第1回 問題集（コンピューティング・ストレージ）

正解: B. Deny が優先される

正解の根拠・詳細解説

AWSのIAM（Identity and Access Management）ポリシーでは、アクセス許可（Effect: Allow）とアクセス拒否（Effect: Deny）という2つのルールが同時に存在する場合、**「明示的な拒否 (Effect: Deny)」が常に「許可 (Effect: Allow)」よりも優先されます**。これは、たとえあるリソースへのアクセスを許可するポリシー（Allow）があったとしても、同時にそのアクセスを明示的に拒否するポリシー（Deny）が存在する場合、最終的にはアクセスが拒否されることを意味します。 例えるなら、あなたは家の鍵（Allow）を持っていて家に入る許可があるのに、同時に「立ち入り禁止（Deny）」という張り紙が貼られているようなものです。この場合、鍵を持っていても「立ち入り禁止」が優先され、家に入ることができません。AWSはセキュリティを最優先するため、少しでもリスクがある可能性のあるアクセスは、原則として許可しないという考え方に基づいています。

正解: B. IAMロールをEC2インスタンスに割り当てる

正解の根拠・詳細解説

EC2インスタンスがS3バケットに安全にアクセスするには、**IAMロール**を使うのが最も良い方法です。 **なぜ安全なの？** 通常、プログラムがAWSのサービスにアクセスするには、アクセスキーとシークレットキーという認証情報（パスワードのようなもの）が必要です。しかし、これらのキーをEC2インスタンスの中に直接保存すると、もしインスタンスが乗っ取られた場合にキーが漏洩するリスクがあります。 IAMロールを使うと、EC2インスタンスはこれらの認証情報を直接持つ必要がありません。代わりに、EC2インスタンスに「このEC2はS3にアクセスできる」という許可（ロール）を与えます。 **仕組みはこうです：** 1. EC2インスタンスは起動時に、割り当てられたIAMロールを引き受けます。 2. AWSは、そのEC2インスタンスに対して、一時的に有効な認証情報（アクセスキーとシークレットキー）を自動的に発行します。 3. EC2インスタンスは、この一時的な認証情報を使ってS3バケットにアクセスします。 4. この認証情報は一定時間で自動的に失効し、新しいものが発行されるため、万が一漏洩しても被害を最小限に抑えられます。 これにより、開発者は認証情報を管理する手間がなくなり、セキュリティリスクも大幅に減らすことができます。

正解: C. カスタマーマネージドキー（CMK）

正解の根拠・詳細解説

カスタマーマネージドキー（CMK）は、AWS KMS（Key Management Service）というサービス内で、**あなた自身がイチから作成し、細かく設定や管理ができる特別な暗号化キー**です。 このCMKを使うと、**誰が、いつ、どのようにこのキーを使えるのか**を、非常に細かく決められます。そのための主な道具が3つあります。 1. **キーポリシー（Key Policy）**: このキー自体に、どんなルールを設けるかを直接書き込みます。例えば、「このキーは、特定のアカウントのこのユーザーだけが使える」といった、**キーそのものの利用許可証**のようなものです。 2. **IAMポリシー（IAM Policy）**: AWSの他のユーザーやサービス（例: EC2インスタンス）に対して、「KMSサービスを使って、この特定のCMKを操作する権限を与える」というルールです。**AWS全体のアクセス権限の一部として、キーの利用を許可**します。 3. **グラント（Grant）**: これもキーの利用許可を与える方法ですが、IAMポリシーよりも**一時的、かつ特定の操作に限定して**許可を与えるのに便利です。「このキーを使って、このデータだけを暗号化する権限を、2時間だけ与える」といった、**ピンポイントの許可証**のようなイメージです。 さらに、キーを定期的に新しいものに自動で切り替える（**自動ローテーション**）設定や、キーを一時的に使えなくする（**無効化**）、あるいは完全に削除する（**削除のスケジュール**）といった、キーのライフサイクル全体をあなたの思い通りに管理できます。 このように、CMKは、**暗号化キーの作成から、誰がどう使うか、そしていつまで使うかまで、すべてをユーザーが細かくコントロールできる**ため、『最もきめ細かい制御が可能』と言われるのです。

正解: C. セキュリティグループはステートフル、NACLはステートレスである

正解の根拠・詳細解説

セキュリティグループはステートフル（インバウンドを許可すると自動的にレスポンスのアウトバウンドも許可）でインスタンスレベルに適用。NACLはステートレス（インバウンドとアウトバウンドを個別に設定）でサブネットレベルに適用されます。

正解: B. AWSアカウントのAPIコールの履歴を記録する

正解の根拠・詳細解説

CloudTrailはAWSアカウント内のAPIコール（誰が・いつ・どのリソースに対して何をしたか）を記録します。セキュリティ監査、コンプライアンス要件の充足、インシデント調査に使用されます。

正解: B. SSE-KMS（カスタマーマネージドキー）

正解の根拠・詳細解説

SSE-KMSにカスタマーマネージドキー（CMK）を使用すると、誰がどのキーでアクセスしたかをCloudTrailで追跡でき、キーのローテーションや無効化も制御できます。SSE-S3はAWSが管理するため制御が少なく、SSE-Cはキーの管理をユーザーが行います。

正解: D. BとCの組み合わせ

正解の根拠・詳細解説

オンプレミス（社内環境）で利用しているActive Directory（AD）は、社員のユーザー名やパスワードなどの認証情報を管理するシステムです。このADで管理している既存の認証情報をそのまま使って、AWSのサービス（例えば、AWSコンソールやEC2インスタンスなど）にログインできるようにしたい、という状況ですね。 この目的を達成するための最適な方法は、主に2つのAWSサービスを組み合わせることです。 1. **AWS Managed Microsoft AD（Directory Service）**: これは、お客様の既存のオンプレミスADをAWSクラウド上に拡張するサービスです。オンプレミスのADとAWS Managed Microsoft ADの間に「信頼関係」を構築することで、オンプレミスADに登録されているユーザーアカウントやグループ情報をAWS側でも利用できるようになります。これにより、社員は普段使い慣れているADのユーザー名とパスワードでAWS上のサービスにアクセスするための認証が可能になります。 2. **AWS IAM Identity Center（旧AWS SSO）**: このサービスは、AWSアカウントや、SaaSアプリケーション（Salesforceなど）へのシングルサインオン（SSO）を簡単に設定・管理するためのものです。上記のAWS Managed Microsoft ADと連携させることで、社員は一度ログインするだけで、複数のAWSアカウントやAWS上のアプリケーションにアクセスできるようになります。 **まとめると**：AWS Managed Microsoft ADでオンプレミスADをAWSに連携させ、IAM Identity Centerを通じて、社員は既存のADアカウントを使ってAWSコンソールやアプリケーションに一度のログイン（シングルサインオン）でアクセスできるようになります。これにより、新しい認証情報を覚える手間がなくなり、管理もシンプルでセキュアになります。

正解: B. IMDSv2（インスタンスメタデータサービスバージョン2）を強制する

正解の根拠・詳細解説

EC2インスタンスには、そのインスタンス自身の情報（例えば、IPアドレス、関連付けられたIAMロール、リージョン情報など）を取得できる『インスタンスメタデータサービス（IMDS）』という機能があります。このサービスには、IMDSv1とIMDSv2という2つのバージョンが存在します。 **IMDSv1（旧バージョン）はセキュリティリスクがあります。** IMDSv1では、インスタンス内部から簡単なHTTP GETリクエストを送るだけで、誰でもインスタンスのメタデータにアクセスできてしまいます。例えば、もし悪意のある攻撃者が、ウェブアプリケーションの脆弱性（SSRF: Server-Side Request Forgeryなど）を利用して、そのアプリケーションが動作しているEC2インスタンス自身に不正なリクエストを送信させることができた場合、攻撃者は簡単にインスタンスのメタデータを盗み出すことができてしまいます。この情報が悪用されると、インスタンスが持つ権限を使ってさらに別のAWSリソースへの不正アクセスにつながる可能性があり、非常に危険です。 **IMDSv2（推奨される新バージョン）はセキュリティが大幅に向上します。** IMDSv2では、メタデータにアクセスする前に、まず一時的な『セッショントークン』を取得することが義務付けられています。このトークンはPUTリクエストで取得し、一定時間（最大6時間）のみ有効です。そして、そのトークンをHTTPヘッダーに含めてGETリクエストを送ることで初めて、メタデータにアクセスできます。 この仕組みにより、たとえ攻撃者がインスタンス内のアプリケーションの脆弱性を利用できたとしても、セッショントークンを取得するPUTリクエストや、トークンをヘッダーに含めるGETリクエストの制約があるため、IMDSv1のように簡単にメタデータにアクセスすることが非常に困難になります。これにより、SSRFのような攻撃からもインスタンスのメタデータを保護できるようになり、全体的なセキュリティが格段に向上します。したがって、EC2インスタンスのメタデータへのアクセスをより安全にするためには、IMDSv2を使用することがベストプラクティスです。

正解: B. Standardは自動的に全AWSユーザーに適用、AdvancedはDDoSレスポンスチームへのアクセスと財務保護を提供

正解の根拠・詳細解説

AWS Shieldには、DDoS攻撃（分散型サービス拒否攻撃）からAWSリソースを守るための2つの保護レベルがあります。 **AWS Shield Standard**: これはすべてのAWSユーザーに無料で提供される基本的な保護です。インターネットの基盤となる部分（ネットワーク層やトランスポート層、具体的にはレイヤー3とレイヤー4）を狙う一般的なDDoS攻撃から、自動的にあなたのAWSリソースを守ってくれます。特別な設定は不要で、意識することなく保護されています。 **AWS Shield Advanced**: より高度で包括的な保護が必要な方向けの有料サービスです。Standardがカバーするレイヤー3とレイヤー4の攻撃に加えて、ウェブアプリケーションを狙う高度な攻撃（レイヤー7）からも保護します。さらに、以下のような特別なメリットが提供されます。 * **DDoSレスポンスチーム（DRT）へのアクセス**: 専門のセキュリティエキスパートチームが、攻撃が発生した際に24時間体制でサポートしてくれます。 * **財務保護**: DDoS攻撃によってAWSの利用料が予期せず増加した場合に、その費用をAWSが補填してくれます。 * **詳細なレポートとメトリクス**: 攻撃の詳細な情報や分析レポートを提供し、セキュリティ対策の改善に役立てることができます。

