第1回 問題集（全般）

正解: C. C. iostat

正解の根拠・詳細解説

iostatコマンド（IOStat）はCPUと各ブロックデバイスのI/O統計を表示します。`iostat -x`でextended statisticsとして待機時間・利用率も確認できます。topはプロセス別CPU/メモリ、vmstatはシステム全体の仮想メモリ・I/O概要、netstatはネットワーク接続の確認に使います。

正解: B. B. iotop

正解の根拠・詳細解説

iotopはLinuxのI/Oモニタリングツールで、プロセスごとのディスクI/Oを「topのようなリアルタイム表示」で確認できます。rootまたはCAP_NET_ADMIN権限が必要です。iostatはデバイス単位のI/Oであり、プロセス単位の追跡にはiotopが適切です。

正解: B. B. I/O待ちに費やされたCPU時間の割合

正解の根拠・詳細解説

vmstatのwaフィールドはI/O Wait（I/O待ち時間）を示します。CPUがディスクI/Oの完了を待機している割合です。この値が常に10〜20%以上ある場合はストレージのボトルネックを疑います。

正解: B. B. ss -lt

正解の根拠・詳細解説

ss（Socket Statistics）コマンドで`-l`はLISTEN中のソケットのみ表示、`-t`はTCPのみに絞り込みます。`-a`は全ソケット（LISTEN+接続済み）、`-u`はUDP、`-p`はプロセス情報付きで表示します。

正解: B. B. lsof -i :80

正解の根拠・詳細解説

lsof -i :ポート番号でそのポートを使用しているプロセスとファイルディスクリプタを表示します。-pはPID指定、-nはホスト名解決を無効化、-uはユーザー指定です。

正解: D. D. 上記すべて可能

正解の根拠・詳細解説

iptraf（またはiptraf-ng）、ifstat、netstat -iはいずれもネットワークインターフェースのI/O統計を表示できます。iptrafはインタラクティブなCUIツール、ifstatはシンプルな差分表示、netstat -iはインターフェース統計テーブルを表示します。

正解: A. A. df / du

正解の根拠・詳細解説

df（ディスク空き容量）とdu（ディレクトリのディスク使用量）を組み合わせることで、現在の使用状況と増加傾向を把握できます。定期的な`df -h`の記録と`du -sh /*`によるホットスポット特定が将来予測の基本です。

正解: A. A. free -h

正解の根拠・詳細解説

`free -h`は人間に読みやすい形式でメモリ統計を表示します。現代のLinux（free 3.3.10以降）では`available`フィールドがBuffers/Cache除外後の実際に使用可能なメモリを示します。/proc/meminfoでも確認可能ですが、`free`の方が簡潔です。 Topic 201: Linuxカーネル（Q9〜Q17） ウェイト合計9。カーネルコンポーネント（201.1: 2）、カーネルのコンパイル（201.2: 3）、カーネルの実行時管理とトラブルシューティング（201.3: 4）が対象です。

正解: B. B. modinfo

正解の根拠・詳細解説

modinfo モジュール名 で指定したカーネルモジュールの詳細情報（ライセンス・作者・バージョン・依存関係・パラメータ一覧）を確認できます。insmodは単純なモジュールロード、lsmodは現在ロード済みモジュール一覧、modprobeは依存関係を考慮したロード/アンロードです。

正解: C. C. lsmod

正解の根拠・詳細解説

lsmodは現在カーネルにロード済みのモジュール一覧を、そのサイズと使用数（Used by）と共に表示します。/proc/modulesの内容を整形して表示しています。

正解: B. B. make menuconfig

正解の根拠・詳細解説

make menuconfigはncursesベースのTUIインターフェースでカーネルオプションをグラフィカルに設定できます。make configはテキスト形式で全設問に答える方式、make defconfigはデフォルト設定、make oldconfigは既存の.configを新しいカーネルに移行します。

正解: B. B. update-grub

正解の根拠・詳細解説

update-grub（またはgrub-mkconfig -o /boot/grub/grub.cfg）は/boot以下のカーネルを自動検出してgrub.cfgを更新します。grub-installはブートローダー自体をデバイスに書き込む、mkinitramfsはinitrdイメージを作成するコマンドです。

正解: B. B. make -j4

正解の根拠・詳細解説

`make -j数値`で並列ジョブ数を指定します。`make -j$(nproc)`とするとシステムのCPUコア数を自動取得して最大並列ビルドできます。

正解: D. D. 上記すべて可能

正解の根拠・詳細解説

uname -r（リリースバージョンのみ）、uname -a（全情報）、cat /proc/versionはいずれもカーネルバージョンを表示します。ただし試験では`uname -r`が最も頻出です。

正解: A. A. /proc/cmdline

正解の根拠・詳細解説

/proc/cmdlineには現在起動しているカーネルに渡されたコマンドラインパラメータが格納されています。`cat /proc/cmdline`で確認できます。これはGRUBのメニューエントリに記載されたパラメータが反映されます。

正解: B. B. sysctl -w net.ipv4.ip_forward=1

正解の根拠・詳細解説

`sysctl -w`（write）は実行中のカーネルパラメータを即座に変更します。永続化するには`/etc/sysctl.conf`に`net.ipv4.ip_forward = 1`と記述し`sysctl -p`で適用します。

