第1回 問題集（アクセス管理・データ保護）

正解: B. Amazon GuardDuty

正解の根拠・詳細解説

Amazon GuardDutyはVPC Flow Logs・DNSログ・CloudTrailイベントなどを継続的に分析し、機械学習を用いて不審なアクティビティや既知の脅威パターンを検知するマネージド型脅威検出サービスです。

正解: A. AWS Security Hub

正解の根拠・詳細解説

AWS Security HubはGuardDuty・Inspector・Macieなど複数のサービスからの検出結果を集約し、セキュリティ標準への準拠状況とともに一元的に可視化・優先順位付けするサービスです。

正解: A. Amazon Macie

正解の根拠・詳細解説

Amazon Macieは機械学習とパターンマッチングを使い、S3に保存されたデータの中からPIIなどの機密情報を自動的に発見・分類するサービスです。

正解: B. 組織の証跡（Organization trail）を作成し、管理アカウントから全メンバーアカウントのイベントを記録する

正解の根拠・詳細解説

管理アカウントから組織の証跡（Organization trail）を作成することで、すべてのメンバーアカウントのAPIアクティビティを一元的かつ一貫して記録できます。

正解: A. Amazon Security Lake

正解の根拠・詳細解説

Amazon Security LakeはOCSF（Open Cybersecurity Schema Framework）形式でログを正規化し、複数ソースのセキュリティデータを一元的なデータレイクに集約・保存するために設計されたサービスです。

正解: A. ログデータに対してクエリ言語を使い、パターン検索や集計分析を行うため

正解の根拠・詳細解説

CloudWatch Logs Insightsは専用のクエリ構文を使ってログデータを検索・フィルタリング・集計し、セキュリティイベントの調査やパフォーマンス分析を行うための機能です。

正解: A. VPC Flow Logs

正解の根拠・詳細解説

VPC Flow LogsはVPC内のネットワークインターフェースを通過するトラフィックのメタデータを記録し、不審な通信の検知やトラブルシューティングに利用されます。

正解: A. DNSクエリの送信元やクエリ内容を記録し、不審なドメインへのアクセスなどを検出するため

正解の根拠・詳細解説

Route 53 Resolver クエリログはVPC内のリソースが行ったDNSクエリを記録し、マルウェアの通信先となる不審なドメインへのアクセスなどを検出する材料として活用できます。

正解: A. SQLクエリを使って大量のログデータをサーバーレスでスキャン・分析できる

正解の根拠・詳細解説

Amazon AthenaはS3に保存されたデータに対して標準SQLでサーバーレスにクエリを実行できるサービスで、大量のCloudTrailログを効率的に分析するのに適しています。

正解: A. 複数のAWS Configルールをテンプレート化し、組織全体に一貫したコンプライアンスチェックを展開するため

正解の根拠・詳細解説

Conformance packsは複数のAWS Configルールと修復アクションをひとまとめにしたテンプレートで、複数アカウント・リージョンに一貫したガバナンスルールを展開するために使われます。

正解: A. 関数の実行ロールにCloudWatch Logsへの書き込み権限が付与されているか

正解の根拠・詳細解説

Lambda関数がCloudWatch Logsにログを出力するには、実行ロールにlogs:CreateLogGroupやlogs:PutLogEventsなどの権限が必要です。ロギングの不具合ではまずIAM権限を確認します。

正解: A. APIへのリクエスト・レスポンスの詳細を記録し、トラブルシューティングやセキュリティ監査に活用するため

正解の根拠・詳細解説

API Gatewayの実行ログ・アクセスログを有効にすることで、リクエストの詳細、エラー、レイテンシなどを記録し、問題調査やセキュリティ監査の証跡として利用できます。

正解: A. 特定IPアドレスからの異常なリクエスト頻度や、想定外のオリジンへのアクセス

正解の根拠・詳細解説

CloudFrontのアクセスログには各リクエストの送信元IP・URI・レスポンスステータスなどが記録され、異常な頻度のアクセスや不審なパターンを検出する材料になります。

正解: A. エージェントの設定ファイル（agent configuration）のログパスやIAM権限の指定誤り

正解の根拠・詳細解説

CloudWatch Agentのログ収集トラブルでは、設定ファイルで指定したログファイルパスの誤りや、エージェントが使用するIAMロールに必要な権限（CloudWatch Logsへの書き込みなど）が不足していることが典型的な原因です。

正解: A. 大量のログデータを取り込み、全文検索やダッシュボードによる可視化を行えるため

正解の根拠・詳細解説

Amazon OpenSearch Serviceはログやイベントデータを取り込んで全文検索・可視化（Kibana/OpenSearch Dashboards）を行うのに適しており、セキュリティイベントの相関分析に活用されます。

正解: A. インスタンスの設定状態を定義したベースラインと比較し、ドリフトを検知・修正する自動化

正解の根拠・詳細解説

State Managerはインスタンスの状態（パッチレベル、設定ファイルなど）を定義したベースラインに従って維持・修正する機能で、定期的な評価と自動修復によりセキュリティポスチャを一定に保てます。