正解: C. WebACLにSQLiマッチ条件を含むルールを追加する

正解の根拠・詳細解説

AWS WAFではWebACLにルールグループを追加します。AWSマネージドルールのSQLiルールセット、またはカスタムルールにSQLiマッチ条件を設定することで、SQLインジェクション攻撃のリクエストをブロックできます。

正解: B. Amazon GuardDuty

正解の根拠・詳細解説

Amazon GuardDutyは機械学習とルールを使用して、VPCフローログ・CloudTrail・Route 53クエリログを分析し、不審なアクティビティ（S3への不正アクセス、EC2のマルウェア活動、アカウント侵害など）を自動検出します。

正解: C. Amazon Inspector

正解の根拠・詳細解説

Amazon Inspectorは、EC2インスタンスとコンテナイメージ（ECR）の脆弱性評価を自動実行します。CVEデータベースと照合してOSパッケージやアプリケーションライブラリの脆弱性を検出します。

正解: C. Amazon Macie

正解の根拠・詳細解説

Amazon MacieはML（機械学習）を使用してS3バケット内のデータを自動スキャンし、PII（個人識別情報）やクレジットカード番号などの機密データを検出・分類します。DLPとコンプライアンス要件の対応に活用されます。

正解: B. ゲートウェイ型エンドポイントを使用してインターネットを経由せずにS3に接続する

正解の根拠・詳細解説

S3とDynamoDB向けにはゲートウェイ型VPCエンドポイントを使用できます。これにより、EC2インスタンスがインターネットゲートウェイやNAT Gatewayを経由せず、AWSのプライベートネットワーク内でS3に直接アクセスでき、データ転送コストも削減できます。

正解: B. SCPはメンバーアカウントが使用できるサービスやアクションの最大権限を定義するガードレールである

正解の根拠・詳細解説

SCPはOrganizationsのOU（組織単位）やアカウントに適用するガードレールです。SCPに記載されていないアクションは、たとえIAMで許可されていても実行できません。SCPは権限を付与するのではなく、使用可能な権限の上限を設定します。

正解: B. AWS Security Hub

正解の根拠・詳細解説

「AWS Security Hub」は、複数のAWSアカウントを使ってシステムを運用している企業が、セキュリティに関する「おかしなこと」や「注意すべきこと」をまとめて確認できるサービスです。 例えば、「GuardDuty（不審な動きがないか監視する）」「Inspector（設定ミスがないかチェックする）」「Macie（機密データが危険にさらされていないか探す）」「IAM Access Analyzer（アクセス権が広すぎないか分析する）」といった、AWSのさまざまなセキュリティサービスが見つけた問題や警告を、全部一箇所に集めてくれます。 これにより、セキュリティ担当者は、たくさんあるアカウントやサービスを個別に確認する手間なく、会社のセキュリティ状況全体を一つの画面で把握できます。さらに、業界のセキュリティ基準（CISやPCI DSSなど）にどれくらい沿っているかを自動で点数化してくれるので、どこを改善すべきかが一目でわかります。たくさんの防犯カメラからの映像を、一つの監視センターでまとめてチェックするようなイメージです。

正解: B. ACM証明書はALB・CloudFront・API Gatewayで使用でき、自動更新される

正解の根拠・詳細解説

AWS Certificate Manager (ACM)は、ウェブサイトやアプリケーションの通信を暗号化するためのSSL/TLS証明書を、AWSのサービス内で簡単に管理できるサービスです。この証明書を使うと、お客様のデータがインターネット上で安全にやり取りされるようになります。 ACMの大きな特徴は、Amazon CloudFront、Application Load Balancer (ALB)、API Gatewayといった他のAWSサービスと連携して動作する点です。これにより、証明書の設定が非常に簡単になり、手動でサーバーにインストールする手間が省けます。 さらに、証明書の有効期限が切れる前に自動で更新してくれるため、ウェブサイトが突然利用できなくなる心配がありません。公開されているウェブサイト用の証明書（パブリック証明書）は、無料で発行・管理できるため、コストを抑えられます。 ただし、ACMで発行された証明書は、ダウンロードしてEC2インスタンス上のApacheやNginxなどのウェブサーバーに直接インストールすることはできません。ACMはあくまでAWSサービスと連携して使うことを前提としたサービスです。

正解: C. バケットポリシー（またはバケットACL）と、アクセスするアカウントのIAMポリシーの両方が必要

正解の根拠・詳細解説

クロスアカウントS3アクセスとは、あるAWSアカウント（バケット所有者）が持っているS3バケットを、別のAWSアカウント（アクセス元）が利用できるようにする設定のことです。 この設定には、以下の2つの許可が**両方**必要になります。 1. **バケットポリシー（バケット所有者のアカウント側）**: S3バケットの持ち主であるアカウントが、**誰に（どのアカウントに）**自分のバケットへのアクセスを許可するかを明示的に設定する「招待状」のようなものです。これにより、特定のアクセス元アカウントからのアクセスを許可します。 2. **IAMポリシー（アクセス元のアカウント側）**: S3バケットにアクセスしたい側のアカウントが、**自分のアカウント内の誰（IAMユーザーやロールなど）に**S3へのアクセス操作（読み取り、書き込みなど）を許可するかを設定する「入館証」のようなものです。 これらの2つの設定が揃って初めて、別のアカウントからS3バケットへのアクセスが可能になります。どちらか一方が欠けてもアクセスは拒否されます。

正解: B. AWS STS（Security Token Service）

正解の根拠・詳細解説

AWS STSは一時的なセキュリティ認証情報（アクセスキー・シークレットキー・セッショントークン）を発行します。AssumeRole、AssumeRoleWithSAML、AssumeRoleWithWebIdentityなどのAPIを使用して、クロスアカウントアクセスやフェデレーションアクセスに利用します。

正解: D. BとCのどちらでも可能で、Secrets Managerはパスワードの自動ローテーション機能を追加で提供

正解の根拠・詳細解説

AWS Secrets ManagerもParameter Store（SecureStringタイプ）もシークレットの安全な保管に使用できます。Secrets Managerの主な優位点は、RDS・Redshift・DocumentDBとの統合による自動パスワードローテーション機能です。コスト面ではParameter Storeの方が安価です。

正解: B. AWSリソースの設定がセキュリティポリシーや社内規定に準拠しているか継続的に評価する

正解の根拠・詳細解説

AWS Config Rulesは、AWSリソースの設定状態を継続的に評価し、コンプライアンス違反（例：S3バケットがパブリックアクセス可能、MFAが無効など）を検出します。自動修復アクションと組み合わせて、コンプライアンスの自動化が可能です。

正解: B. NATゲートウェイ（またはNATインスタンス）

正解の根拠・詳細解説

NATゲートウェイはプライベートサブネットのEC2インスタンスからのアウトバウンドインターネット通信を可能にしつつ、インターネットからのインバウンドリクエストはブロックします。パブリックサブネットに配置し、プライベートサブネットのルートテーブルにNATゲートウェイへのルートを追加します。

正解: B. GuardDuty → EventBridge → Lambda（自動修復アクション）

正解の根拠・詳細解説

GuardDutyの検出結果はEventBridgeルールのイベントソースとして使用できます。特定の脅威タイプ（例：EC2が暗号通貨マイニング）を検出した際にLambdaを呼び出し、セキュリティグループの変更やEC2の隔離などの自動修復を行うことが推奨パターンです。

正解: B. バージョニングを有効化し、MFA Deleteを設定する

正解の根拠・詳細解説

S3バケットに保存されている大切なデータが、間違って消されたり、上書きされたりするのを防ぐには、次の2つの設定を組み合わせるのが最も効果的な方法です。 1. **バージョニングの有効化**: この機能は、S3バケット内のオブジェクト（ファイル）が削除されたり上書きされたりするたびに、その変更前の状態を「履歴（バージョン）」として自動的に保存します。例えるなら、文書を編集するたびに自動でバックアップが取られ、いつでも過去の状態に戻せるようなものです。もしデータが誤って削除されても、過去のバージョンから簡単に復元できますし、上書きされても以前のバージョンを取り戻すことができます。 2. **MFA Deleteの設定**: これは「多要素認証（MFA）」を、特に重要な操作に対して義務付ける機能です。具体的には、保存されているバージョンの全てを完全に削除したり、S3バケットのバージョニング機能を無効にしたりする際に、通常のパスワードだけでなく、スマートフォンなどのMFAデバイスを使った追加の認証（ワンタイムパスワードなど）を求めます。これにより、たとえ誰かがS3の認証情報を手に入れても、MFAデバイスがなければデータの完全な削除や保護機能の解除ができなくなり、二重の安全対策となります。

正解: B. インターネットを経由せずに、VPCからAWSサービスやサードパーティサービスにプライベート接続する

正解の根拠・詳細解説

AWS PrivateLinkは、あなたのAWSアカウント内にある仮想ネットワーク（VPC）から、インターネットに出ることなく、AWSの各種サービス（例えば、データを保存するS3や、仮想サーバーを操作するEC2のAPI）や、他のAWSアカウントにあるサービス（例えば、SaaSプロバイダーが提供するアプリケーション）に安全に接続するための機能です。 通常、VPCから外部のサービスに接続するにはインターネットを経由することが多いですが、PrivateLinkを使うと、あたかもそれらのサービスがあなたのVPCの内部にあるかのように、プライベートなIPアドレスを使って直接接続できます。これにより、データはAWSの高速で安全な内部ネットワーク（バックボーンネットワーク）だけを通り、インターネットに公開されることがなくなるため、セキュリティが大幅に向上し、ネットワーク構成もシンプルになります。