正解: B. B. sysctl -p

正解の根拠・詳細解説

`sysctl -p`は/etc/sysctl.confの設定を読み込んで現在のカーネルに適用します。`-p ファイル名`で別のファイルを指定することも可能です。`-a`は現在の全パラメータを表示します。 Topic 202: システム起動（Q18〜Q26） ウェイト合計9。システム起動のカスタマイズ（202.1: 3）、システム復旧（202.2: 4）、代替ブートローダー（202.3: 2）が出題範囲です。

正解: A. A. systemctl list-dependencies

正解の根拠・詳細解説

`systemctl list-dependencies サービス名`でそのサービスが依存するユニットをツリー形式で表示します。`–reverse`オプションで逆依存（どのユニットからそのサービスが依存されているか）も確認できます。

正解: B. B. systemctl isolate multi-user.target

正解の根拠・詳細解説

`systemctl isolate`は現在の起動状態を指定のtargetに即座に切り替えます（GUIを閉じてCLIモードへ等）。`set-default`は次回起動時のデフォルトtargetを変更し、即座の切り替えは行いません。

正解: B. B. /etc/grub.d/

正解の根拠・詳細解説

`update-grub`（grub-mkconfig）は/etc/grub.d/以下のスクリプトを順番に実行してgrub.cfgを生成します。/etc/default/grubはGRUBのデフォルト設定変数（タイムアウト・デフォルトエントリ等）を記述するファイルです。

正解: A. A. single または init=/bin/bash

正解の根拠・詳細解説

GRUBのカーネルパラメータに`single`を追加するとSystemV系ではシングルユーザーモードで起動します。systemd環境では`systemd.unit=rescue.target`または`init=/bin/bash`を使います。init=/bin/bashはbashを直接initプロセスとして起動し、rootシェルを得られます。

正解: B. B. mount -o remount,rw /

正解の根拠・詳細解説

緊急起動時はルートが読み取り専用でマウントされていることが多いです。`mount -o remount,rw /`でルートを読み書き可能に再マウントし、/etc/fstabを編集できるようにします。

正解: A. A. /etc/systemd/journald.conf

正解の根拠・詳細解説

/etc/systemd/journald.confで`Storage=persistent`を設定するとジャーナルが/var/log/journal/に永続保存されます。デフォルトは`Storage=auto`で/var/log/journalが存在する場合のみ永続化します。

正解: B. B. initramfsイメージの作成

正解の根拠・詳細解説

dracutはRed Hat系Linuxで使用されるinitramfs生成ツールです。Debian/Ubuntu系では`mkinitramfs`、`update-initramfs`が同等の役割を担います。カーネルアップデート後や新しいハードウェアドライバ追加後に実行します。

正解: A. A. grub-set-default

正解の根拠・詳細解説

`grub-set-default 番号`でデフォルトのブートエントリを永続的に変更します（GRUB_DEFAULT=savedと組み合わせる）。`grub-reboot`は次の1回のみ指定エントリで起動し、`update-grub`はgrub.cfgを再生成します。

正解: B. B. efibootmgr

正解の根拠・詳細解説

efibootmgrはUEFIブートマネージャーのエントリを操作するツールです。`efibootmgr -v`でブート順序と登録済みエントリを確認し、`-B`でエントリ削除、`-c`で新規作成ができます。 Topic 203: ファイルシステムとデバイス（Q27〜Q35） ウェイト合計9。ファイルシステムの操作（203.1: 4）、保守（203.2: 3）、ファイルシステムオプションの作成・設定（203.3: 2）が対象です。

正解: B. B. dumpe2fs

正解の根拠・詳細解説

`dumpe2fs デバイス名`でext2/3/4ファイルシステムのスーパーブロック情報やグループディスクリプタを表示します。tune2fsは設定変更、e2fsckはファイルシステムのチェック・修復に使います。

正解: B. B. tune2fs -c

正解の根拠・詳細解説

`tune2fs -c 最大数 デバイス`で最大マウント回数を変更できます。`-c 0`または`-c -1`で自動チェックを無効化します。`tune2fs -i`は最大マウント間隔（時間）、`-L`はラベルの変更です。

正解: A. A. df -i

正解の根拠・詳細解説

`df -i`はinode使用状況（合計・使用・空き・使用率）を表示します。inodeが枯渇するとディスク容量があっても新しいファイルを作成できなくなります。

正解: B. B. xfs_repair

正解の根拠・詳細解説

xfs_repairはXFSファイルシステムの検査と修復を行います。XFSはアンマウント状態でないと修復できません（マウント中はxfs_scrubで整合性確認のみ可能）。

正解: B. B. ハードディスクのS.M.A.R.T.情報確認

正解の根拠・詳細解説

`smartctl -a /dev/sda`でS.M.A.R.T.（Self-Monitoring, Analysis and Reporting Technology）情報を表示し、ディスクの健全性・予測される障害を確認できます。`smartctl -t short`でセルフテストを実行できます。

正解: B. B. デバイス名がシステム起動ごとに変わる可能性があるから

正解の根拠・詳細解説

USDやSCSIデバイスはシステム構成によって/dev/sda、/dev/sdbなどが入れ替わることがあります。UUIDはファイルシステムに固定で付与された識別子のため、デバイス名変化の影響を受けません。`blkid`コマンドでUUIDを確認できます。

