継続的に検出したい。適切なサービスはどれですか？
答え： Amazon Inspector
Amazon InspectorはEC2、ECRイメージ、Lambdaなどの脆弱性検出を支援します。Macieは主にS3内の機密データ検出です。
S3に保存された個人情報や認証情報らしきデータを自動検出し、漏えいリスクを把握したい。適切なサービスはどれですか？
答え： Amazon Macie
Amazon Macieは機械学習やパターンマッチングでS3内の機密データを検出し、データ保護状況の把握に使います。
プライベートサブネットのEC2からインターネットへ更新取得はしたいが、外部からEC2へ直接接続させたくない。一般的な構成はどれですか？
答え： パブリックサブネットのNAT Gateway経由で送信する
NAT Gatewayはプライベートサブネットからのアウトバウンド通信を可能にしつつ、外部からの直接到達を避ける設計で使います。
VPC内のアプリからS3へ、NAT Gatewayを経由せずAWSネットワーク内で接続したい。検討するものはどれですか？
答え： Gateway VPC Endpoint for S3
S3用Gateway VPC Endpointを使うと、VPCからS3への通信をAWSネットワーク内に保ち、NAT Gatewayのデータ処理費用削減にもつながります。
複数のEC2上のWebアプリへHTTP/HTTPSを振り分け、パスごとにターゲットを変えたい。適切なのはどれですか？
答え： Application Load Balancer
Application Load BalancerはL7負荷分散を提供し、ホスト名やパスに基づくルーティング、ヘルスチェック、TLS終端などに使います。
処理A、承認待ち、処理Bのような複数ステップを、失敗時のリトライも含めて管理したい。適切なサービスはどれですか？
答え： AWS Step Functions
Step Functionsは状態遷移でワークフローを定義し、LambdaやECSなどの処理を連携し、分岐、リトライ、待機を管理できます。
複数のEC2から同時にマウントできる共有ファイルシステムが必要です。Linux系ワークロードで代表的に使うサービスはどれですか？
答え： Amazon EFS
Amazon EFSは複数クライアントからNFSで利用できるマネージドファイルストレージです。EBSは基本的に単一インスタンス向けブロックストレージです。
アプリケーション間でメッセージをキューにため、受信側が一時停止しても後で処理できるようにしたい。適切なサービスはどれですか？
答え： Amazon SQS
SQSはメッセージキューで、送信側と受信側を疎結合にします。SNSは主にPub/Sub通知で複数購読者へ配信します。
多数の購読先へ同じ通知を一斉配信し、メールやSQS、Lambdaへ連携したい。適切なサービスはどれですか？
答え： Amazon SNS
SNSはトピックに対して複数の購読者へ通知を配信するPub/Subサービスです。SQSと組み合わせてファンアウト構成にも使います。
複数のAWSアカウントで、特定リージョン外のサービス利用を組織単位で禁止したい。各アカウントの管理者にも解除させないための中核となる仕組みはどれですか？
答え： AWS OrganizationsのSCPを対象OUへ適用し、段階的に検証する
SCPは組織、OU、アカウントに対して利用可能な権限の上限を定めます。権限そのものを付与する機能ではないため、IAMポリシーとの両方で許可された操作だけが実行できます。
多数のAWSアカウントにまたがる操作履歴を、侵害された業務アカウントから削除できない形で監査部門へ集約したい。最も適切な設計はどれですか？
答え： 組織のCloudTrail証跡を専用ログ保管アカウントのS3へ配信し、アクセスを分離する
組織の証跡と専用ログ保管アカウントを使うと、全メンバーアカウントの操作履歴を一元化し、業務運用者とログ管理者の職務を分離できます。保存先では暗号化、改ざん検知、保持、アクセス監視も設計します。
外部の運用サービス会社に、自社AWSアカウントの監視用ロールを引き受けてもらいます。その会社の別の顧客がロールARNを悪用できないようにするため、信頼ポリシーへ追加すべき条件はどれですか？
答え： サービス会社が顧客ごとに発行した外部IDをsts:ExternalId条件で検証する
クロスアカウントの第三者委任では、サービス会社のAWSアカウントを信頼するだけでなく、顧客ごとに異なる外部IDを条件として検証します。これにより混乱した代理問題の危険を減らせます。