正解: B. 外部エンティティ（別アカウント、インターネット）からアクセス可能なリソースを特定する

正解の根拠・詳細解説

IAM Access Analyzerは、S3バケット・IAMロール・KMSキー・Lambdaなどのリソースポリシーを分析し、アカウント外の外部エンティティ（別のAWSアカウント、パブリック）からアクセス可能なリソースを特定・アラートします。意図しないパブリックアクセスや共有設定の検出に使用します。

正解: B. カスタマーマネージドキーで自動ローテーションを有効にすると、毎年キーマテリアルが更新され、古いバージョンも保持される

正解の根拠・詳細解説

CMKの自動ローテーションを有効にすると、毎年（365日ごと）キーマテリアルが更新されます。AWSは過去のキーバージョンも保持するため、古いバージョンで暗号化されたデータも引き続き復号できます。データの再暗号化は自動では行われません。

正解: B. 最小権限の原則に基づいたIAMユーザーを作成し、必要なサービスのみアクセス可能にする

正解の根拠・詳細解説

最小権限の原則（Principle of Least Privilege）は、ユーザーやサービスが作業を行うために必要な最小限の権限のみを付与するセキュリティのベストプラクティスです。不要なサービスへのアクセス権限を持たないことで、誤操作や侵害時の被害を最小化できます。

正解: B. ランサムウェアや誤削除からデータを保護するために、指定期間のオブジェクト削除・上書きを防止する（WORM）

正解の根拠・詳細解説

S3 Object Lockは、WORM（Write Once, Read Many）モデルを実装し、Governance ModeまたはCompliance Modeで一定期間オブジェクトの削除・上書きを防止します。金融・医療などの規制要件やランサムウェア対策として使用されます。

正解: B. VPCのネットワークインターフェイスを出入りするIPトラフィックの情報を記録し、セキュリティ分析やトラブルシューティングに活用する

正解の根拠・詳細解説

VPCフローログは、ネットワークインターフェイスを通過するトラフィック（送信元IP・宛先IP・ポート・プロトコル・許可/拒否）を記録します。不審なトラフィックの検出、セキュリティグループルールの最適化、ネットワークトラブルシューティングに活用できます。

正解: B. Lambda関数にSecrets Managerへのアクセス権限を持つIAMロールを付与し、実行時にAPIで取得する

正解の根拠・詳細解説

Lambda関数のIAMロールにSecrets Managerの読み取り権限を付与し、実行時にGetSecretValue APIで認証情報を動的に取得します。これにより、コードや設定ファイルに認証情報が含まれず、シークレットのローテーションもLambdaコードの変更なしに対応できます。

正解: B. ALB・CloudFront・API Gateway・AppSync

正解の根拠・詳細解説

AWS WAFはApplication Load Balancer（ALB）、Amazon CloudFront、Amazon API Gateway、AWS AppSync（GraphQL API）と統合できます。これらのサービスへのHTTPSリクエストを検査し、SQLiやXSSなどの攻撃をフィルタリングします。

正解: B. 組織の委任管理者アカウントでGuardDutyを集約し、CloudTrailをS3 Organization Trailとして一元管理する

正解の根拠・詳細解説

AWS Organizationsを使用して、GuardDutyの委任管理者を指定することで全メンバーアカウントの検出結果を集約できます。CloudTrailのOrganization Trailを設定すると、全アカウント・全リージョンのAPIログを中央管理S3バケットに集約できます。

正解: B. AssumeRoleの信頼ポリシーに「aws:SourceArn」または「aws:SourceAccount」条件を追加する

正解の根拠・詳細解説

混乱した代理人問題は、信頼されたサービスが別のリソースの代わりに意図しないアクションを行う攻撃です。信頼ポリシーのConditionブロックに「aws:SourceArn」や「aws:SourceAccount」を追加することで、特定のリソースやアカウントからのAssumeRoleのみを許可できます。

正解: B. ユーザーやロールの有効な最大権限を定義し、Identityベースのポリシーと権限の境界の共通部分が実際の権限となる

正解の根拠・詳細解説

Permissions Boundaryを設定すると、たとえIdentityベースポリシーで広い権限が付与されていても、権限の境界に記載されたアクションのみが有効になります。開発者が自分でIAMロールを作成できる権限を委任しながら、作成できる権限の上限を制限する際に使用します。

正解: B. Cognito Identity Pools（フェデレーテッドアイデンティティ）

正解の根拠・詳細解説

Cognito Identity Pools（フェデレーテッドアイデンティティ）は、認証されたユーザーに一時的なAWS認証情報を払い出す機能です。User Poolsなどの認証後、Identity PoolsがSTSの一時認証情報をユーザーに提供し、S3やDynamoDBなどのAWSリソースへ直接アクセスできます。

正解: B. 高可用性と自動フェイルオーバー（プライマリDB障害時に自動的にスタンバイに切り替え）

正解の根拠・詳細解説

RDS Multi-AZは高可用性のためにスタンバイインスタンスを別のAZに維持します。プライマリDBに障害が発生すると、通常1〜2分でスタンバイに自動フェイルオーバーします。読み取りスケールアップにはRead Replicaを使用します。

正解: B. ELBはそのインスタンスへのトラフィック転送を停止し、ヘルシーなインスタンスのみにルーティングする

正解の根拠・詳細解説

ELBはヘルスチェックが失敗したインスタンスをターゲットグループから外し、ヘルシーなインスタンスのみにトラフィックをルーティングします。インスタンスが回復してヘルスチェックが成功すると、自動的にルーティング対象に復帰します。

正解: B. ディザスタリカバリとデータの地理的冗長性を確保する

正解の根拠・詳細解説

S3 CRRは別リージョンのバケットにオブジェクトを自動レプリケートします。DR（ディザスタリカバリ）、データの地理的冗長性、コンプライアンス要件（データの地理的所在地）、レイテンシ最適化に活用されます。CRRを設定するには両バケットでバージョニングが必要です。

正解: C. デフォルトのターミネーションポリシーでは、最も古い起動テンプレート/設定のインスタンス、その後最も次の請求時間に近いインスタンス

正解の根拠・詳細解説

Auto Scalingのデフォルトのターミネーションポリシーは、最初に最も古い起動設定/テンプレートのインスタンスを終了し、次に最も近い請求時間に達するインスタンスを終了します。AZのバランスも考慮されます。カスタムターミネーションポリシーも設定可能です。

正解: B. プライマリとセカンダリのレコードと、プライマリリソースのヘルスチェック

正解の根拠・詳細解説

Route 53のフェイルオーバールーティングは、プライマリレコードにヘルスチェックを関連付け、プライマリが不健全な場合にセカンダリリソース（別のALB、S3静的サイトなど）にトラフィックをルーティングします。DR戦略として「アクティブ・パッシブ」構成に使用されます。

正解: B. プロデューサーとコンシューマーを独立してスケールでき、コンポーネントの障害が他に波及しない

正解の根拠・詳細解説

SQSキューはプロデューサーとコンシューマーを分離します。プロデューサーが高速にメッセージを送信しても、コンシューマーは自分のペースで処理できます。コンシューマーが一時停止しても、メッセージはキューに蓄積されます。これにより独立したスケーリングと耐障害性が向上します。

正解: B. 最小限のコアシステムのみAWSで常時稼働し、災害時に残りのシステムを起動・スケールアップする

正解の根拠・詳細解説

パイロットライト戦略では、データベースのレプリケーションなど最小限のコアインフラのみを常時AWSで稼働させます。災害時は停止しているEC2インスタンスを起動し、Route 53を切り替えることで数十分以内にシステムを復旧できます。「ウォームスタンバイ」より低コストです。

正解: B. リードレプリカは読み取りスケールアップと地理的冗長性に使用され、Multi-AZは高可用性とフェイルオーバーに使用される

正解の根拠・詳細解説

リードレプリカ：読み取り専用のコピーで、SELECT文の処理を分散して読み取りパフォーマンスを向上（昇格して書き込み可能にもできる）。Multi-AZ：プライマリと同期レプリカを別AZに維持し、障害時の自動フェイルオーバーを提供（読み取りトラフィックは受け付けない）。

正解: B. メッセージが消費者によって取得された後、他の消費者から見えなくなる時間（処理中として隠される時間）

正解の根拠・詳細解説

Visibility timeoutは、コンシューマーがメッセージをpollした後、そのメッセージが他のコンシューマーから見えなくなる時間です（デフォルト30秒）。コンシューマーが処理を完了して削除するか、timeout経過後に再度visible状態になります。処理時間よりtimeoutを長くする必要があります。

正解: B. 新しいリクエストはスロットリングされ、429エラー（Too Many Requests）が返される

正解の根拠・詳細解説

Lambda関数の同時実行数が上限（アカウントのデフォルトは1,000）に達すると、新しい呼び出しはスロットリングされ、同期呼び出しでは429エラーが返されます。SQSやKinesisなどの非同期呼び出しでは自動リトライが行われます。Reserved Concurrencyでサービスごとの制限設定も可能です。

正解: B. プライマリオリジンが5xxエラーを返した場合に、セカンダリオリジンに自動的にリクエストを転送する

正解の根拠・詳細解説

CloudFrontのオリジングループを設定することで、プライマリオリジンが5xxエラー（設定した特定のHTTPエラーコード）を返した場合に、自動的にセカンダリオリジンにリクエストをルーティングできます。DR戦略の一部として活用できます。

正解: B. クロスリージョンのディザスタリカバリと低レイテンシのグローバル読み取り（別リージョンのリードレプリカ）

正解の根拠・詳細解説

Aurora Global Databaseは、1つのプライマリリージョンと最大5つのセカンダリリージョンをサポートします。セカンダリリージョンへのレプリケーションは通常1秒未満です。RTO（目標復旧時間）1分以内での別リージョンへの昇格（フェイルオーバー）が可能なDR戦略として使用されます。

正解: B. インスタンスをバッチに分けて段階的に更新し、一部のインスタンスが常に稼働状態を維持する

正解の根拠・詳細解説

ローリング更新はインスタンスをバッチ単位で更新します。例えばバッチサイズ25%の場合、25%ずつ更新します。一部インスタンスが更新中に他のインスタンスがトラフィックを処理するため、更新中も可用性を維持できます（ただし一時的に容量が減少）。