正解: B. B. dump（バックアップ）フラグ

正解の根拠・詳細解説

/etc/fstabの各フィールドは「デバイス・マウントポイント・fsタイプ・オプション・dump・fsck順序」の順です。5番目はdumpフラグで1ならdumpコマンドによるバックアップ対象、0なら対象外です。6番目がfsck優先順位（rootが1、他は2または0）です。

正解: B. B. auto.masterと各マップファイル（/etc/auto.masterなど）

正解の根拠・詳細解説

/etc/auto.masterはautomountのマスター設定ファイルで、マウントポイントとマップファイルのパスを定義します。個別マップファイル（例：/etc/auto.nfs）でNFSのエクスポートなどを定義します。

正解: B. B. スワップ領域の作成（初期化）

正解の根拠・詳細解説

`mkswap デバイスまたはファイル`でスワップ領域を初期化します。作成後に`swapon`で有効化します。`swapon -s`または`free -h`でスワップ使用量を確認できます。 Topic 204: 高度なストレージ管理（Q36〜Q43） ウェイト合計8。RAID設定（204.1: 3）、ストレージデバイスアクセスの調整（204.2: 2）、LVM（論理ボリュームマネージャー）（204.3: 3）が出題されます。

正解: B. B. mdadm

正解の根拠・詳細解説

mdadm（Multiple Devices Admin）はLinuxのソフトウェアRAIDを作成・管理するツールです。`mdadm –create /dev/md0 –level=1 –raid-devices=2 /dev/sda /dev/sdb`のようにRAIDアレイを作成できます。

正解: B. B. RAID1はミラーリング（書き込み速度低下・読み取り速度向上）、RAID5はパリティ分散（1台障害まで耐性）

正解の根拠・詳細解説

RAID1は全ディスクに同一データを書き込むミラーリング（最低2台、容量は1台分）。RAID5はパリティをすべてのディスクに分散し、1台障害まで耐性あり（最低3台）。RAID6は2台同時障害まで耐性があります。

正解: B. B. 2台正常・1台故障

正解の根拠・詳細解説

[UUU]は全ドライブ正常、[UU_]は3台中1台が故障（_は欠損）を意味します。この状態ではRAIDはデグレードモードで動作しています。

正解: B. B. IDEディスクのパラメータ確認・設定

正解の根拠・詳細解説

hdparmはIDEディスクのパラメータ（DMAモード・先読みサイズ・スピンダウン等）を確認・変更するツールです。`hdparm -I /dev/sda`でディスクの詳細情報を表示します。

正解: B. B. pvcreate

正解の根拠・詳細解説

LVMの操作順序はPV作成→VG作成→LV作成です。`pvcreate /dev/sdb`でディスク/パーティションをPVとして初期化します。pvdisplayはPV情報の表示、vgcreateはVGの作成です。

正解: B. B. lvresize -L +10G -r /dev/vg/lv

正解の根拠・詳細解説

`lvresize -r`（または`lvextend -r`）の-rオプションがファイルシステムのリサイズも同時に行います。-rなしの場合はlvextend後にresize2fs（ext4）またはxfs_growfs（XFS）を別途実行する必要があります。

正解: B. B. 特定時点の一貫性のあるバックアップを作成するため

正解の根拠・詳細解説

LVMスナップショットは特定時点のLVのコピーオンライトイメージを作成します。スナップショットをマウントしてデータをバックアップすることで、稼働中のシステムの一貫性のあるバックアップが可能です。

正解: A. A. PVを新しいディスクに移動するためにデータを別のPVへ移す

正解の根拠・詳細解説

`pvmove /dev/sda`で/dev/sdaにあるすべてのLVMデータを同じVG内の別のPVに移動します。ディスク交換やメンテナンス時にオンラインでデータを移動できます。 Topic 205: ネットワーク設定（Q44〜Q54） ウェイト合計11。基本的なネットワーク設定（205.1: 3）、高度なネットワーク設定（205.2: 4）、ネットワーク問題のトラブルシューティング（205.3: 4）が対象です。

正解: C. C. nmcli

正解の根拠・詳細解説

nmcliはNetworkManagerのコマンドラインインターフェースです。`nmcli con show`で接続一覧、`nmcli dev status`でデバイス状態、`nmcli con up 接続名`で接続を有効化できます。

正解: A. A. ip addr add 192.168.1.10/24 dev eth0

正解の根拠・詳細解説

`ip addr add`コマンドでIPアドレスを追加します。この設定は再起動すると消えるため、永続化するには/etc/network/interfacesやNetworkManagerの設定ファイルを編集します。

正解: D. D. 上記すべて正しい

正解の根拠・詳細解説

ip route show（現代的なコマンド）、route -n（従来コマンド）、netstat -rn（-rでルーティングテーブル、-nでホスト名解決なし）はすべてルーティングテーブルを表示します。試験では`ip route`が最も重要です。

正解: D. D. AとCの両方

正解の根拠・詳細解説

現代的な書き方は`ip route add default via 192.168.1.1`、従来は`route add default gw 192.168.1.1`です。どちらも設定は一時的であり、永続化には設定ファイルへの記述が必要です。