IAMアクセスキーの漏えいが疑われ、CloudTrailには未知の送信元からの操作が残っている。初動として最も適切なのはどれですか？
答え： キーを無効化し、影響範囲を調査して必要な認証情報を更新し、正規の処理を復旧する
漏えいが疑われる認証情報は速やかに封じ込めます。その後、CloudTrailなどの証拠を保全し、実行された操作、作成された永続的権限、データアクセス、関連する秘密情報を調査して復旧します。
EKS上の注文処理Podだけに特定のDynamoDBテーブルへの書き込みを許可したい。ノード上の他のPodへ同じ権限を広げない設計はどれですか？
答え： KubernetesのServiceAccountへ最小権限のIAMロールをEKS Pod Identityで関連付ける
EKS Pod Identityでは、名前空間とServiceAccountにIAMロールを関連付け、対応するPodへ一時認証情報を提供できます。ノードロールや固定鍵へ権限を集約せず、アプリケーション単位で最小権限を設定します。
VPC内のアプリから外部事業者が提供するサービスへ、インターネットやVPC間の経路共有を使わずプライベートIPで接続したい。適切な仕組みはどれですか？
答え： AWS PrivateLinkのインターフェース型VPCエンドポイント
AWS PrivateLinkはインターフェース型VPCエンドポイントを通じて、利用側VPCへプライベートIPの接続口を提供します。VPC間の推移的な経路やインターネット公開を必要とせず、公開するサービスも限定できます。
社内DNSからVPCのプライベートホストゾーンを名前解決し、VPCからも社内ドメインを引けるようにしたい。中心となる構成はどれですか？
答え： Route 53 Resolverのインバウンド／アウトバウンドエンドポイントと転送ルール
Route 53 Resolverのインバウンドエンドポイントは社内DNSからVPC側への問い合わせを受け、アウトバウンドエンドポイントとルールはVPCから社内DNSへ転送します。接続経路、冗長化、送信元制御も合わせて設計します。
数十個のVPCとオンプレミス拠点を接続している。VPC Peeringの総当たり構成を避け、経路を中央で管理したい。適切なサービスはどれですか？
答え： AWS Transit Gateway
Transit GatewayはVPC、VPN、Direct Connect Gatewayなどの接続を集約するハブとして機能します。ルートテーブルを分けることで、本番・開発・共有サービスなどの到達範囲も制御できます。
Lambdaの同時実行増加によりAurora PostgreSQLへの接続が急増し、最大接続数へ達している。アプリの変更を抑えながら接続を再利用する仕組みはどれですか？
答え： RDS Proxyを配置し、接続プールと上限を構成する
RDS Proxyはアプリからの接続を受け、背後のデータベース接続をプールして再利用します。接続急増を平準化し、最大接続数を超えた負荷からデータベースを保護するのに役立ちます。
Auroraクラスターで読み取りを複数のレプリカへ分散しつつ、書き込み先のフェイルオーバーにも追従したい。接続先の使い分けとして適切なのはどれですか？
答え： 書き込みはクラスターエンドポイント、読み取りはリーダーエンドポイントを使い、再接続を実装する
Auroraのクラスターエンドポイントは現在のライターへ接続し、リーダーエンドポイントは利用可能なレプリカへ読み取り接続を分散します。フェイルオーバー時にはDNS変更と接続切断があり得るため、適切なDNSキャッシュと再試行も必要です。
DynamoDBの注文テーブルで、日付だけをパーティションキーにしたところ特定日の書き込みが一つの区画へ集中した。改善策として最も適切なのはどれですか？
答え： アクセスパターンを基に注文IDや分散用接尾辞を含む高カーディナリティのキーを設計する
DynamoDBではパーティションキー値に基づいてデータと負荷が分散されます。少数の値へ書き込みが集中する場合は、必要な検索方法を保ちながらキーの種類を増やし、負荷を複数区画へ分散します。
DynamoDBの商品在庫を複数の処理が同時更新し、後から書いた値が先の更新を上書きしている。更新競合を検出する方法はどれですか？
答え： バージョン番号を保持し、ConditionExpressionで期待値が一致する場合だけ更新する
条件付き更新では、読み取った版番号が現在値と同じ場合だけ書き込みを成立させられます。不一致なら競合として再読込や業務ルールによる再計算を行い、無言の上書きを防ぎます。