正解: B. 最小構成の完全機能するシステムをAWSで常時稼働させ、災害時にスケールアップする

正解の根拠・詳細解説

ウォームスタンバイは最小構成（例：小さいインスタンスサイズ・少数インスタンス）で完全機能するシステムを常時AWSで稼働させます。パイロットライトより高コストですが、フェイルオーバー時間が短く、限定的な本番トラフィックの処理もできます。

正解: B. SNSトピックを複数のSQSキューにサブスクライブし、1つのメッセージを複数のサブスクライバーに並行配信する

正解の根拠・詳細解説

Fan-outパターンでは、SNSトピックに複数のSQSキュー（または Lambda等）をサブスクライブします。SNSにメッセージを1回送信するだけで、全サブスクライバーに並行配信されます。異なる処理を行う複数のサービスへのイベント通知に活用されます。

正解: B. 複数のLambda関数や他のAWSサービスを組み合わせた複雑なワークフローをオーケストレーションする

正解の根拠・詳細解説

Step Functionsはサーバーレスのワークフローエンジンです。シーケンシャル処理、並行処理、条件分岐、エラーハンドリング、リトライを視覚的なステートマシンとして定義できます。ETLパイプライン、注文処理、ML推論ワークフローなどに活用されます。

正解: B. ECS + AWS CodeDeploy + ALB

正解の根拠・詳細解説

ECSのBlue/Greenデプロイメントは、CodeDeployを使用して実装します。ALBのターゲットグループを2つ用意（BlueとGreen）し、新バージョンのECSタスク（Green）が起動してヘルスチェック通過後、CodeDeployがALBのトラフィックを切り替えます。問題があれば自動ロールバックします。

正解: B. 複数リージョンにわたるマルチリージョン・マルチマスターレプリケーションを提供する

正解の根拠・詳細解説

DynamoDBグローバルテーブルは、指定した全リージョンにデータを自動レプリケートするマルチマスター構成です。各リージョンで読み書きが可能で、低レイテンシなグローバルアクセス、リージョン障害時の自動フェイルオーバーを実現します。

正解: B. AWSサービスのイベント（EC2状態変化・S3オブジェクト作成など）をトリガーとして、Lambda・SQS・SNS等のターゲットにルーティングする

正解の根拠・詳細解説

EventBridgeはサーバーレスのイベントバスです。EC2インスタンスの状態変化、S3オブジェクト作成、CodePipelineの状態変化など様々なAWSサービスのイベントをルールでフィルタリングし、Lambda・SQS・SNS・Step Functionsなどのターゲットに転送します。

正解: B. Kinesis Data Streams

正解の根拠・詳細解説

Kinesis Data Streamsはリアルタイムデータストリームの収集・処理プラットフォームです。シャードベースのスケーリングで大量データを処理し、Lambdaや独自のコンシューマーアプリで処理できます。Firehoseは届けるだけ（S3/Redshiftへのロード）、Data Analyticsはリアルタイム分析に特化しています。

正解: C. データベースのスロークエリ（パフォーマンス低下）

正解の根拠・詳細解説

RDS Multi-AZのフェイルオーバーは、プライマリインスタンスやAZの物理的障害、ネットワーク障害、ホスト障害時に自動発生します。クエリのパフォーマンス低下やスロークエリはフェイルオーバーの条件ではありません。パフォーマンス問題にはread replicaや最適化で対応します。

正解: B. バージョニングを有効にすると、同じキーのオブジェクトが上書きまたは削除されても以前のバージョンが保持される

正解の根拠・詳細解説

S3バージョニングを有効にすると、オブジェクトの各バージョンに一意のバージョンIDが付与されます。オブジェクトを削除するとdelete markerが追加されるだけで、以前のバージョンは保持されます。バージョニングは一時停止はできますが、完全無効化はできません（バケット削除が必要）。

正解: B. DynamoDB Global Tables + Route 53 Latency Routing + Global Accelerator

正解の根拠・詳細解説

マルチリージョンA/Aでは、DynamoDBグローバルテーブル（マルチリージョン・マルチマスター）、Route 53のレイテンシベースルーティング（近いリージョンにルーティング）、Global Accelerator（エッジからの最適ルーティング）を組み合わせることで、グローバルに低レイテンシで高可用性のアーキテクチャが実現できます。

正解: B. EC2・RDS・DynamoDB・EFS・S3等の複数AWSサービスのバックアップを一元管理できる

正解の根拠・詳細解説

AWS Backupは、EC2・EBS・RDS・Aurora・DynamoDB・EFS・FSx・Storage Gateway・S3などのバックアップポリシーを一元管理するサービスです。バックアッププラン（スケジュール・保持期間）を設定し、コンプライアンス要件への対応をサポートします。クロスリージョンバックアップは設定が必要です。

正解: B. FIFOはメッセージの順序保証と正確に1回の配信を保証、Standardは高スループットだが順序保証なし・重複配信の可能性あり

正解の根拠・詳細解説

SQS Standardは秒間ほぼ無制限のスループットですが、メッセージ順序は保証されず（ベストエフォート）、重複配信の可能性があります。FIFOは順序を厳密に保持し、重複なしの配信を保証しますが、スループットは最大3,000メッセージ/秒（メッセージバッチングで）です。

正解: B. 特定のユーザー（Cookie）を特定のターゲットに固定する機能で、ステートフルなアプリケーションに使用

正解の根拠・詳細解説

スティッキーセッションはCookie（ALBが生成するAWSALBまたはアプリが生成するカスタムCookie）を使用して、同じユーザーからのリクエストを同じターゲットに転送します。セッション情報をサーバーサイドで管理するステートフルなアプリケーションに使用しますが、スケールイン時の問題に注意が必要です。

正解: B. カナリアデプロイメントやA/Bテストのために、新旧バージョンにトラフィックを割合で分散する

正解の根拠・詳細解説

加重ルーティングでは、各DNSレコードに重みを設定します。例えば旧バージョンに90%・新バージョンに10%を設定することで、段階的なカナリアデプロイやA/Bテストが実施できます。重みを徐々に変更してブルー/グリーン切り替えも可能です。

正解: B. Anycast IPを使用してユーザーを最も近いAWSエッジロケーションに誘導し、AWSバックボーン経由で低レイテンシのアクセスを提供する

正解の根拠・詳細解説

Global Acceleratorは2つの静的Anycast IPを提供します。ユーザーは最も近いAWSエッジロケーションに接続し、そこからAWSのプライベートバックボーンネットワーク経由でエンドポイント（ALB・NLB・EC2等）に接続します。インターネット経由より安定した低レイテンシを実現します。

正解: D. A、B、Cはすべて有効なパターン

正解の根拠・詳細解説

キャッシングパターンには複数あります。Write-Through：書き込み時にキャッシュとDBを同時更新（整合性高・書き込み遅延増）。Cache-Aside（Lazy Loading）：キャッシュミス時にDBからロードしキャッシュに書き込む（最も一般的）。Write-Behind：非同期でDBに書き込む（スループット向上・整合性リスク）。

正解: B. 指定したメトリクス（例：CPU使用率60%）を目標値に保つように自動的にスケールアウト/インを調整する

正解の根拠・詳細解説

ターゲット追跡スケーリングは最もシンプルで推奨されるスケーリングポリシーです。例えばCPU使用率60%を目標に設定すると、60%を維持するように必要に応じてスケールアウト・インが自動実行されます。ALBのターゲットあたりのリクエスト数、SQSのキュー深度なども目標値に使用できます。

正解: B. 複数のAWSアカウントや複数のリージョンに対して、同じCloudFormationテンプレートを一括デプロイ・管理する

正解の根拠・詳細解説

CloudFormation StackSetsはAWS Organizations統合により、組織内の複数アカウント・複数リージョンに同じインフラを一括デプロイ・更新できます。セキュリティベースライン（CloudTrail有効化、Config有効化など）のOrganizations全体への適用に活用されます。

正解: B. ElastiCacheを導入してよく参照されるデータをキャッシュし、RDSへのリクエスト数を削減する

正解の根拠・詳細解説

ElastiCache（RedisまたはMemcached）は、頻繁に読み取られるデータをメモリにキャッシュすることで、RDSへのクエリを大幅に削減できます。データベースのボトルネックを解消し、アプリケーションのスループットとレスポンス速度を向上させます。

正解: B. DynamoDB用のフルマネージドインメモリキャッシュで、マイクロ秒レイテンシの読み取りを実現する

正解の根拠・詳細解説

DAXはDynamoDB互換のAPIを持つフルマネージドインメモリキャッシュクラスターです。DynamoDBへのGET操作をDAXがキャッシュすることで、ミリ秒からマイクロ秒レイテンシに改善できます。アプリケーションコードの変更は最小限です。

正解: B. CloudFrontのエッジロケーションを経由することで、グローバルなS3アップロード速度を向上させる

正解の根拠・詳細解説

S3 Transfer Accelerationは、CloudFrontのグローバルエッジネットワークを活用します。ユーザーは最寄りのエッジロケーションにアップロードし、そこからAWSの高速バックボーンネットワーク経由でS3バケットに転送されます。地理的に離れた場所からのアップロードで特に効果があります。

正解: B. 同一ラック内にインスタンスを配置し、超低レイテンシ・高スループットのネットワーク通信を実現する（HPC用途）

正解の根拠・詳細解説

クラスタープレイスメントグループは、EC2インスタンスを同一AZ内の近接ハードウェアに配置します。10 Gbps以上の低レイテンシネットワークが必要なHPC（高性能計算）、機械学習の分散トレーニング、密結合なビッグデータ処理に最適です。ただし、単一障害ポイントのリスクがあります。

正解: B. io1/io2（プロビジョンドIOPS SSD）

正解の根拠・詳細解説

io1/io2はプロビジョニングされたIOPSを提供するSSDタイプで、高I/Oが必要なOLTPデータベース（MySQL、Oracle等）に最適です。io2はio1より高い耐久性（99.999%）と1GBあたりのIOPS効率が優れています。gp3は汎用用途に、st1は大容量シーケンシャルアクセスに適しています。