正解: A. A. net.ipv4.ip_forward

正解の根拠・詳細解説

`sysctl -w net.ipv4.ip_forward=1`または`echo 1 > /proc/sys/net/ipv4/ip_forward`で有効化します。永続化は/etc/sysctl.confに`net.ipv4.ip_forward = 1`と記述します。

正解: C. C. netplan

正解の根拠・詳細解説

Netplan（/etc/netplan/*.yaml）はUbuntu 17.10以降の標準的なネットワーク設定システムです。バックエンドとしてsystemd-networkdまたはNetworkManagerを使用します。`netplan apply`で設定を適用します。

正解: D. D. BとC両方とも適切

正解の根拠・詳細解説

tracerouteはIPパケットのTTLを1ずつ増やして各ルーターのIPアドレスとレイテンシを確認します。mtr（My Traceroute）はtracerouteとpingを組み合わせてリアルタイムにルートを継続監視します。

正解: A. A. tcpdump -i eth0 port 80

正解の根拠・詳細解説

tcpdumpはBerkeley Packet Filterを使ったパケットキャプチャツールです。`-i eth0`でインターフェース指定、`port 80`でポートフィルタです。`-w ファイル`でpcap形式で保存できWiresharkで解析できます。

正解: A. A. t=TCP, u=UDP, l=LISTEN, n=数値表示, p=プロセス情報

正解の根拠・詳細解説

netstat -tulnp で「TCP+UDPの LISTEN中ポートをプロセス情報付きで数値表示」します。ただしnetstatは非推奨（deprecated）で、現代は`ss -tulnp`を使うことが推奨されています。

正解: D. D. BとCの両方

正解の根拠・詳細解説

digはDNSクエリツールです。`dig example.com MX`と`dig -t MX example.com`はどちらもMXレコードを照会します。`-t`はタイプを明示的に指定するオプションですが、タイプを引数として渡す方法も同様に動作します。

正解: B. B. iptables -A INPUT -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT

正解の根拠・詳細解説

stateful firewall（状態追跡）を使うには`-m state –state NEW,ESTABLISHED`を指定します。`–syn`フラグは最初のSYNパケットのみを許可し、ESTABLISHEDの応答パケットを別途許可するルールが必要になります。 Topic 206: システム保守（Q55〜Q60） ウェイト合計6。ソースからのプログラム作成とインストール（206.1: 2）、バックアップ操作（206.2: 3）、システム関連問題のユーザー通知（206.3: 1）が対象です。

正解: B. B. ./configure → make → make install

正解の根拠・詳細解説

`./configure`でシステム環境を確認してMakefileを生成し、`make`でコンパイル、`make install`でバイナリを/usr/local以下にインストールします。`./configure –prefix=/usr/local`でインストール先を指定できます。

正解: B. B. make uninstall（Makefileがサポートしていれば）

正解の根拠・詳細解説

ソースインストールの場合`make uninstall`がサポートされていればそれを使います。サポートされていない場合はMakefileのインストールリストを参照して手動で削除する必要があります。これがソースインストールの管理が難しい理由の一つです。

正解: B. B. tar -czvf /backup/home.tar.gz /home

正解の根拠・詳細解説

tar -c（create）-z（gzip）-v（verbose）-f（file）で/homeを指定ファイルに圧縮バックアップします。絶対パスを使うと復元時に`tar -xzvf`で元のパスに展開されます。

正解: C. C. rsync -a（+チェックサムで差分のみ転送）

正解の根拠・詳細解説

rsyncは変更されたファイルのみを転送することで効率的なバックアップを実現します。`-a`（アーカイブモード）は-rlptgoD相当で権限・タイムスタンプ等を保持します。`–delete`はコピー元に存在しないファイルをコピー先から削除します。

正解: A. A. 0 3 * * * /usr/local/bin/backup.sh

正解の根拠・詳細解説

crontabの形式は「分 時 日 月 曜日 コマンド」です。`0 3 * * *`は毎日3時00分を意味します。`3 0`だと0時03分になります。

正解: B. B. wall “メッセージ”

正解の根拠・詳細解説

wall（Write ALL）は現在ログイン中のすべてのユーザーの端末にメッセージをブロードキャストします。/etc/motd（Message of the Day）はログイン時に自動表示されるメッセージファイルです。 【202試験】Topic 207: ドメインネームサーバー（Q61〜Q68） ウェイト合計8。基本的なDNSサーバー設定（207.1: 3）、DNSゾーンの作成と保守（207.2: 3）、DNSサーバーのセキュリティ（207.3: 2）が対象です。

正解: A. A. /etc/bind/named.conf

正解の根拠・詳細解説

Debian/Ubuntu系では/etc/bind/named.conf、Red Hat系では/etc/named.confがBIND（named）の主要設定ファイルです。/etc/resolv.confはDNSクライアント（リゾルバー）の設定ファイルです。

正解: A. A. allow-query { localhost; 192.168.0.0/24; };

正解の根拠・詳細解説

BINDの`allow-query`ディレクティブでクエリを許可するホストやネットワークを指定します。`any`で全ホスト許可、`none`で全拒否です。セキュリティ上、外部に公開しない内部DNSでは特定ネットワークのみに制限します。