SQSからLambdaへ注文イベントを渡している。処理完了直前のタイムアウトにより同じ注文が再配信されても、二重請求を起こさない設計はどれですか？
答え： メッセージIDや注文IDを使って処理を冪等にし、可視性タイムアウトとDLQを処理時間に合わせる
SQSとLambdaの連携では重複配信が起こり得ます。業務上の一意キーで処理済みを記録し、同じイベントを再処理しても副作用が一度だけになるよう設計します。可視性タイムアウトと再試行上限、DLQも合わせて調整します。
Lambdaが急増したイベントを処理すると、下流の外部APIが許容同時数を超えて障害になる。下流を保護するために最初に検討すべき設定はどれですか？
答え： Lambdaの予約済み同時実行数を下流の処理能力に合わせ、キューと再試行方針を設ける
予約済み同時実行数は関数が同時に動く上限として利用でき、下流サービスへの流量を制御できます。イベントを失わないようキューで受け止め、上限付き再試行、ジッター、DLQも設計します。
ECSサービスの新しいタスク定義を配備したところ、タスクがヘルスチェックに通らず起動を繰り返している。異常な配備を自動停止して直前の正常版へ戻す設定はどれですか？
答え： ECSのデプロイサーキットブレーカーでロールバックを有効にする
ECSのデプロイサーキットブレーカーは、ローリング更新が安定状態へ到達できないことを検出して配備を失敗にできます。ロールバックを有効にすると、直前に完了した正常な配備へ自動的に戻します。
CloudFormationスタックを更新する前に、置換されるデータベースなどの影響と、手作業で変更された構成の差を確認したい。適切な進め方はどれですか？
答え： 変更セットとドリフト検出を確認し、置換・権限・データ影響をレビューしてから実行する
変更セットは更新で追加・変更・置換されるリソースを事前に示します。ドリフト検出も使って実環境とテンプレートの差を把握し、データ保持、停止時間、IAM変更をレビューしてから適用します。
監査証跡を保存するS3バケットで、保持期間中は管理者を含めて上書き・削除できない要件がある。検討すべき機能はどれですか？
答え： S3 Object Lockのコンプライアンスモードとバージョニング
S3 Object LockはWORM方式でオブジェクトバージョンを保護します。コンプライアンスモードでは保持期間中の保護を強く維持できるため、法令・監査要件、保持期間、時刻設定、復旧手順を確認して導入します。
通常は一定のAWS利用料が、設定ミスをきっかけに数時間で急増した。固定予算の月次超過を待たず、異常な支出傾向を検出したい。適切なサービスはどれですか？
答え： AWS Cost Anomaly Detectionで監視対象と通知を構成する
Cost Anomaly Detectionは過去の利用傾向を基に異常な支出を検出し、サービスやアカウントなどの監視単位で通知できます。Budgetsの固定しきい値と併用し、通知後の担当者、調査手順、停止権限も決めます。
EC2費用を下げるためSavings Plans購入を検討しているが、過剰なインスタンスも多い。最初に行うべきことはどれですか？
答え： Compute Optimizerなどで利用状況と性能リスクを確認して適正化し、安定した残存利用量に対して契約を検討する
過剰構成のまま長期契約すると、不要な利用量まで固定化するおそれがあります。まず利用率と性能要件を基に適正化し、停止・縮小後も継続する基礎利用量へSavings Plansなどを適用します。
AWS Backupで毎日バックアップジョブは成功しているが、障害時に目標時間内で復旧できるか確認できていない。次に行うべきことはどれですか？
答え： 定期的な復元テストを自動化し、整合性確認、所要時間、依存サービス、復旧手順を検証する
バックアップ成功は復元可能性やRTO達成を保証しません。AWS Backupの復元テストなどを使い、隔離した環境へ定期的に復元し、アプリケーション整合性、鍵、権限、名前解決、手順、所要時間まで測定します。
SQS標準キューを処理するLambdaで、10件中1件が失敗すると成功した9件まで再処理されています。この不要な再試行を減らす変更はどれですか？
答え： 部分バッチ応答を有効にし、失敗したメッセージIDだけを返す
ReportBatchItemFailuresで部分バッチ応答を有効にして失敗したメッセージIDを返すと、成功分を再試行の対象から外せます。関数全体から例外を投げるとバッチ全体の失敗になるため、レコード単位でエラーを扱います。重複配信に備える冪等性も引き続き必要です。