正解: B. キャッシュキーを最適化し（不要なヘッダー・クエリパラメータを除外）、適切なTTLを設定する

正解の根拠・詳細解説

CloudFrontのキャッシュヒット率を向上させるには、Cache Policy でキャッシュキーに含めるHeadersとQuery Stringsを必要最小限にします。不要なパラメータをキャッシュキーに含めると、キャッシュが分散して再利用率が低下します。また、静的コンテンツには長めのTTLを設定します。

正解: B. プロビジョニングされた同時実行数（Provisioned Concurrency）を設定する

正解の根拠・詳細解説

Provisioned Concurrencyを設定すると、指定した数のLambda実行環境が事前に初期化された状態で待機します。コールドスタート（初回起動時の初期化遅延）が発生せず、一貫して低レイテンシのレスポンスを実現できます。本番APIなどレイテンシに敏感なワークロードに有効です。

正解: B. EFSは複数のEC2インスタンスから同時マウント可能なNFSファイルシステム、EBSは単一インスタンスに接続するブロックストレージ

正解の根拠・詳細解説

EFSは完全マネージドのNFS（Network File System）で、複数のEC2インスタンス（マルチAZ）から同時にマウントして共有できます。コンテンツ管理、DevOps、Webサービスの共有ストレージに最適。EBSは単一EC2インスタンスに接続するブロックデバイスで、高IOPSのデータベース等に最適です。

正解: B. トラフィックに応じてキャパシティが自動的にスケールアップ/ダウンし、使用した分だけ課金される

正解の根拠・詳細解説

Aurora Serverless v2はACU（Aurora Capacity Unit）単位で自動スケーリングします。予測不可能なワークロード、断続的なアクセスがあるアプリケーション、開発・テスト環境などに適しています。使用量ベースの課金で、最小キャパシティを0.5 ACUまで下げられます。

正解: B. ストリーミングデータをS3・Redshift・OpenSearch・Splunkなどの宛先に自動ロードするフルマネージドサービス

正解の根拠・詳細解説

Kinesis Data Firehoseはデータを受信してバッファリングし、指定した宛先（S3・Redshift・Amazon OpenSearch・Splunk・HTTP endpoints）に自動的にロードします。コード不要でシャード管理も不要なため、データレイクやデータウェアハウスへのリアルタイムデータ投入に最適です。

正解: B. テーブルのデータをノード間にどのように分散するかを指定し、結合クエリのパフォーマンスを向上させる

正解の根拠・詳細解説

Redshiftの分散スタイル（Distribution Style）は、テーブルのデータを複数のコンピューティングノードに分散する方法を制御します。結合頻度の高いテーブルを同じノードに配置（DISTKEY設定）することで、ノード間のデータ転送を削減しクエリパフォーマンスを改善できます。

正解: B. バッチ処理（SendMessageBatch/ReceiveMessage/DeleteMessageBatch）を使用してAPIコール数を削減する

正解の根拠・詳細解説

SQSのバッチAPIは1回のAPIコールで最大10メッセージを処理できます。ReceiveMessageでロングポーリング（WaitTimeSeconds=20）を使用すると、空の応答が減りコスト削減とレイテンシ改善が実現できます。Lambda + SQSの組み合わせでバッチ処理は自動化されます。

正解: A. Elastic Network Adapter（ENA）を使用してより高いバンド幅と低レイテンシを実現する

正解の根拠・詳細解説

Enhanced NetworkingはSR-IOV（シングルルートI/O仮想化）技術を使用し、高帯域幅（最大100Gbps）・低レイテンシ・低CPUオーバーヘッドを実現します。ENA（最大100Gbps）またはVFインターフェース（Intel 82599、最大10Gbps）で実装され、多くの最新EC2インスタンスタイプでデフォルト有効です。

正解: B. クラスターボリューム（分散SSDストレージ）を使用し、6つのデータコピーを3つのAZにわたって保持、ログのみをストレージに書き込む最適化されたアーキテクチャのため

正解の根拠・詳細解説

Auroraのストレージアーキテクチャは、3つのAZにわたる6つのデータコピーの分散ストレージを使用します。ログのみをストレージに書き込む最適化（undo logs・redo logsの最小化）により、MySQLより最大5倍の書き込みパフォーマンスを実現します。

正解: B. 強い整合性は最新の書き込みデータを返すが、消費するRCUが2倍。結果整合性は少し古いデータの可能性があるが、RCUは半分

正解の根拠・詳細解説

結果整合性のある読み取りはRCU（Read Capacity Unit）を0.5消費し、最近の書き込みが反映されない場合があります（通常1秒以内に最新化）。強い整合性のある読み取りはRCUを1消費し、成功した最新の書き込みが必ず反映されます。金融取引など最新データが必須のユースケースに使用します。

正解: B. 大量のRAMが必要なインメモリキャッシュ、大規模データベース、ビッグデータ処理

正解の根拠・詳細解説

R系インスタンス（R6g・R6i・R7gなど）はメモリとvCPUの比率が高く設計されています。Redis・Memcached等のインメモリデータベース、SAP HANA等の高メモリDBMS、ゲノム解析・ビッグデータ処理など大量メモリが必要なワークロードに最適です。

正解: A. EC2インスタンスの管理が不要で、コンテナのリソース設定のみを行えばよい

正解の根拠・詳細解説

AWS Fargateはサーバーレスのコンテナ実行環境です。EC2インスタンスのプロビジョニング・スケーリング・パッチ管理が不要で、タスクのCPUとメモリ要件を指定するだけで実行できます。ECS・EKS両方で使用可能です。常時稼働ワークロードではEC2の方がコスト効率が高い場合があります。

正解: B. S3に保存されたCSV・JSON・Parquetファイルに対してSQL式を使用して、データの一部のみを取得することでデータ転送量を削減する

正解の根拠・詳細解説

S3 Selectを使用すると、オブジェクト全体をダウンロードせずに、SQLのSELECT文でファイル内の必要なデータのみを取得できます。データ転送量を最大98%削減し、クライアント側の処理時間を短縮できます。CSVとJSONはgzip/bzip2圧縮状態でもクエリ可能です。

正解: B. データの永続化・レプリケーション・パブリッシュ/サブスクライブ・ソート済みセット

正解の根拠・詳細解説

Redisはデータ構造サーバーとして豊富なデータ型（String・Hash・List・Set・Sorted Set・HyperLogLog）をサポートし、データ永続化（AOF/RDB）、レプリケーション、マルチAZ、パブリッシュ/サブスクライブ、Luaスクリプト、クラスタリングに対応します。Memcachedはシンプルなキーバリューのキャッシュに特化しマルチスレッドで高スループットです。

正解: B. S3上のデータをサーバーレスの標準SQLでインタラクティブにクエリできる分析サービス

正解の根拠・詳細解説

Amazon Athenaはサーバーレスのインタラクティブクエリサービスです。S3上のCSV・JSON・Parquet・ORC等のデータを直接クエリできます。インフラのプロビジョニングが不要で、クエリしたデータ量に応じた従量課金です。AWS Glueのデータカタログと統合してスキーマ管理ができます。

正解: B. AWSの余剰コンピュートキャパシティを最大90%割引で利用でき、AWSが容量を必要とする場合は2分前の通知で中断される

正解の根拠・詳細解説

スポットインスタンスはオンデマンドより最大90%安価ですが、AWSが容量を必要とする場合に2分前の通知で中断されます。耐障害性がある・中断可能なバッチ処理、ML学習、データ分析、Spot Fleetを活用したステートレスWebサーバーに適しています。スポットブロック（廃止）やスポットフリートでの管理が推奨されます。

正解: B. 元のデータベースのストレージをコピーせずに独立したクローンを即座に作成でき、開発・テスト環境を低コスト・短時間で構築できる

正解の根拠・詳細解説

AuroraのClone機能はCopy-on-Writeプロトコルを使用します。最初はストレージをコピーせず元のボリュームと共有し、変更が発生した部分のみ新しいストレージに書き込みます。そのため瞬時に作成でき、最初はほぼストレージコストが発生しません。本番DBに影響せず、テスト環境の構築に最適です。

正解: B. Direct Connectは専用物理回線で高帯域・低レイテンシ・一貫したパフォーマンス、VPNはインターネット経由の暗号化トンネルで低コスト・短期構築可能

正解の根拠・詳細解説

Direct Connectは物理的な専用線接続で、最大100Gbpsの帯域、インターネットの輻輳に影響されない安定したレイテンシを提供します。大量データ転送、リアルタイムアプリに適しています。Site-to-Site VPNはインターネット経由の暗号化トンネルで、Direct Connectより低コストかつ数時間で構築できます。

正解: B. 高vCPU対メモリ比率が必要なHPCや機械学習推論、ゲームサーバー、動画エンコーディング

正解の根拠・詳細解説

C系インスタンス（C6g・C6i・C7gなど）は高vCPU対メモリ比率を持ち、CPU処理が集中するワークロードに最適です。科学モデリング・バッチ処理・広告サービング・多人数参加ゲームサーバー・動画エンコーディング・ML推論などに使用されます。

正解: B. ファイルサイズが100MB以上の場合（AWSでは5GBを超えるオブジェクトでは必須）

正解の根拠・詳細解説

マルチパートアップロードはファイルを複数のパーツに分割して並行アップロードします。AWSではオブジェクトが5GBを超える場合は必須です。100MB以上のオブジェクトには使用を推奨します。利点は：1）アップロード速度の向上、2）ネットワーク障害時は失敗したパートのみ再試行、3）アップロード開始後にサイズが不明な場合にも対応可能。

正解: B. ゲームやVoIPなどレイテンシ感度の高いTCP/UDPアプリケーションで、世界中のユーザーから低レイテンシのアクセスを提供したい

正解の根拠・詳細解説

Global Acceleratorは静的Anycast IPと通じてユーザーを最近のAWSエッジに誘導し、AWSバックボーン経由で低レイテンシを実現します。CloudFrontと異なりHTTPコンテンツのキャッシュは行わず、TCP・UDPを含む全プロトコルに対応します。IPアドレスが静的なため、IPベースのホワイトリストが必要な場合にも有効です。