正解: B. B. ゾーンファイルのバージョン番号（セカンダリDNSがゾーン更新を検出するために使用）

正解の根拠・詳細解説

SOAのSerialはゾーンファイルが更新されるたびにインクリメントする番号です。セカンダリDNSはこの値を比較してゾーン転送が必要かを判断します。一般的にYYYYMMDDNN形式（例：2026063001）が使われます。

正解: B. B. www IN A 192.168.1.10

正解の根拠・詳細解説

ゾーンファイルのAレコードは「ホスト名 IN A IPアドレス」形式で記述します。INはインターネットクラスを示します（省略可能な場合もあります）。

正解: B. B. 192.168.1.in-addr.arpa

正解の根拠・詳細解説

192.168.1.0/24ネットワークの逆引きゾーン名は`1.168.192.in-addr.arpa`（最後のオクテットを省略した形式）または`192.168.1.in-addr.arpa`（サブネット形式）です。PTRレコードには`10 IN PTR www.example.com.`と記述します。

正解: B. B. ゾーンファイルの構文チェック

正解の根拠・詳細解説

`named-checkzone ゾーン名 ゾーンファイル`でゾーンファイルの構文と整合性を検証します。同様に`named-checkconf`でnamed.confの構文をチェックします。

正解: B. B. DNSレスポンスの完全性と認証の確保

正解の根拠・詳細解説

DNSSEC（DNS Security Extensions）はデジタル署名によりDNSレスポンスが正規のネームサーバーから改ざんされずに返ってきたことを検証します。DNSクエリ自体を暗号化するものではありません。

正解: A. A. allow-transfer { 192.168.1.2; };

正解の根拠・詳細解説

`allow-transfer`ディレクティブでゾーン転送を許可するホストを制限します。デフォルトでは全ホストにゾーン転送が許可されているため、本番環境ではセカンダリDNSのみに制限することが重要です。 Topic 208: HTTPサービス（Q69〜Q79） ウェイト合計11。基本的なApache設定（208.1: 4）、Apache設定の実装（208.2: 3）、nginxの実装（208.3: 4）が対象です。

正解: A. A. /etc/apache2/apache2.conf

正解の根拠・詳細解説

Debian/Ubuntu系では/etc/apache2/apache2.confが主要設定ファイルです。Red Hat/CentOS系では/etc/httpd/conf/httpd.confが使われます。

正解: B. B. Apache 2.2.12以上 + mod_ssl + SNI対応クライアント

正解の根拠・詳細解説

SNIはSSL/TLSのTLSハンドシェイク時にクライアントがホスト名を送ることで、1つのIPに複数のSSL証明書を使う技術です。Apache 2.2.12以上とSNI対応クライアント（IE7以降・Firefox 2.0以降等）が必要です。

正解: A. A. RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

正解の根拠・詳細解説

`RewriteCond %{HTTPS} off`と組み合わせて使います。`[L,R=301]`は最後のルール・301永久リダイレクトを意味します。現代のApache 2.4では`Redirect permanent / https://…`の方がシンプルです。

正解: B. B. a2enmod rewrite

正解の根拠・詳細解説

`a2enmod`（Apache2 ENable MODule）でモジュールを有効化し、`a2dismod`で無効化します。設定後は`systemctl reload apache2`を実行します。Red Hat系では直接設定ファイルにLoadModule指令を記述します。

正解: B. B. AllowOverride All

正解の根拠・詳細解説

`AllowOverride All`でディレクトリブロック内で`.htaccess`の全設定を許可します。`AllowOverride None`で無効化できます。`.htaccess`はパフォーマンス低下を招くため、本番環境ではhttpd.confに設定を統合することが推奨されます。

正解: B. B. certbot –apache -d example.com

正解の根拠・詳細解説

`certbot –apache -d example.com`でApache設定の自動修正と証明書のインストールを行います。`certbot certonly –apache`では証明書のみ取得し、Apache設定は手動です。証明書は90日ごとに`certbot renew`で自動更新できます。

正解: B. B. nginx -t

正解の根拠・詳細解説

`nginx -t`でnginxの設定ファイルの文法エラーをチェックします。`nginx -T`は設定内容も全て表示します。設定変更後は`nginx -t`でエラーがないことを確認してから`systemctl reload nginx`を実行します。

正解: A. A. server { listen 80; server_name example.com; root /var/www/html; }

正解の根拠・詳細解説

nginxのserver{}ブロックでは`listen`でポート、`server_name`でホスト名、`root`でドキュメントルートを指定します。location{}ブロックでURLパスごとの設定を行います。

正解: B. B. proxy_pass

正解の根拠・詳細解説

`proxy_pass http://backend_server;`でリクエストをバックエンドサーバーに転送します。`proxy_set_header`でヘッダーを追加し、`proxy_cache`でキャッシュを設定できます。

正解: C. C. Require not ip 192.168.1.100

正解の根拠・詳細解説

Apache 2.4からはmod_authz_hostの`Require`ディレクティブを使います。`Require all granted`で全許可、`Require ip 192.168.1.0/24`で特定ネットワーク許可、`Require not ip …`で特定IPを拒否します。旧来の`Order/Allow/Deny`はApache 2.2以前の書き方です。