SQS標準キューを読む独自ワーカーの処理に約90秒かかります。可視性タイムアウトは30秒で、完了前に別のワーカーが同じメッセージを受け取っています。改善策はどれですか？
答え： 可視性の時間を処理に合わせ、必要なら処理中に延長する
可視性タイムアウトを過ぎると、削除されていないメッセージは再び受信可能になります。処理時間に余裕を持たせ、変動する場合はChangeMessageVisibilityで延長し、成功後に削除します。それでも標準キューの重複配信を完全には排除できません。
SSE-KMSで暗号化されたS3オブジェクトだけ読み取りに失敗します。対象へのs3:GetObjectは許可されています。追加で確認する権限として適切なのはどれですか？
答え： 対象キーのkms:Decryptが実効的に許可されているか
SSE-KMSの読み取りには、S3の取得権限に加えて対象キーの復号権限が必要です。IAMポリシーだけでなくキーポリシーや明示的拒否、キーの状態も確認します。S3の権限を広げるだけでは、KMS側の拒否は解消しません。
残り30分で失効する一時認証情報を使い、S3の署名付きURLに2時間の有効期間を指定しました。開始済みの転送ではなく、新たなダウンロード要求について正しい説明はどれですか？
答え： 認証情報が先に失効するため、2時間は利用できない
署名付きURLは、指定した期限と署名に使った認証情報の期限のうち、先に到来する方に制限されます。URLの期限を長くしてもセッション自体は延びません。必要な利用期間に合わせて発行方法と再発行の手順を設計します。
毎分送信するカスタムの生存確認メトリクスが、送信元の停止で途絶えました。欠測も異常として通知したい場合、CloudWatchアラームの欠測の扱いはどれが適切ですか？
答え： breachingとして、欠測をしきい値違反として扱う
定期送信される生存確認では、欠測自体を故障の候補として扱えます。breachingを選び、評価期間や必要な違反回数も含めて停止時の通知を試験します。エラー発生時だけ値を送るメトリクスには、同じ設定を一律に適用しません。
ECS Fargateでイメージ取得とログ出力は成功しますが、コンテナ内のアプリからのS3読み取りがAccessDeniedになります。S3権限を付ける先として適切なのはどれですか？
答え： アプリに認証情報を提供するタスクロールへ追加する
タスクロールはコンテナ内のアプリによるAWS API呼び出しに使います。タスク実行ロールはイメージ取得などの基盤側の処理用で、アプリの権限とは別です。対象のバケットやキーへ最小限の権限を設定し、リソース側の拒否も確認します。
インターネットへの経路がないEC2からSystems Managerへ接続します。必要なインターフェイスVPCエンドポイントとDNS設定はありますが、エンドポイントのSGには受信許可がありません。追加すべき許可はどれですか？
答え： エンドポイント側で、EC2からTCP 443を許可する
SSM Agentからサービスへの通信はHTTPSを使います。エンドポイントのSGで管理対象EC2からのTCP 443を受け入れます。EC2側の送信設定や経路、NACL、IAMも必要ですが、SSHやRDPの外部公開は不要です。
CloudFormationのUPDATE_ROLLBACK_FAILEDを解消するため、一部リソースをスキップしてロールバックを完了しました。次の更新前に必要な確認はどれですか？
答え： スキップした実リソースとテンプレートの整合を回復する
スキップは失敗箇所を自動修復する機能ではありません。実際の構成とテンプレートが食い違ったままになるため、次の更新前に両者を整合させます。スキップする対象も、ロールバックに必要な最小限に絞ります。
RDS for PostgreSQLで誤更新が起き、保持期間内の直前時点へポイントインタイム復元します。復元後の運用として適切なのはどれですか？
答え： 復元された別インスタンスを検証し、接続先の切り替えを行う
ポイントインタイム復元は新しいDBインスタンスを作成し、元を上書きしません。復元した内容、ネットワークや設定、アプリの動作を確認し、書き込みの扱いを決めて接続先を切り替えます。元環境の削除は検証と保全の判断後です。
DynamoDBのTTLで一時的な利用権を削除しています。期限を過ぎても項目が読み取れる場合、期限切れの利用を防ぐ設計として適切なのはどれですか？
答え： アプリでも期限を比較し、削除待ちの項目を拒否する
TTLの削除は期限到来と同時ではなく、通常は数日以内に行われます。利用可否の判定はアプリ側でも現在時刻と期限を比較します。読み取りの整合性を強くしても、まだ削除されていない項目は取得されます。