正解: B. Windows環境でのSMBプロトコルを使用するフルマネージドWindowsファイルシステムで、Active Directory統合が必要なアプリケーション

正解の根拠・詳細解説

FSx for Windowsは完全マネージドのWindows Server Message Block（SMB）プロトコルファイルシステムです。Active Directoryとネイティブ統合、DFSレプリケーション、VSSスナップショット、AES-256暗号化をサポートします。Windows共有フォルダーやホームディレクトリの移行・運用に最適です。

正解: B. TTLを0に設定（またはno-cacheヘッダー）してキャッシュを無効化しつつ、CloudFrontのグローバルエッジネットワーク経由で配信することでレイテンシを改善する

正解の根拠・詳細解説

CloudFrontは静的コンテンツのキャッシュだけでなく、動的コンテンツの配信も効果的です。TTL=0設定でキャッシュせずともエッジロケーション経由でオリジンとの接続が最適化（Keep-Alive・AWS内ルーティング）され、レイテンシが改善します。また一部の動的コンテンツをCookieやUser-Agentでセグメント別にキャッシュすることも可能です。

正解: B. 既にKubernetes経験があるチームや、マルチクラウド・ハイブリッド環境での移植性が必要な場合はEKS、AWSネイティブで学習コストを下げたい場合はECS

正解の根拠・詳細解説

ECSはAWS独自のコンテナオーケストレーションで、AWSサービスとのネイティブ統合が優れシンプルです。EKSはマネージドKubernetesで、オープンソースKubernetesと互換性があり、他のクラウドへの移植性や既存のKubernetesエコシステムを活用できます。両方ともEC2とFargateで実行できます。

正解: B. 1年または3年間の一定額の利用（USD/時間）をコミットすることで最大66%割引を受けられる柔軟な料金プラン

正解の根拠・詳細解説

Savings Plansには、Compute Savings Plans（EC2・Fargate・Lambdaに対応、最大66%割引）とEC2 Instance Savings Plans（特定ファミリー・リージョン限定、最大72%割引）があります。特定のインスタンスタイプへの縛りが緩く、リザーブドインスタンスより柔軟です。

正解: C. S3 Glacier Instant Retrieval

正解の根拠・詳細解説

S3 Glacier Instant Retrievalはミリ秒単位の即時取り出しが可能で、1四半期に1回程度アクセスする長期保存データに最適です。Standard-IAよりストレージコストが低く、医療画像や報道写真のアーカイブに適しています。Standard-IAは月1回程度のアクセスに適しています。

正解: B. Savings Plansは柔軟性が高く（インスタンスファミリー・リージョン変更可能）、RIは特定インスタンスへの縛りがある代わりにSavings Plansより割引率が高い場合がある

正解の根拠・詳細解説

Standard RIは特定リージョン・AZ・インスタンスタイプへの縛りがある代わりに最大72%割引。Convertible RIはインスタンスファミリー変更可能で最大54%割引。Savings PlansはEC2・Fargate・Lambdaに対応して最大66%割引と柔軟。Savings Plansは現在AWSが推奨する割引プランです。

正解: B. 過去12か月のコスト・使用量の可視化、コスト予測、リソース利用最適化の推奨事項を提供する

正解の根拠・詳細解説

Cost Explorerはコストと使用量のデータを視覚化・分析するツールです。サービス別・リージョン別・タグ別のコスト分析、13か月の履歴データ、12か月の予測が可能です。RI/Savings Plansの推奨事項も提供し、コスト最適化の意思決定を支援します。

正解: B. コスト最適化・パフォーマンス・セキュリティ・耐障害性・サービス制限

正解の根拠・詳細解説

AWS Trusted Advisorは5つのカテゴリーでアカウントのベストプラクティスを評価します：1）コスト最適化（未使用リソース、RIの活用率）、2）パフォーマンス、3）セキュリティ（MFA有効化、オープンポート）、4）耐障害性、5）サービスクォータ。Business/Enterpriseサポートプランで全チェックが利用可能。

正解: B. アクセスパターンを自動監視し、アクセス頻度に応じてデータを適切なストレージ層（頻繁・低頻度・アーカイブ）に自動移動させる

正解の根拠・詳細解説

S3 Intelligent-Tieringはアクセスパターンが不明または変化するデータに最適です。30日間アクセスがないオブジェクトを自動的に低頻度アクセス層に移動させます。90日間アクセスがなければアーカイブアクセス層へ、さらに180日以上でディープアーカイブ層へ自動移動します。監視と自動化の料金が小さな追加コストとしてかかります。

正解: B. 開発・テスト環境のEC2インスタンスを業務時間外（夜間・週末）に自動停止するスケジュールをSystems Managerで設定する

正解の根拠・詳細解説

使っていないEC2インスタンス（仮想サーバー）にも料金はかかり続けます。この無駄なコストを削減する最も簡単な方法は、EC2インスタンスを必要な時だけ自動で起動させ、不要な時は自動で停止させるスケジュールを設定することです。 AWSには『EventBridge スケジュール』や『Systems Manager State Manager』といったサービスがあり、これらを使うと、例えば「平日の朝9時に起動し、夕方5時に停止する」といったルールを簡単に設定できます。 特に、開発やテスト環境のように、24時間365日動かす必要がないインスタンスの場合、業務時間（例えば1日8時間）だけ稼働させるようにすれば、24時間稼働させる場合に比べてEC2の利用時間を大幅に減らせます。これにより、最大で約65%ものEC2コストを削減できる可能性があります。

正解: B. S3ライフサイクルポリシーを設定して、経過時間に応じてデータを低コストのストレージクラスに自動移行または削除する

正解の根拠・詳細解説

S3（Amazon Simple Storage Service）は、AWSでデータ保存に使われるサービスです。S3には、データのアクセス頻度や取り出し時間に応じて、いくつかの異なる「ストレージクラス」があります。それぞれのクラスは、保存コストやデータ取り出しにかかるコストが異なります。 **S3ライフサイクルポリシー**とは、S3に保存しているデータの「寿命」を自動的に管理する機能です。このポリシーを設定することで、データのアクセス頻度が時間とともに変わることを想定し、最もコスト効率の良いストレージクラスへ自動的にデータを移行させたり、最終的に不要になったデータを自動で削除したりすることができます。 例えば、以下のようなルールを設定できます。 1. **作成後30日でS3 Standard-IAに移行**: データがS3バケットに保存されてから30日経つと、自動的に「S3 Standard-IA (Infrequent Access)」というストレージクラスに移動します。このクラスは、あまり頻繁にアクセスしないけど、必要な時にはすぐに取り出したいデータに適しています。S3 Standardよりも保存コストが安くなりますが、データを取り出す際に料金が発生します。 2. **作成後90日でS3 Glacier Instant Retrievalに移行**: さらに時間が経ち、データが作成されてから90日経つと、自動的に「S3 Glacier Instant Retrieval」に移行します。これはほとんどアクセスしないアーカイブデータ向けですが、必要であれば数ミリ秒で取り出しが可能です。S3 Standard-IAよりもさらに保存コストが安くなります。 3. **作成後365日後に削除**: 最終的に、データが作成されてから365日経つと、そのデータは自動的にS3から削除されます。 このようなポリシーは、ログファイルや古いバックアップデータなど、最初はよく使うけれど、時間が経つにつれてアクセス頻度が下がり、最終的には不要になるデータに特に効果的です。手動でデータを移動したり削除したりする手間を省きながら、データのライフサイクル全体を通じてS3のコストを最小限に抑えることができるため、非常に重要なコスト最適化手法となります。

正解: B. プロジェクト・部門・環境（本番/開発）などのカテゴリーでAWSコストを分類・追跡できるようにする

正解の根拠・詳細解説

AWSのコストタグ（Cost Allocation Tags）は、AWSで利用している様々なサービスやリソース（例えば、EC2インスタンス、S3バケットなど）にかかる費用を、**目的別に細かく分類し、誰が、どのプロジェクトで、どれくらいの費用を使っているのかを明確にするための「ラベル」**のようなものです。 これを活用すると、以下のことが可能になります。 1. **費用を「見える化」する**: 例えば、「Project:マーケティング部」「Environment:本番環境」といったタグをリソースに付けることで、マーケティング部が本番環境で使っているAWSの費用がいくらなのかを、AWS Cost ExplorerやAWS Cost and Usage Report（費用分析ツール）で簡単に確認できます。 2. **コストの割り当てと責任の明確化**: どの部署やプロジェクトが、どのくらいのAWS費用を負担すべきかを明確にできます。これにより、各部署やチームが自分たちの利用状況を把握し、コスト意識を持ってAWSを利用するようになります。 3. **予算管理と最適化**: どの部分にコストがかかりすぎているのか、どのプロジェクトが予算内で動いているのかを把握し、無駄な出費を見つけて削減したり、将来の予算計画を立てたりするのに役立ちます。 簡単に言えば、AWSの利用料金を「誰が何のために使っているか」という視点で分類し、**効率的なコスト管理と最適化を実現するための強力なツール**です。

正解: A. AWS Cost Explorer のリソース最適化レコメンデーション機能

正解の根拠・詳細解説

EC2インスタンスの『right-sizing（ライトサイジング）』とは、現在使っているEC2インスタンスのサイズが、実際に必要な性能よりも大きすぎないか（または小さすぎないか）を確認し、最適なサイズに見直すことです。これにより、無駄なコストを節約したり、必要な場合はパフォーマンスを向上させたりできます。 このright-sizingを助けてくれるAWSサービスは主に2つあります。 1. **Cost Explorer（コストエクスプローラー）のリソース最適化レコメンデーション**: * これは、過去14日間のEC2インスタンスの利用状況（CPU使用率など）を分析します。 * もし、インスタンスが必要以上に大きなサイズ（例えば、m5.xlarge）で動いていて、もっと小さなサイズ（例えば、m5.large）でも十分な場合、その変更を提案してくれます。 * さらに、サイズ変更によってどれくらいコストを削減できるか（削減見込み金額）も教えてくれます。 2. **AWS Compute Optimizer（AWS コンピュートオプティマイザー）**: * このサービスも、機械学習（AIの一種）を使って、EC2インスタンスだけでなく、EBSボリュームやLambda関数など、さまざまなAWSリソースの最適なサイズやタイプを提案してくれます。 * より高度な分析を行い、パフォーマンスとコストのバランスを考慮した推奨事項を提供します。 どちらのサービスも、インスタンスの無駄をなくし、効率的にAWSを利用するための強力なツールです。