正解: A. 保護すべき資産とビジネス上の重要度を特定し、それに応じた監視・アラートのしきい値を設計する

正解の根拠・詳細解説

効果的なモニタリング設計では、まず資産の重要度やリスクプロファイルを把握し、それに応じてアラートのしきい値や監視対象を優先順位付けすることが重要です。

正解: A. Security LakeやOpenSearch、Lambdaなどを組み合わせてログを正規化・統合するパイプラインを構築する

正解の根拠・詳細解説

複数ソースからのログをOCSF形式などで正規化し、Security LakeやOpenSearch、Lambdaによる変換処理を組み合わせることで、統合的な分析パイプラインを構築できます。

正解: A. 対応の優先順位を判断し、緊急性の高い脅威から先に対処するため

正解の根拠・詳細解説

GuardDutyの検出結果には重大度（Low/Medium/High）が付与され、これを基にどの検出結果から優先的に調査・対応すべきかを判断します。

正解: A. インシデント発生時に迅速かつ一貫した手順で対応できるようにするため

正解の根拠・詳細解説

事前にランブック（対応手順書）を整備しておくことで、インシデント発生時に担当者がパニックにならず、一貫した手順で迅速に対応できるようになります。

正解: A. 運用上の問題やインシデントに関する情報を一元的に集約し、関連するリソースやランブックと紐づけて管理できる

正解の根拠・詳細解説

OpsCenterは運用上の課題（OpsItem）を一元的に集約・管理し、関連するリソース、CloudWatchアラーム、ランブックなどと紐づけてインシデント対応を効率化するための機能です。

正解: A. 大規模なDDoS攻撃に対する高度な保護と、専門チームによる対応支援を受けられるようにするため

正解の根拠・詳細解説

AWS Shield Advancedは標準のDDoS保護に加え、より高度な攻撃の検知・自動緩和、AWS DDoS Response Team（DRT）によるサポートを提供し、インシエント発生前の備えとして導入されます。

正解: A. AWS Fault Injection Service

正解の根拠・詳細解説

AWS Fault Injection Service（FIS）は意図的に障害を注入する実験を実施でき、インシデント対応プランや復旧手順が実際に機能するかを事前に検証するために活用されます。

正解: A. アプリケーションの復旧目標（RTO/RPO）に対する耐障害性を評価し、改善提案を得るため

正解の根拠・詳細解説

AWS Resilience Hubはアプリケーションの構成を分析し、設定したRTO/RPOの目標に対する耐障害性を評価し、改善のための推奨事項を提示するサービスです。

正解: A. 侵害が疑われるEC2インスタンスに対し、証拠保全や隔離などのフォレンジック対応を自動化するため

正解の根拠・詳細解説

このソリューションは侵害が疑われるEC2インスタンスのスナップショット取得、メモリダンプ、ネットワーク隔離などのフォレンジック対応ワークフローを自動化するために設計されています。

正解: A. 複数のステップからなる対応フローを順序立てて自動的に実行できる

正解の根拠・詳細解説

Step Functionsで対応フローをステートマシンとして定義し、各ステップでLambda関数を呼び出すことで、検知から隔離・通知までの一連の対応を自動化・オーケストレーションできます。

正解: A. アプリケーションのリージョン間・AZ間でのフェイルオーバーを管理し、復旧の信頼性を高める

正解の根拠・詳細解説

Application Recovery Controllerはアプリケーションのリージョンやリソースの可用性を監視し、フェイルオーバーの判断・実行を支援することで、災害復旧やインシデント対応時の信頼性を高めます。

正解: A. 関連するシステムログ、アプリケーションログ、メモリダンプなどの証拠となる情報

正解の根拠・詳細解説

インシデント対応では、後の根本原因分析や法的対応のために、関連するシステムログ・アプリケーションログ・必要に応じてメモリダンプなどを適切に保全することが重要です。

正解: A. CloudWatch Logs InsightsやAthena、Security Lakeを使ってログを横断的に検索・分析する

正解の根拠・詳細解説

CloudWatch Logs Insights、Athena、Security Lakeなどのツールを組み合わせることで、複数サービス・複数アカウントにまたがるログを横断的に検索・相関させ、インシデントの全体像を把握できます。

正解: A. 誤検知（false positive）を除外し、実際の影響範囲と重大度を正確に把握するため

正解の根拠・詳細解説

GuardDutyなどの検出結果には誤検知が含まれる可能性があるため、実際にインシデントとして対応すべきかどうかを検証し、影響範囲と重大度を正確に評価することが重要です。

正解: A. 攻撃の拡大やデータの持ち出しを防ぎ、被害の範囲を限定するため

正解の根拠・詳細解説

侵害が疑われるリソースをセキュリティグループの変更や隔離用VPCへの移動などでネットワーク的に隔離することで、攻撃の横展開やデータの持ち出しといった被害の拡大を防ぎます。

正解: A. 復旧対象のバックアップが汚染されていない、安全な時点のものであることを確認する

正解の根拠・詳細解説

ランサムウェアなどの侵害の場合、汚染されたデータをそのまま復旧してしまうリスクがあるため、リストア前にバックアップが安全な時点のものであることを確認する必要があります。