正解: B. B. ServerTokens Prod

正解の根拠・詳細解説

`ServerTokens Prod`はServer:ヘッダーに「Apache」のみ表示し、バージョン・OS情報を隠します。`ServerSignature Off`はエラーページの下部署名を非表示にします。セキュリティのベストプラクティスとして両方を設定します。 Topic 209: ファイル共有（Q80〜Q87） ウェイト合計8。Sambaサーバー設定（209.1: 5）、NFSサーバー設定（209.2: 3）が対象です。

正解: A. A. /etc/samba/smb.conf

正解の根拠・詳細解説

/etc/samba/smb.confがSambaのメイン設定ファイルです。`[global]`セクションで全体設定、`[共有名]`セクションで共有定義を行います。`testparm`コマンドで設定ファイルの文法チェックができます。

正解: B. B. smbpasswd -a ユーザー名

正解の根拠・詳細解説

`smbpasswd -a ユーザー名`でSambaのパスワードDBにユーザーを追加します。Sambaユーザーは事前にLinuxシステムユーザーとして存在する必要があります。`smbpasswd -e`で有効化、`-d`で無効化できます。

正解: A. A. [share] path = /srv/share writeable = yes

正解の根拠・詳細解説

path = /srv/share writeable = yes Sambaの共有セクションには`path`（共有するディレクトリパス）が必須です。`writeable = yes`（または`read only = no`）で書き込みを許可します。`valid users = @groupname`でアクセスユーザーを制限できます。

正解: B. B. valid users = @staff

正解の根拠・詳細解説

`valid users`でアクセスを許可するユーザー/グループを指定します。`@グループ名`でLinuxグループを指定します。`invalid users`で拒否するユーザーを指定できます。

正解: B. B. /etc/exports

正解の根拠・詳細解説

NFSのエクスポート設定は/etc/exportsに記述します。書式は「ディレクトリ クライアント(オプション)」で、例：`/srv/nfs 192.168.1.0/24(rw,sync,no_subtree_check)`。設定変更後は`exportfs -r`または`systemctl reload nfs-server`を実行します。

正解: B. B. NFSクライアントのrootをサーバーのrootとして扱う（root権限を維持する）

正解の根拠・詳細解説

デフォルトの`root_squash`はNFSクライアントのrootユーザーをnobodyに変換してセキュリティを確保します。`no_root_squash`は信頼できるクライアントのrootに完全なroot権限を付与します（セキュリティリスクがあるため慎重に使用）。

正解: B. B. exportfs -r

正解の根拠・詳細解説

`exportfs -r`で/etc/exportsを再読み込みしてエクスポートを更新します。`exportfs -v`で現在のエクスポート一覧を確認できます。NFSv4ではnfsd.confの設定も関係します。

正解: A. A. mount -t nfs 192.168.1.1:/srv/data /mnt

正解の根拠・詳細解説

`mount -t nfs ホスト:パス マウントポイント`でNFSをマウントします。`-o soft,intr`で応答がない場合の挙動を指定できます。永続マウントは/etc/fstabに`192.168.1.1:/srv/data /mnt nfs defaults 0 0`と記述します。 Topic 210: ネットワーククライアント管理（Q88〜Q98） ウェイト合計11。DHCPの設定（210.1: 2）、PAMの認証（210.2: 3）、LDAPクライアントの使用（210.3: 2）、OpenLDAPサーバーの設定（210.4: 4）が対象です。

正解: A. A. /etc/dhcp/dhcpd.conf

正解の根拠・詳細解説

ISC DHCPサーバー（dhcpd）の設定ファイルは/etc/dhcp/dhcpd.confです。`subnet`ブロックでサブネット、`range`でIPアドレス範囲、`option routers`でデフォルトゲートウェイを指定します。

正解: A. A. host server { hardware ethernet aa:bb:cc:dd:ee:ff; fixed-address 192.168.1.100; }

正解の根拠・詳細解説

hostブロックで`hardware ethernet MACアドレス`と`fixed-address IPアドレス`を組み合わせることで特定MACに固定IPを割り当てます（DHCPリザベーション）。

正解: A. A. /etc/pam.d/

正解の根拠・詳細解説

/etc/pam.d/ディレクトリにサービスごとの設定ファイルがあります（例：/etc/pam.d/sshd、/etc/pam.d/login）。/etc/pam.d/commonはほとんどのサービスで共通に使われる設定をインクルードします。

正解: C. C. optional

正解の根拠・詳細解説

PAMの制御フラグ：`required`は失敗してもモジュールスタックを継続するが最終的にFAIL。`requisite`は失敗した時点で即FAIL。`sufficient`は成功した時点で即PASS。`optional`は結果に関わらず次へ進む（影響なし）。

正解: A. A. ldapsearch -x -H ldap://192.168.1.1 -b “dc=example,dc=com”

正解の根拠・詳細解説

`ldapsearch`はLDAPディレクトリを検索するコマンドです。`-x`で単純認証（anonymous）、`-H`でLDAP URI、`-b`でベースDNを指定します。`-D`とパスワード`-w`でバインドも可能です。