正解: B. 適切なメモリサイズの設定（メモリ増加で処理時間が短縮されトータルコストが下がる場合がある）と、不要な実行時間を削減するコード最適化

正解の根拠・詳細解説

AWS Lambda関数のコストを最適化する方法についてですね。Lambdaの料金は、主に以下の3つの要素で決まります。 1. **リクエスト数 (Number of requests):** 関数が呼び出された回数。 2. **実行時間 (Duration):** 関数がコードを実行している合計時間（ミリ秒単位で計算）。 3. **メモリ設定 (Memory configuration):** 関数に割り当てられたメモリの量（GB秒で計算）。 重要なポイントは、**メモリ設定を増やすと、その関数が使えるCPUのパワー（vCPU）も自動的に増える**という点です。つまり、メモリを多く割り当てると、関数はより多くの計算能力を得て、**より速く処理を完了できる**ようになります。 一見すると「メモリを増やすと料金が高くなるのでは？」と思うかもしれません。しかし、実行時間が大幅に短縮されれば、**「高いメモリ設定 × 短い実行時間」の合計コストが、「低いメモリ設定 × 長い実行時間」の合計コストよりも安くなる**場合があります。 この最適なバランスを見つけるために、**AWS Lambda Power Tuning**というツールを使うことが非常に有効です。これは、あなたのLambda関数をさまざまなメモリ設定で実行し、どの設定が最もコスト効率が良いか、または最もパフォーマンスが高いかを自動的に分析してくれます。これにより、無駄なコストを削減し、同時にパフォーマンスも向上させることができます。

正解: B. CloudFrontを使用してS3へのリクエストをキャッシュし、オリジンへのリクエスト数を削減する

正解の根拠・詳細解説

Amazon S3は、データストレージだけでなく、データへのアクセス（リクエスト）ごとにも料金が発生します。そのため、多くのユーザーが頻繁に同じS3コンテンツにアクセスすると、リクエスト費用が予想以上に高くなることがあります。 この問題を解決し、S3のリクエストコストを大幅に削減するための最も効果的なアーキテクチャは、**Amazon CloudFront** をS3の前に配置することです。CloudFrontはコンテンツデリバリーネットワーク（CDN）であり、以下のように機能します。 1. **コンテンツのキャッシュ:** CloudFrontは、S3に保存されているコンテンツ（画像、動画、ウェブページなど）を、世界中に分散配置された「エッジロケーション」と呼ばれるデータセンターに一時的に保存します。 2. **ユーザーからのリクエスト:** ユーザーがウェブサイトやアプリケーションを通じてコンテンツをリクエストすると、そのリクエストはまず地理的に最も近いCloudFrontエッジロケーションにルーティングされます。 3. **キャッシュヒット（S3リクエストなし）:** もし、リクエストされたコンテンツが既にCloudFrontのエッジロケーションにキャッシュされていれば、CloudFrontはそのキャッシュから直接ユーザーにコンテンツを提供します。この場合、S3へのアクセスは発生しないため、S3のリクエスト費用はかかりません。 4. **キャッシュミス（S3リクエストあり）:** もし、リクエストされたコンテンツがエッジロケーションにキャッシュされていなければ、CloudFrontはS3（オリジン）にコンテンツをリクエストし、S3からコンテンツを取得します。この時、S3へのリクエスト費用が発生します。CloudFrontは取得したコンテンツをエッジロケーションにキャッシュし、その後ユーザーに提供します。 **CloudFrontを利用するメリット:** * **S3リクエストコストの削減:** ほとんどのリクエストがCloudFrontのキャッシュから処理されるため、S3への直接のリクエスト数が劇的に減り、結果としてS3のリクエスト費用が大幅に削減されます。 * **データ転送コストの削減:** CloudFront経由でのS3からのデータ転送は、特定の無料利用枠があり、S3から直接転送するよりもコスト効率が良い場合が多いです。 * **パフォーマンスの向上:** コンテンツがユーザーに近いエッジロケーションから配信されるため、データ転送の遅延（レイテンシ）が減り、ウェブサイトやアプリケーションの表示速度が向上し、ユーザーエクスペリエンスが改善されます。 * **セキュリティの強化:** AWS ShieldやAWS WAFと連携することで、DDoS攻撃などからコンテンツを保護することも可能です。 このように、CloudFrontを導入することで、S3のリクエストコストだけでなく、データ転送コストやユーザーエクスペリエンスも同時に最適化できるため、S3コンテンツ配信の標準的なベストプラクティスとされています。

正解: B. 複数アカウントの使用量を合算してボリュームディスカウントを受けられ、未使用のRIやSavings Plansを組織全体で共有できる

正解の根拠・詳細解説

AWS Organizationsの統合請求（Consolidated Billing）は、複数のAWSアカウントの請求を一つにまとめる機能です。これにより、組織全体のコストを最適化し、主に以下の2つの方法で費用を削減できます。 1. **ボリュームディスカウントの適用:** AWSのサービス（S3ストレージやEC2利用など）は、利用量が増えるほど単価が安くなる「ボリュームディスカウント」という仕組みがあります。統合請求を使うと、組織内のすべてのアカウントの利用量が合算されるため、個々のアカウントでは到達しにくい高い利用量レベルに達しやすくなり、より大きな割引が適用されます。 2. **リザーブドインスタンス（RI）やSavings Plansの共有:** あるアカウントで購入した未使用のリザーブドインスタンスやSavings Plans（前払いまたは長期契約で割引を受ける仕組み）は、組織内の他のアカウントのEC2などの利用量に自動的に適用されます。これにより、購入した割引プランが無駄になることなく、組織全体で最大限に活用され、コスト効率が向上します。

正解: B. 開発・テスト環境ではAurora Serverlessを使用し、本番環境では使用パターンに合ったRIを購入する

正解の根拠・詳細解説

Amazon RDSのコストを削減するための主な方法をいくつかご紹介します。 1. **Aurora Serverless v2の活用（開発・テスト環境向け）:** * このオプションは、特に開発環境やテスト環境のように、データベースが常に稼働しているわけではない場合に非常に効果的です。 * Aurora Serverless v2は、データベースの利用状況に応じて自動的に容量を増減させ、使われていないアイドル時にはほぼゼロまでスケールダウンするため、使った分だけ支払う「従量課金」モデルでコストを最小限に抑えることができます。 2. **リザーブドインスタンス (RI) の購入（本番環境向け）:** * 本番環境のように、データベースが継続的に稼働し、負荷が予測できる場合は、リザーブドインスタンス（Reserved Instances: RI）の購入を検討しましょう。 * これは、1年間または3年間の利用を事前にコミット（予約）することで、オンデマンド料金と比較して最大42%の大幅な割引を受けることができる仕組みです。長期的な利用が見込まれる場合に非常に有効です。 3. **リードレプリカの活用による読み取り処理の分散:** * データベースへの読み取りリクエストが多い場合、リードレプリカ（読み取り専用の複製データベース）を作成し、読み取り処理を分散させることができます。 * これにより、メインのデータベース（プライマリインスタンス）の負荷が軽減され、より小さなインスタンスタイプで済ませることが可能になったり、パフォーマンスを維持しつつスケールアップの必要性を減らしたりできるため、全体的なコスト削減につながります。 4. **適切なインスタンスサイズの選択:** * データベースのワークロード（処理量）に合った最適なインスタンスサイズを選ぶことが重要です。必要以上に大きなインスタンスを選ぶと、その分コストがかさみます。 * 定期的にパフォーマンスを監視し、CPU、メモリ、IOPSなどの利用状況に基づいて、適切なサイズに調整しましょう。 5. **不要なMulti-AZの廃止（開発・テスト環境向け）:** * Multi-AZ（マルチアベイラビリティゾーン）は、データベースの高可用性（障害耐性）を高めるための機能で、異なるアベイラビリティゾーンにスタンバイインスタンスを作成します。 * しかし、開発環境やテスト環境のように、高可用性が最優先ではない場合は、このMulti-AZ設定を無効にすることで、スタンバイインスタンス分のコストを削減できます。本番環境では通常、高可用性のためにMulti-AZが推奨されます。

正解: B. Auto Scalingグループでオンデマンドとスポットインスタンスを組み合わせ、コストを削減しながら可用性を維持すること

正解の根拠・詳細解説

AWSの「混合フリート（Mixed Instance Fleet）」とは、コストを最適化しつつ安定性を保つために、様々な種類のEC2インスタンス（仮想サーバー）を組み合わせて利用する方法です。 具体的には、Auto Scalingグループの「Mixed Instance Policy（混合インスタンスポリシー）」という機能を使います。このポリシーでは、以下のようにインスタンスを組み合わせます。 1. **安定した基盤（ベースキャパシティ）**: 常に稼働させたい最低限のサーバーは、通常の「オンデマンドインスタンス」で確保します。オンデマンドインスタンスは、使った分だけ料金を払う一般的なサーバーで、いつでも利用でき、サービスが中断される心配がありません。 2. **コスト効率の良い追加分（追加キャパシティ）**: 急なアクセス増加など、追加で必要になるサーバーは、非常に安価な「スポットインスタンス」でまかないます。スポットインスタンスは、AWSの余っているリソースを格安で借りるものですが、AWS側の都合でいつでも停止される可能性があります。 さらに、スポットインスタンスを調達する際に、複数のインスタンスタイプ（例：t3.medium, m5.largeなど）や、複数のアベイラビリティゾーン（AZ：データセンターの場所）から柔軟に選ぶように設定できます。これにより、もしある種類のスポットインスタンスが停止されても、別の種類や別の場所のインスタンスが使えるため、サービスが中断されるリスクを分散させながら、大幅なコスト削減を実現できます。 要するに、安定性を確保しつつ、最大限にコストを節約するための賢いインスタンスの組み合わせ方です。