正解: A. GuardDutyなどの検出結果に関連するエンティティ間の関係性を可視化し、根本原因分析を支援するため

正解の根拠・詳細解説

Amazon Detectiveはログデータを自動的に集約・グラフ化し、GuardDutyなどの検出結果に関連するリソースやアクティビティの関係性を可視化することで、インシデントの根本原因分析を支援します。

正解: A. 1つのリソースやアカウントが侵害された場合の影響を限定し、被害の拡大を防ぐため

正解の根拠・詳細解説

マルチアカウント戦略やネットワークセグメンテーションなどでblast radius（影響範囲）を事前に小さく設計しておくことで、万が一の侵害が発生した場合でも被害を局所化できます。

正解: A. 再発防止のために、インシデントの直接的・間接的な原因を特定し対策を講じるため

正解の根拠・詳細解説

根本原因分析は単に何が起きたかだけでなく、なぜそれが起きたか（設定ミス、プロセスの欠陥など）を特定し、再発防止策を講じるために実施されます。

正解: A. AWS WAF

正解の根拠・詳細解説

AWS WAFはCloudFrontやALBの前面に配置し、OWASP Top 10に挙げられるSQLインジェクションやXSSなどの一般的なWebアプリケーション攻撃をルールベースでブロックするために使用します。

正解: A. クライアント側でのブラウザセキュリティ機能を強化し、クリックジャッキングやMIMEスニッフィングなどの攻撃リスクを低減するため

正解の根拠・詳細解説

Strict-Transport-SecurityやX-Content-Type-Optionsなどのセキュリティヘッダーをレスポンスに付与することで、ブラウザ側のセキュリティ機能を活用し、様々なクライアントサイド攻撃のリスクを低減できます。

正解: A. 許可されていないオリジンからのリクエストを制限し、不正なクロスドメインアクセスを防ぐため

正解の根拠・詳細解説

CORS設定により、どのオリジン（ドメイン）からのブラウザベースのリクエストを許可するかを制御し、意図しないクロスドメインアクセスによるデータ漏洩などのリスクを低減します。

正解: A. 地理的マッチ条件（Geo match）

正解の根拠・詳細解説

AWS WAFの地理的マッチ条件（Geo match）を使うことで、特定の国・地域からのリクエストを許可または拒否するルールを設定できます。

正解: A. 特定のIPアドレスからの異常に高頻度なリクエストを検知し、ブロックするため

正解の根拠・詳細解説

レート制限ルールは一定時間内に同一IPアドレスから送られるリクエスト数の上限を設定し、それを超えた場合にブロックすることで、ブルートフォース攻撃やDoS的な挙動を緩和します。

正解: A. 異なるベンダーやサービスのセキュリティデータを標準化されたスキーマで統合・分析しやすくする

正解の根拠・詳細解説

OCSF（Open Cybersecurity Schema Framework）はセキュリティデータを標準化されたスキーマで表現するためのオープンな仕様で、異なるツール・ベンダー間でのデータ統合・相関分析を容易にします。

正解: A. 不要なサービス・ポートを無効化し、攻撃対象領域（attack surface）を減らすため

正解の根拠・詳細解説

ハードニングとは不要なソフトウェア、サービス、ポートなどを無効化・削除し、攻撃者が悪用できる攻撃対象領域を最小化するセキュリティ強化作業です。

正解: A. セキュリティパッチや必要なソフトウェアを組み込んだAMIを自動的かつ一貫してビルド・管理できる

正解の根拠・詳細解説

EC2 Image Builderはパッチ適用済み・ハードニング済みのゴールデンAMIやコンテナイメージを自動的にビルド・テスト・配布するパイプラインを構築できるサービスです。

正解: A. インスタンス上で実行されるアプリケーションが、認証情報をハードコードせずにAWS APIを呼び出せるようにするため

正解の根拠・詳細解説

インスタンスプロファイルを通じてIAMロールをEC2インスタンスに関連付けることで、インスタンス上のアプリケーションは認証情報をハードコードすることなく、一時的な認証情報を使ってAWS APIを安全に呼び出せます。

正解: A. 既知の脆弱性（CVE）の有無を自動的に検出し、リスクを可視化するため

正解の根拠・詳細解説

Amazon Inspectorはコンテナイメージ、Lambda関数、EC2インスタンスを継続的にスキャンし、既知の脆弱性（CVE）やネットワーク到達可能性の問題を自動的に検出します。

正解: A. 多数のインスタンスに対するOS・ソフトウェアパッチの適用を自動化し、一貫したパッチ適用状況を維持できる

正解の根拠・詳細解説

Patch Managerは多数のマネージドインスタンスに対してパッチベースラインに基づいたパッチ適用を自動化し、パッチ適用状況を一元的に管理・レポートできます。

正解: A. SSHキーの管理やインバウンドポートの開放が不要になり、セキュアな管理アクセスを実現できる

正解の根拠・詳細解説

Session ManagerはSSH/RDPポートを開放せずに、IAM権限に基づいたセキュアなシェルアクセスをブラウザやCLIから提供するため、踏み台サーバーや鍵管理の運用負荷を減らせます。

正解: A. アプリケーションコードのセキュリティ脆弱性を自動的に検出し、デプロイ前に修正を促すため

正解の根拠・詳細解説

Amazon CodeGuru Securityは静的解析によってコード内のセキュリティ脆弱性（インジェクション、ハードコードされた認証情報など）を検出し、CI/CDパイプラインに組み込むことでデプロイ前の修正を促します。