正解: B. B. slapd.d/（cn=config）をldapmodifyで動的に設定

正解の根拠・詳細解説

OpenLDAP 2.4以降ではslapd-configバックエンド（cn=config、通称OLC = On-Line Configuration）が推奨です。`/etc/ldap/slapd.d/`以下のファイルを直接編集せず、`ldapmodify`で動的変更します。

正解: A. A. ldapadd -x -D “cn=admin,dc=example,dc=com” -W -f entry.ldif

正解の根拠・詳細解説

`ldapadd`（またはldapmodify -a）でLDIFファイルからエントリを追加します。`-D`で管理者DN、`-W`でパスワードプロンプト、`-f`でLDIFファイルを指定します。

正解: A. A. dn: uid=john,ou=users,dc=example,dc=com objectClass: inetOrgPerson cn: John Smith

正解の根拠・詳細解説

objectClass: inetOrgPerson cn: John Smith LDIFはDN（識別名）で始まり、属性:値の形式でエントリを記述します。objectClassでエントリの種類を定義し、スキーマによって必須属性が決まります。エントリ間は空行で区切ります。

正解: A. A. /etc/sssd/sssd.conf

正解の根拠・詳細解説

SSSD（System Security Services Daemon）はLDAP/Kerberosなどの外部認証との統合を提供します。/etc/sssd/sssd.confで`[domain/example]`セクションにldap_uri、ldap_search_base等を設定し、PAMとNSSwitch経由でシステム認証に統合します。

正解: B. B. NSSwitch経由で（ローカル+LDAP等）全ユーザーを表示

正解の根拠・詳細解説

`getent`はName Service Switch（NSS）を介してデータベースを照会します。LDAP統合済みならLDAPユーザーも含めて全ユーザーを表示するため、LDAP連携の動作確認に有用です。

正解: B. B. KDC・AS（Authentication Server）・TGS（Ticket Granting Server）

正解の根拠・詳細解説

KerberosではKDCがAS（認証サーバー）とTGS（チケット付与サーバー）の機能を持ちます。クライアントはASでTGT（Ticket Granting Ticket）を取得し、TGSでサービスチケットを得てサービスにアクセスします。 Topic 211: Eメールサービス（Q99〜Q106） ウェイト合計8。Postfixを使用したメールサーバーの管理（211.1: 4）、Dovecotを使ったPOP3/IMAP（211.2: 2）、電子メールの暗号化（211.3: 2）が対象です。

正解: B. B. /etc/postfix/main.cf

正解の根拠・詳細解説

/etc/postfix/main.cfがPostfixの主要パラメータファイルです。/etc/postfix/master.cfはデーモンプロセスの設定ファイルです。設定変更後は`postfix reload`または`systemctl reload postfix`を実行します。

正解: B. B. relayhost

正解の根拠・詳細解説

`relayhost = [smtp.example.com]`でSMTPリレーホストを設定します。角括弧[]はMX参照をスキップして直接接続することを意味します。デフォルトは直接配送（relayhost未設定）です。

正解: B. B. mailq

正解の根拠・詳細解説

`mailq`（または`postfix flush`）でPostfixのメールキューを確認します。`postsuper -d ALL`でキュー内のメールを全削除します。`postqueue -p`もmailqと同等の出力を示します。

正解: A. A. /etc/postfix/aliases（newaliasesで更新）

正解の根拠・詳細解説

/etc/aliasesでローカルエイリアス（例：`admin: user1,user2`）を定義します。変更後は`newaliases`コマンドでDBを更新します。/etc/postfix/virtualはバーチャルドメインのアドレス転送に使います。

正解: C. C. IMAP・POP3

正解の根拠・詳細解説

DovecotはIMAPおよびPOP3のメールサーバー（MDA/MRA）です。IMAPは複数デバイスでのメール同期に適しており、POP3はメールをローカルにダウンロードする方式です。SMTPはPostfix等が担います。

正解: A. A. ssl.conf または /etc/dovecot/conf.d/10-ssl.conf

正解の根拠・詳細解説

Dovecotでは/etc/dovecot/conf.d/10-ssl.confに`ssl = yes`、`ssl_cert`、`ssl_key`を設定します。`ssl = required`にするとSSL/TLS接続を強制します。

正解: B. B. 送信元IPアドレスを検証してなりすましを防ぐ

正解の根拠・詳細解説

SPFはDNSのTXTレコードに送信許可IPアドレスを記述し、受信サーバーが送信元IPを検証するメールなりすまし対策技術です。DKIMはデジタル署名による完全性検証、DMARCはSPF/DKIMの結果に基づいたポリシー設定です。

正解: B. B. RSA鍵ペア生成→DNS TXTレコードに公開鍵追加→MTA（例：OpenDKIM）で署名設定

正解の根拠・詳細解説

DKIMの設定手順：1)opendkim-genkey等でRSA鍵ペア生成、2)公開鍵をDNSのTXTレコード（selector._domainkey.example.com）に追加、3)OpenDKIM等のMilterをPostfixに統合して送信メールに署名します。 Topic 212: システムセキュリティ（Q107〜Q120） ウェイト合計14。ルーターとしてのLinuxの設定（212.1: 3）、FTPサーバーのセキュリティ（212.2: 2）、セキュアシェル（SSH）（212.3: 4）、セキュリティタスクの実施（212.4: 3）、OpenVPNの設定（212.5: 2）が対象です。