正解: B. バケットへのリクエストとデータ転送コストをバケットオーナーではなくリクエスト元が支払う設定で、大規模なデータ共有シナリオに使用

正解の根拠・詳細解説

S3の「リクエスト支払い（Requester Pays）」機能とは、S3バケットに保存されているデータにアクセスする際にかかる費用（データのダウンロード料金やリクエスト処理料金など）を、通常通りバケットの持ち主（オーナー）が支払うのではなく、そのデータにアクセスしようとしている利用者（リクエスト元）が支払う仕組みです。 通常、S3バケットのデータにアクセスする費用はバケットのオーナーが負担します。しかし、Requester Paysを有効にすると、例えば、誰でも利用できる非常に大規模な公開データセット（気象データ、ゲノムデータ、衛星画像など）を提供する場合に、データ提供者（オーナー）が膨大なダウンロード費用を負担することなく、利用者が自身のAWSアカウントで費用を支払ってデータを取得できるようになります。 利用者がこの機能を使ってデータにアクセスするには、AWSアカウントを持っており、リクエスト時に「私が費用を支払います」という意思表示をする必要があります。これにより、バケットオーナーはデータ提供に集中でき、費用負担を利用者に移転できるため、特に多くの人が利用する公開データや、社内の異なる部署間でコストを明確に分けたい場合に非常に役立ちます。

正解: B. インターネットへのアウトバウンドデータ転送には課金され、VPCエンドポイント使用でNAT Gatewayへのデータ転送コストを削減できる

正解の根拠・詳細解説

AWSでのデータ転送コストは、どこからどこへ、どのようにデータを移動させるかによって大きく変わります。基本的なルールと、コストを削減するためのポイントを理解しましょう。 **データ転送の基本的なルール:** 1. **AWSへのデータ取り込み（インバウンド）はほとんど無料です。** * 例: S3バケットにファイルをアップロードする場合など。 2. **AWSからインターネットへのデータ送信（アウトバウンド）は課金されます。** * これは通常、最も高価なデータ転送であり、コスト削減の大きなポイントになります。 * ただし、多くの場合、毎月最初の1GBは無料枠があります。 3. **AWSサービス間でのデータ転送も、場所によって課金されます。** * **同一アベイラビリティゾーン (AZ) 内のEC2インスタンス間**: 無料です。 * **異なるアベイラビリティゾーン (AZ) 間 (同じリージョン内)**: 課金されます。AZをまたぐとネットワーク費用が発生します。 **データ転送コストを削減するための重要なポイント:** * **VPCエンドポイント (ゲートウェイ型) の活用**: * VPC内のプライベートなEC2インスタンスなどからS3やDynamoDBにアクセスする場合、通常はインターネットゲートウェイやNATゲートウェイを経由してアクセスします。NATゲートウェイはデータ処理量に応じて課金されるため、これがコスト増の原因になることがあります。 * **VPCエンドポイント (ゲートウェイ型)** を使用すると、NATゲートウェイを経由せず、AWSのプライベートネットワーク内でS3やDynamoDBに直接アクセスできます。これにより、NATゲートウェイのデータ処理費用を削減でき、S3/DynamoDBへのデータ転送自体も無料になります。 * **CloudFront (CDN) の活用**: * S3に保存されたコンテンツ（画像、動画、ウェブサイトなど）を世界中のユーザーに配信する場合、S3から直接インターネットに転送すると、S3からのアウトバウンド費用がかかります。 * **CloudFront** (AWSのコンテンツデリバリーネットワーク) を利用すると、以下のメリットがあります。 * **S3からCloudFrontへのデータ転送は無料です。** * CloudFrontは世界中に分散されたキャッシュサーバー (エッジロケーション) を持ち、ユーザーに最も近い場所からコンテンツを配信します。これにより、ユーザーへの配信速度が向上します。 * CloudFrontからユーザーへのデータ転送は課金されますが、多くの場合、S3から直接インターネットに転送するよりもコスト効率が良い場合があります（特に大量のデータを配信する場合）。また、キャッシュが効くことでS3へのリクエスト回数も減らせます。 これらのポイントを理解し、適切なアーキテクチャを選択することで、AWSでのデータ転送コストを効果的に削減できます。

正解: B. 機械学習を使用してEC2・Lambda・EBSの過去の使用メトリクスを分析し、適切なリソースサイズの推奨事項を提供する

正解の根拠・詳細解説

AWS Compute Optimizerは、あなたのAWS環境で動いているサーバー（EC2インスタンス）、サーバー群（Auto Scalingグループ内のEC2）、データ保存領域（EBSボリューム）、そしてサーバーレス機能（Lambda関数）といった様々なリソースが、**本当に必要な性能やサイズで動いているか**を賢くチェックしてくれるサービスです。 具体的には、過去14日間の利用状況データ（CloudWatchメトリクス）を詳しく分析します。もし、リソースが「過剰プロビジョニング」（つまり、必要以上に大きなサイズや高性能な設定で動いていて、能力を使い切れていない状態）であることが分かれば、「もっと小さいサイズで十分ですよ」といった最適な設定変更を**推奨**してくれます。 この推奨に従ってリソースを調整することで、**無駄なコストを削減**できるだけでなく、リソースの利用効率が上がり、**システムのパフォーマンスも改善**される可能性があります。まるで、無駄遣いをなくしてお財布にも優しく、かつ効率的な使い方を教えてくれるコンサルタントのような役割を果たすツールです。

正解: B. 複数のインスタンスタイプ・AZのスポットインスタンスと必要に応じてオンデマンドインスタンスを組み合わせ、目標キャパシティを維持しながらコストを最小化する

正解の根拠・詳細解説

「スポットインスタンス」は、AWSの余っているサーバーリソースを非常に安価に借りられるサービスです。ただし、AWSの都合で突然そのサーバーが使えなくなる（中断される）可能性がある、という特徴があります。 「Spot Fleet（スポットフリート）」は、このスポットインスタンスを上手に、そして効率的に利用するための機能です。 具体的には、Spot Fleetは以下のことを自動で行ってくれます。 1. **複数の候補から最適なものを選択**: 様々な種類のスポットインスタンス（例えば、異なるスペックのEC2インスタンスや、異なるアベイラビリティゾーンにあるインスタンス）を「プール」として登録しておくと、その中から**最も安く、かつ利用可能なインスタンスの組み合わせ**を自動で選んで起動します。 2. **目標台数を維持**: あなたが「サーバーを合計で〇台動かしたい」という『目標キャパシティ』を設定すると、Spot Fleetはその台数を維持しようとします。 3. **中断時の自動補充**: もし起動中のスポットインスタンスがAWSの都合で中断されてしまっても、Spot Fleetはすぐに他の利用可能なプールから新しいインスタンスを自動的に探し出し、起動して補充します。 4. **リスク分散（Diversified戦略）**: 特に『Diversified戦略（分散戦略）』を使うと、複数の種類のインスタンスやアベイラビリティゾーンに分散してインスタンスを配置するため、どれか一つのインスタンスタイプやゾーンで中断が発生しても、全体への影響を最小限に抑え、中断されるリスクをさらに減らすことができます。 これにより、大量のコンピューティングリソースを非常にコスト効率良く利用しながら、スポットインスタンスの中断による影響を少なくし、安定した運用を目指すことができます。

正解: B. CURは詳細な使用量・コストデータをS3に保存するCSV/Parquetレポート（BIツールやAthenaで分析用）、Cost ExplorerはマネジメントコンソールのビジュアルUIで分析するサービス

正解の根拠・詳細解説

AWS CURはアカウントの使用量・コストを最も詳細な粒度（リソースID別・時間別）でS3にエクスポートします。AthenaやQuickSight等のBIツールで大規模な分析に使用します。Cost Explorerはより使いやすいUIで素早いコスト分析に適しています。高度なカスタム分析はCUR+Athena、日常的な分析はCost Explorerという使い分けが一般的です。

正解: C. 大容量取り出し（Bulk）：5〜12時間（最低コスト）

正解の根拠・詳細解説

Glacier Flexible Retrievalには3つの取り出し層があります。高速（Expedited）：1〜5分・最高コスト。標準（Standard）：3〜5時間・中コスト。大容量（Bulk）：5〜12時間・最低コスト（ペタバイト規模の大量取り出しに最適）。Glacier Instant Retrievalはミリ秒アクセスだが異なるストレージクラスです。

正解: B. 1年または3年のリザーブドインスタンス（または相当のSavings Plans）

正解の根拠・詳細解説

24/7稼働する安定したワークロードには、RIまたはSavings Plansで最大72%割引を受けることが最もコスト効率が高いです。スポットインスタンスはさらに安いですが、中断の可能性があるため耐障害性が必要です。Dedicated Hostsはライセンスコンプライアンスや規制要件がある場合に使用します。

正解: B. Compute Savings Plans（最大66%・最も柔軟）・EC2 Instance Savings Plans（最大72%・特定ファミリー縛り）・SageMaker Savings Plansの3種類

正解の根拠・詳細解説

Savings Plansには3種類あります。1）Compute Savings Plans：EC2・Fargate・Lambdaに適用、インスタンスファミリー・リージョン・OS問わず最大66%割引。2）EC2 Instance Savings Plans：特定リージョンのEC2インスタンスファミリー限定で最大72%割引。3）SageMaker Savings Plans：SageMakerのMLインスタンスに最大64%割引。

正解: B. 使用量の計測・タグ付けによるコスト可視化・不使用リソースの削除・適切な価格モデル選択・マネージドサービスの活用

正解の根拠・詳細解説

Well-Architected Frameworkのコスト最適化の柱の主要プラクティス：1）コストを認識するためのクラウド財務管理の実践、2）需要と供給の一致（Auto Scaling活用）、3）費用対効果の高いリソース選択、4）不要なコストの管理と削減、5）時間経過に伴う最適化の継続実施。タグによるコスト可視化とRight-sizingが基本です。