正解: A. プロンプトインジェクションや機密情報の漏洩など、LLM特有の脆弱性に対する防御を組み込むため

正解の根拠・詳細解説

GenAI OWASP Top 10はプロンプトインジェクション、機密情報の漏洩、モデルの誤用などLLMアプリケーション特有のリスクを整理したガイドラインで、これに基づいたガードレールの実装が推奨されます。

正解: A. セキュリティグループはステートフルでインスタンスレベル、NACLはステートレスでサブネットレベルの制御を行う

正解の根拠・詳細解説

セキュリティグループはステートフル（戻りの通信を自動許可）でインスタンス（ENI）レベルに適用され、NACLはステートレスでサブネットレベルの通信を制御する点が大きな違いです。

正解: A. VPCレベルでステートフルな検査やドメインフィルタリング、侵入防止のルールを適用できる

正解の根拠・詳細解説

AWS Network FirewallはVPCトラフィックに対してステートフルなパケット検査、侵入防止システム（IPS）ルール、ドメインベースのフィルタリングなどの高度なネットワーク保護を提供します。

正解: A. AWS Direct ConnectとMACsec暗号化

正解の根拠・詳細解説

AWS Direct Connectは専用線による低レイテンシ接続を提供し、MACsec（MAC Security）を組み合わせることでレイヤー2レベルでの暗号化を実現し、ハイブリッド環境間の通信を保護できます。

正解: A. VPNを使わずに、デバイスやユーザーのコンテキストに基づいたゼロトラストアクセスを社内アプリケーションに提供するため

正解の根拠・詳細解説

AWS Verified AccessはVPN接続を必要とせずに、ユーザーIDやデバイスのセキュリティ状態などのコンテキスト情報に基づいてアプリケーションへのアクセスを評価・許可するゼロトラストネットワークアクセスを実現します。

正解: A. 内部ネットワーク内での水平移動（lateral movement）による被害拡大を防ぐため

正解の根拠・詳細解説

east/west（内部リソース間）のトラフィックを適切にセグメンテーション・監視することで、一部が侵害された場合でも内部ネットワーク内での水平移動（lateral movement）による被害の拡大を防ぐことができます。

正解: A. 意図しないネットワークパス（過度に広いアクセス経路）を特定し、設計上の問題を発見するため

正解の根拠・詳細解説

Network Access Analyzerはネットワーク構成を分析し、意図した通信経路の定義に対して、想定外の到達可能性（過度に広いアクセスパスなど）がないかを特定するために使用します。

正解: A. インターネットなど想定外の経路からリソースに到達可能であるかどうか

正解の根拠・詳細解説

Inspectorのネットワーク到達可能性の検出機能は、EC2インスタンスなどがインターネットや想定外のネットワークパスから到達可能な状態になっていないかを分析し、設定ミスによる露出を発見するのに役立ちます。

正解: A. 特定の脆弱性カテゴリやベンダー独自の脅威インテリジェンスに基づく追加の保護を迅速に適用できる

正解の根拠・詳細解説

AWS WAF Marketplaceなどで提供されるサードパーティのマネージドルールグループを統合することで、独自に開発せずとも特定の脅威カテゴリに対する保護を迅速に追加できます。

正解: A. AWS IAM Identity Center

正解の根拠・詳細解説

AWS IAM Identity Center（旧AWS SSO）は複数のAWSアカウントやアプリケーションへのシングルサインオンを一元的に管理するためのサービスで、組織内の人間のユーザー認証に推奨されます。

正解: A. Amazon Cognito

正解の根拠・詳細解説

Amazon Cognitoはモバイル・WebアプリケーションのエンドユーザーIDを管理するためのサービスで、ユーザープールによる認証とIDプールによる一時的なAWS認証情報の付与をサポートします。

正解: A. パスワードが漏洩した場合でも、追加の認証要素により不正アクセスのリスクを低減するため

正解の根拠・詳細解説

MFAはパスワード（知っているもの）に加えてワンタイムコードや物理デバイス（持っているもの）など追加の認証要素を要求することで、パスワード漏洩時の不正アクセスリスクを大幅に低減します。

正解: A. 既存の企業ディレクトリの認証情報を使ってAWSリソースにアクセスでき、IAMユーザーを個別に作成する必要がなくなる

正解の根拠・詳細解説

SAMLやOIDCベースのIdPフェデレーションを利用することで、企業の既存ディレクトリ（Active Directoryなど）の認証情報を使ってAWSへの一時的なアクセスを許可でき、IAMユーザーの個別管理が不要になります。

正解: A. 長期間有効な認証情報の漏洩リスクを減らし、有効期限付きのアクセスを実現できる

正解の根拠・詳細解説

AWS STS（Security Token Service）はAssumeRoleなどを通じて有効期限付きの一時的な認証情報を発行し、長期間有効なアクセスキーの漏洩リスクを低減します。