正解: B. B. POSTROUTING チェーン → MASQUERADE

正解の根拠・詳細解説

`iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE`でIPマスカレードを設定します。同時に`net.ipv4.ip_forward = 1`を設定してパケット転送を有効にする必要があります。nftablesではmasqueradeターゲットを使います。

正解: A. A. iptables -t nat -A PREROUTING -p tcp –dport 80 -j DNAT –to-destination 192.168.1.10:8080

正解の根拠・詳細解説

DNATはPREROUTINGチェーンで受信パケットの宛先を変更します。`-t nat`でnatテーブル、`-j DNAT –to-destination`で転送先を指定します。

正解: A. A. /etc/vsftpd.conf に anonymous_enable=NOを設定

正解の根拠・詳細解説

/etc/vsftpd.confの`anonymous_enable=NO`で匿名FTPを無効化します。セキュリティ強化として`chroot_local_user=YES`でユーザーをホームディレクトリに閉じ込め、`ssl_enable=YES`でFTPS（FTP over SSL）を有効にすることが推奨されます。

正解: D. D. AとBの両方が推奨される

正解の根拠・詳細解説

SFTP（SSHの機能の一部）とFTPS（FTP+TLS）は両方ともファイル転送を暗号化する安全なプロトコルです。TFTPは認証・暗号化がなく、ブートローダー配布など限定用途のみです。

正解: B. B. PermitRootLogin no

正解の根拠・詳細解説

/etc/ssh/sshd_configに`PermitRootLogin no`を設定してrootの直接SSHログインを禁止します。`without-password`（または`prohibit-password`）にすると鍵認証のみ許可できます。変更後は`systemctl reload sshd`を実行します。

正解: A. A. ~/.ssh/authorized_keys

正解の根拠・詳細解説

クライアントの~/.ssh/id_rsa.pubの内容をサーバーの~/.ssh/authorized_keysに追記します。`ssh-copy-id -i ~/.ssh/id_rsa.pub user@server`コマンドでこの操作を自動化できます。

正解: A. A. ssh -L 8080:192.168.1.10:80 user@remote_server

正解の根拠・詳細解説

`-L ローカルポート:転送先ホスト:転送先ポート`でローカルポートフォワーディングを設定します。`-R`はリモートポートフォワーディング、`-D`はSOCKSプロキシです。

正解: B. B. ブルートフォース攻撃を検知してIPをブロック

正解の根拠・詳細解説

fail2banはログファイルを監視して認証失敗を検知し、iptables/nftables等でIPアドレスを一時的にブロックします。/etc/fail2ban/jail.confでbantime・findtime・maxretryを設定します。

正解: B. B. rootkitの検出

正解の根拠・詳細解説

chkrootkitとrkhunterはシステムにrootkit（バックドア・悪意のあるソフトウェア）がインストールされていないかをチェックするツールです。定期的に実行してシステムの改ざんを検知します。

正解: B. B. nmap -sS 192.168.1.0/24

正解の根拠・詳細解説

`-sS`はTCP SYNスキャン（ステルススキャン）でデフォルトのスキャン方式です。`-sV`でサービスバージョン検出、`-O`でOS検出、`-A`でOS+バージョン+スクリプト総合スキャンを行います。

正解: B. B. tun=L3（ルーティングモード）、tap=L2（ブリッジモード）

正解の根拠・詳細解説

tunはIPレベルのルーティングVPN（推奨：軽量・ほとんどのユースケース）。tapはEthernetフレームレベルのブリッジVPN（非Ip対応プロトコルや同一サブネット通信に必要な場合）。

正解: B. B. easy-rsa

正解の根拠・詳細解説

easy-rsaはOpenVPN向けのPKI管理スクリプトセットです。`easyrsa init-pki`→`easyrsa build-ca`→`easyrsa gen-req`→`easyrsa sign-req`の順でCA・サーバー・クライアント証明書を生成します。

正解: B. B. AIDE（Advanced Intrusion Detection Environment）

正解の根拠・詳細解説

AIDEはファイルシステムのスナップショット（ハッシュ値・パーミッション等）を保存し、後でdiffして改ざんを検知するHIDS（ホストベースIDS）です。`aide –init`でデータベース初期化、`aide –check`で検証します。

正解: B. B. getenforce / setenforce

正解の根拠・詳細解説

getenforceは現在のSELinuxの動作モードをEnforcing、Permissive、Disabledのいずれかで表示するコマンドで、ポリシー名や設定ファイル上のモードまで含めた詳細を見たい場合はsestatusを使う。モードの切り替えはsetenforceで行い、setenforce 1でEnforcing、setenforce 0でPermissiveになる。重要なのは、setenforceで切り替えられるのはEnforcingとPermissiveの間だけだという点である。SELinuxポリシーの読み込みはブート時に行われるため、Disabledとの間を行き来するには/etc/selinux/configのSELINUX行を書き換えて再起動する必要がある。またsetenforceによる変更は実行時限りで、再起動すると設定ファイルの値に戻る。Permissiveはポリシー違反をブロックせず監査ログへ記録するモードで、拒否された操作を洗い出してポリシーを調整する切り分け作業に使われる。他の選択肢のselinux-configやselinux setというコマンドは存在しない。