正解: A. S3 署名付きURL（presigned URL）

正解の根拠・詳細解説

S3の署名付きURLは指定した有効期限の間だけ、特定のオブジェクトへの一時的なアクセスを許可するURLを生成する仕組みで、認証情報を共有せずに限定的なアクセスを提供できます。

正解: A. CloudTrailのログとCognitoのイベントログ、アプリクライアントの設定

正解の根拠・詳細解説

Cognitoの認証トラブルでは、CloudTrailの記録やCognito自体のログ、ユーザープール/アプリクライアントの設定（許可されたフローやコールバックURLなど）を確認することが一般的なアプローチです。

正解: A. パーミッションセットの割り当て状況と、それにアタッチされているポリシーの内容

正解の根拠・詳細解説

IAM Identity Centerでのアクセス不具合では、ユーザー/グループへのパーミッションセットの割り当て状況、パーミッションセットにアタッチされたポリシーの内容を確認することが基本的な調査手順です。

正解: A. アプリケーション内できめ細かい権限管理を実装するための、ポリシーベースの認可サービスとして利用するため

正解の根拠・詳細解説

AWS Verified PermissionsはCedarポリシー言語を使ってアプリケーション内のきめ細かい認可ロジック（誰が何にアクセスできるか）を外部化して管理できるサービスです。

正解: A. 多数のロールを論理的に整理し、パスに基づいたアクセス制御ポリシーを適用しやすくするため

正解の根拠・詳細解説

IAMロールやユーザーにパスを設定することで、組織やチームごとに論理的にリソースを整理し、パスのプレフィックスに基づいたIAMポリシーの条件付け（aws:PrincipalPathなど）を適用しやすくなります。

正解: A. AWS外（オンプレミスなど）のワークロードがX.509証明書を使ってIAMロールの一時的な認証情報を取得できるようにするため

正解の根拠・詳細解説

IAM Roles AnywhereはAWS外部のサーバーやデバイスが、信頼されたCAが発行したX.509証明書を使ってIAMロールを引き受け、一時的なAWS認証情報を取得できるようにする機能です。

正解: A. リソースベースのポリシーやロールの信頼ポリシー（trust policy）

正解の根拠・詳細解説

クロスアカウントアクセスはS3バケットポリシーなどのリソースベースのポリシーや、IAMロールの信頼ポリシー（どのプリンシパルがそのロールをAssumeできるか）を設定することで実現します。

正解: A. リソースやプリンシパルに付与されたタグなどの属性に基づいて、動的にアクセス許可を判断する

正解の根拠・詳細解説

ABAC（属性ベースアクセス制御）はIAMプリンシパルやリソースに付与されたタグ（属性）を使ってポリシー条件を評価し、動的かつスケーラブルなアクセス制御を実現する手法です。

正解: A. パーミッションバウンダリーとセッションポリシーを使い、許可される権限の上限を制限する

正解の根拠・詳細解説

パーミッションバウンダリーはIAMエンティティが持てる権限の上限を設定し、セッションポリシーは一時的なセッションで使える権限をさらに制限することで、最小権限の原則の実装を支援します。

正解: A. 実際にアクションを実行せずに、特定のIAMポリシーがリクエストを許可するか拒否するかを事前にシミュレーションするため

正解の根拠・詳細解説

IAM Policy Simulatorは指定したIAMエンティティとアクション・リソースの組み合わせに対して、実際にAPIを呼び出さずにポリシーの評価結果（許可/拒否）を事前に確認するためのツールです。

正解: A. 外部アカウントや組織外から到達可能なリソース、および過剰な権限を分析・特定する

正解の根拠・詳細解説

IAM Access Analyzerはリソースベースポリシーを分析し、組織外や信頼されていないエンティティからアクセス可能なリソースを特定したり、未使用のアクセス許可を検出したりするのに役立ちます。

正解: A. Access Analyzerなどで影響範囲を調査し、不要な権限を削除して最小権限に修正する

正解の根拠・詳細解説

過剰な権限を発見した場合は、Access Analyzerなどのツールでその権限が実際に使われているかどうかや影響範囲を調査した上で、不要な権限を削除し最小権限の状態に修正することが推奨されます。

正解: A. AssumeRole時に、そのセッションで使用できる権限をさらに絞り込みたい場合

正解の根拠・詳細解説

セッションポリシーはAssumeRoleなどの操作時に渡すことができ、ロール自体に設定された権限の範囲内で、そのセッション固有にさらに権限を絞り込むために使用します。

正解: A. RBACは事前定義されたロールに基づき、ABACはタグなどの属性に基づいて動的に権限を判断する

正解の根拠・詳細解説

RBACは「どのロールに属するか」に基づいてアクセスを判断するのに対し、ABACは付与された属性（タグなど）の組み合わせに基づいて動的にアクセスを判断するため、ABACの方がスケーラブルな権限管理に向いている場合があります。

正解: A. 想定したプリンシパルがそのロールをAssumeできず、AccessDeniedエラーが発生する

正解の根拠・詳細解説

信頼ポリシーはどのプリンシパル（IAMユーザー、ロール、サービスなど）がそのロールをAssumeできるかを定義するため、設定が誤っているとAssumeRole時にAccessDeniedエラーが発生します。

正解: A. 人間にはIAM Identity CenterやMFA、アプリケーション・システムには一時的な認証情報やIAMロールを使う

正解の根拠・詳細解説

人間のユーザーにはMFAやSSOを活用した認証、アプリケーションやシステムにはIAMロールやSTSによる一時的な認証情報を用いることで、それぞれの特性に応じた安全な認証戦略を設計できます。

正解: A. 許可ポリシーが存在していても、明示的な拒否が1つでもあればそのリクエストは拒否される

正解の根拠・詳細解説

IAMのポリシー評価では、許可ポリシー（IDベース・リソースベース等）がいくら存在していても、いずれかのポリシーに明示的な拒否（Deny）が含まれていれば、最終的にそのリクエストは拒否されます。

正解: A. 既存のMicrosoft Active Directoryと連携、またはマネージドなディレクトリをAWS上に展開してID管理を行う場合

正解の根拠・詳細解説

AWS Directory ServiceはオンプレミスのActive Directoryとの信頼関係を構築したり、AWS Managed Microsoft ADとしてマネージドなディレクトリサービスを展開したりするために使用され、企業のID管理基盤として利用されます。

正解: A. 認証済み・未認証のユーザーに対して、AWSリソースへの一時的なアクセスを許可するAWS認証情報を発行する

正解の根拠・詳細解説

Cognito IDプールはユーザープールなどでの認証結果（または未認証ゲストアクセス）に基づいて、IAMロールにマッピングされた一時的なAWS認証情報を発行し、モバイル・WebアプリがAWSリソースに直接アクセスできるようにします。

正解: A. クライアントとの通信に使用するTLSのバージョンや暗号スイートを制御するため

正解の根拠・詳細解説

ELBのセキュリティポリシーは、クライアントとの間で許可するTLSプロトコルバージョンや暗号スイートの組み合わせを定義し、脆弱な暗号方式を排除して通信のセキュリティを確保します。

正解: A. インターネットを経由せずにプライベートにAWSサービスへ接続できる

正解の根拠・詳細解説

VPCエンドポイント（インターフェース型・Gateway型）を使うことで、インターネットゲートウェイやNATを経由せずに、プライベートな経路でAWSサービスに接続できます。

正解: A. VPC間やVPCとサービス間で、インターネットを経由しないプライベートな接続を提供するサービスを公開・利用する場合

正解の根拠・詳細解説

AWS PrivateLinkはサービスプロバイダーがVPC外（他のVPCや他アカウント）にサービスをプライベートに公開し、利用者側がインターネットを経由せずに安全にアクセスできるようにする仕組みです。

正解: A. リモートユーザーがTLSベースのVPN接続を使ってAWSリソースやオンプレミスリソースに安全に接続できるようにするため

正解の根拠・詳細解説

AWS Client VPNはマネージド型のクライアントベースVPNサービスで、リモートワーカーなどがTLSを使って安全にAWSやオンプレミスのリソースに接続できるようにします。

正解: A. クラスター内のノード間で転送されるデータを保護し、内部ネットワークでの傍受リスクを低減するため

正解の根拠・詳細解説

EMRやEKSなどの分散処理クラスターでノード間（inter-node）の通信を暗号化することで、内部ネットワークを流れるデータが盗聴・改ざんされるリスクを低減できます。

正解: A. ハードウェアレベルでの分離とハイパーバイザーの最小化により、インスタンスの分離性とセキュリティを強化する

正解の根拠・詳細解説

AWS NitroシステムはハイパーバイザーやI/O処理を専用ハードウェアにオフロードすることで、インスタンス間の分離性を強化し、ホストレベルでの攻撃対象領域を減らします。

正解: A. KMSはマネージドな鍵管理サービスであり、CloudHSMは専用の単一テナントハードウェアセキュリティモジュールを提供する

正解の根拠・詳細解説

AWS KMSはマネージドなキー管理サービスとして広く使われ、CloudHSMは専用（シングルテナント）のFIPS 140-2認定ハードウェアセキュリティモジュールへの直接アクセスを必要とする厳格な要件向けに使用されます。

正解: A. クライアントサイド暗号化はデータを送信する前にクライアント側で暗号化し、サーバーサイド暗号化はAWS側でデータを暗号化する

正解の根拠・詳細解説

クライアントサイド暗号化はデータをAWSに送信する前にアプリケーション側で暗号化する方式で、サーバーサイド暗号化はS3やEBSなどAWSサービス側でデータを暗号化する方式です。要件に応じて使い分けます。

正解: A. オブジェクトの上書き・削除を一定期間または無期限に防止し、データの不変性（immutability）を確保するため

正解の根拠・詳細解説

S3 Object LockはWORM（Write Once Read Many）モデルでオブジェクトを保護し、ガバナンスモードまたはコンプライアンスモードで指定期間中の上書き・削除を防ぎ、ランサムウェア対策やコンプライアンス要件への対応に活用されます。

正解: A. Vaultに適用したコンプライアンスポリシーを後から変更できない形でロックし、長期保存データの整合性を保証するため

正解の根拠・詳細解説

Glacier Vault Lockは一度ロックすると変更・削除ができないポリシーをVaultに適用し、規制対応などで求められる長期保存データの不変性を保証します。

正解: A. 誤った削除や上書きが発生した場合に、以前のバージョンへ復元できる

正解の根拠・詳細解説

バージョニングを有効にすると、オブジェクトが上書き・削除された場合でも、以前のバージョンが保持されているため、誤操作やランサムウェアによる改ざんからの復元が可能になります。

正解: A. データやコードが改ざんされていないこと、および正当な発行者からのものであることを検証するため

正解の根拠・詳細解説

デジタル署名（コードサイニングなど）は、データやソフトウェアパッケージが配布後に改ざんされていないこと、また署名者の身元を検証する手段として、整合性とトレーサビリティを確保します。

正解: A. 一定期間後に自動的にデータを低頻度アクセスストレージへ移行したり、削除したりするルールを設定する

正解の根拠・詳細解説

S3 Lifecycleポリシーはオブジェクトの作成日時などの条件に基づいて、自動的にストレージクラスを移行したり、不要になったデータを削除したりするルールを定義する機能です。

正解: A. EBSスナップショットやAMIの作成・保持・削除のスケジュールを自動化するため

正解の根拠・詳細解説

Amazon Data Lifecycle ManagerはEBSスナップショットやAMIの定期的な作成、保持期間の管理、古いものの自動削除といったライフサイクル管理を自動化するサービスです。

正解: A. 複数のAWSサービス（EBS、RDS、DynamoDBなど）のバックアップを一元的なポリシーで管理できる

正解の根拠・詳細解説

AWS Backupは複数のAWSリソースタイプに対するバックアップを一元化されたバックアッププランとポリシーで管理し、バックアップの取得・保持・リストアを集中管理できます。

正解: A. イミュータブル（変更不可）なバックアップの保持と、本番環境から論理的に分離された保管場所の利用

正解の根拠・詳細解説

ランサムウェア対策では、攻撃者がバックアップ自体を改ざん・削除できないようにObject Lockなどでイミュータブルな保護を施し、本番環境とは異なるアカウントや権限で管理することが推奨されます。

正解: A. オンプレミスストレージとAWSストレージサービス間で大量データを安全かつ効率的に転送する

正解の根拠・詳細解説

AWS DataSyncはオンプレミスのファイルシステムとS3、EFS、FSxなどのAWSストレージサービス間で、暗号化された安全な経路を使って大量データを効率的に移行・同期するサービスです。

正解: A. 認証情報を定期的に変更することで、漏洩した情報が悪用されるリスクと期間を低減できる

正解の根拠・詳細解説

Secrets Managerのローテーション機能により、データベース認証情報などを定期的に自動変更することで、認証情報が漏洩した場合でも悪用可能な期間を短縮し、リスクを低減できます。

正解: A. キーのライフサイクル（有効期限や削除）を自分で完全に管理できるが、AWSによる自動ローテーションは利用できない

正解の根拠・詳細解説

インポートされたキーマテリアル（外部で生成した鍵をKMSにインポートする方式）は、鍵の所有者がライフサイクルを完全に管理できますが、KMSが提供する自動ローテーション機能は利用できません。

正解: A. ログに含まれる機密データ（クレジットカード番号など）を自動的に検出し、マスキングするため

正解の根拠・詳細解説

CloudWatch Logsのデータ保護ポリシーは、ログに含まれるクレジットカード番号や個人情報などの機密データパターンを検出し、表示時にマスキングすることでログ内の機密情報露出を防ぎます。

正解: A. マルチリージョンキー（Multi-Region Keys）

正解の根拠・詳細解説

KMSのマルチリージョンキーは、同一のキーマテリアルを複数のリージョンにレプリケートし、リージョンをまたいだ暗号化データの利用や災害復旧時のリストアを容易にする機能です。

正解: A. 内部システムやデバイス向けにプライベートなSSL/TLS証明書を発行・管理するため

正解の根拠・詳細解説

AWS Private CAは社内システム、IoTデバイス、コンテナなど、パブリックには公開しない内部のエンティティ向けに、独自のプライベート証明書階層を構築・運用するためのサービスです。

正解: A. AWS Organizations

正解の根拠・詳細解説

AWS Organizationsは複数のAWSアカウントを組織単位（OU）にグルーピングし、一元的な課金管理やポリシーの適用を可能にする基盤サービスで、マルチアカウント戦略の出発点となります。

正解: A. ベストプラクティスに基づいたランディングゾーンを自動構築し、ガードレール（必須・推奨コントロール）を一元的に適用できる

正解の根拠・詳細解説

AWS Control TowerはOrganizationsをベースに、セキュリティ・コンプライアンスのベストプラクティスを反映したマルチアカウント環境（ランディングゾーン）を自動構築し、ガードレールによる統制を一元管理できます。

正解: A. 組織内のアカウントやOUに対して、IAM権限の上限（許可される操作の範囲）を制限するため

正解の根拠・詳細解説

SCPはAWS Organizationsの機能で、アカウントやOUに対してIAM権限の上限を定義し、たとえIAMポリシーで許可されていてもSCPで拒否されている操作は実行できないようにする統制の仕組みです。

正解: A. RCPはリソースベースのポリシーの実効的な権限の上限を組織レベルで制御する

正解の根拠・詳細解説

RCP（Resource Control Policy）はS3バケットポリシーなどリソースベースのポリシーが許可する実効的な権限の上限を組織レベルで制御する仕組みで、IDベースの権限を制限するSCPとは適用対象が異なります。

正解: A. 特定のAWS AIサービスがデータをモデル改善目的で使用することを組織全体でオプトアウトするため

正解の根拠・詳細解説

AIサービスのオプトアウトポリシーは、組織内のアカウントがAWSのAIサービスを利用する際に、入力データがサービス改善のために使用されることをオプトアウトする設定を一元的に強制するための組織ポリシーです。

正解: A. 管理アカウントを使わずに、指定したメンバーアカウントから組織全体のセキュリティサービスを管理できる

正解の根拠・詳細解説

委任管理者を設定することで、GuardDutyやSecurity Hubなどのセキュリティサービスを、リスクの高い管理アカウントを直接使わずに、指定したメンバーアカウントから組織全体に対して管理できるようになります。

正解: A. MFAを設定し、日常的な操作にはルートユーザーを使用せず、緊急時のみ使う「ブレークグラス」手順を整備する

正解の根拠・詳細解説

ルートユーザーの認証情報はMFAで保護し、日常業務には極力使用せず、緊急時にのみ使用する明確な手順（ブレークグラス手順）を整備することがベストプラクティスとされています。

正解: A. 1つのテンプレートから複数のアカウント・リージョンに対して一貫したリソースのデプロイ・更新ができる

正解の根拠・詳細解説

CloudFormation StackSetsは1つのテンプレートを使って複数のアカウントおよびリージョンにスタックを一括でデプロイ・更新・削除でき、組織全体への一貫したリソース展開を実現します。

正解: A. デプロイ前にテンプレートのポリシー違反や構文エラーを検出し、セキュリティ・コンプライアンス要件への準拠を確認するため

正解の根拠・詳細解説

CloudFormation Guardはポリシーアズコードのルールに基づいてテンプレートを検証し、cfn-lintは構文・ベストプラクティスのチェックを行うツールで、デプロイ前に問題を検出し安全な自動化を支援します。

正解: A. 部門やコストセンター、環境（本番/開発など）ごとにリソースを論理的にグルーピングし、管理・コスト配分・ポリシー適用を容易にする

正解の根拠・詳細解説

リソースに部門・コストセンター・環境などを示すタグを付与することで、コスト配分の可視化や、タグベースのアクセス制御（ABAC）、運用上の管理がしやすくなります。

正解: A. WAFルールやセキュリティグループなどのセキュリティポリシーを組織全体に中央集権的に適用・管理するため

正解の根拠・詳細解説

AWS Firewall ManagerはWAFルール、セキュリティグループ、Shield Advancedの保護などのセキュリティポリシーを、組織内の複数アカウント・リソースに対して一元的に適用・監査・修正するためのサービスです。

正解: A. 承認済みのIT サービス（テンプレート化されたリソース構成）をエンドユーザーに自己サービス形式で提供しつつ、ガバナンスを維持できる

正解の根拠・詳細解説

AWS Service Catalogは管理者が承認済みのリソース構成（製品）をカタログ化し、エンドユーザーがセルフサービスでデプロイできるようにすることで、ガバナンスを保ちながら利便性を提供します。

正解: A. VPCサブネットやTransit Gatewayなどのリソースを複数のAWSアカウント間で安全に共有するため

正解の根拠・詳細解説

AWS RAMはVPCサブネット、Transit Gateway、License Managerの設定など特定のリソースを、組織内の複数アカウント間で重複作成せずに安全に共有するためのサービスです。

正解: A. 設定ミスや非準拠状態を検出した際に、人手を介さず自動的に修復アクションを実行し、コンプライアンス状態を維持するため

正解の根拠・詳細解説

AWS Configの自動修復機能（Remediation Action）を設定することで、ルール違反が検出された際にSystems Manager Automationなどを通じて自動的に修復を実行し、コンプライアンス状態を維持できます。

正解: A. Audit Managerは継続的に証拠を収集・整理する仕組みを提供し、ArtifactはAWSのコンプライアンス報告書や契約書類へのアクセスを提供する

正解の根拠・詳細解説

AWS Audit Managerは特定の規制要件に基づいて継続的に証拠を収集・評価する仕組みを提供し、AWS ArtifactはAWSのSOC報告書や規約などのコンプライアンス関連文書をオンデマンドで取得するためのポータルです。

正解: A. 定義済みのベストプラクティス（柱）に対してワークロードを評価し、改善点を特定するため

正解の根拠・詳細解説

AWS Well-Architected Toolは運用上の優秀性、セキュリティ、信頼性、パフォーマンス効率、コスト最適化、持続可能性の6つの柱に基づいてワークロードをレビューし、改善のためのリスクと推奨事項を提示します。

正解: A. 望ましい設定状態（例：パブリックアクセスのブロック）を宣言的に定義し、組織全体でその状態を一貫して維持できる

正解の根拠・詳細解説

宣言的ポリシーはEC2のパブリックIP自動割り当てを無効にするなど、望ましい設定状態を宣言的に定義し、組織内のアカウントがその状態から外れないように一貫して維持するための仕組みです。