第1回 問題集（モニタリング・運用）

正解: A. Amazon CloudWatch + Amazon SNS

正解の根拠・詳細解説

. Amazon CloudWatch + Amazon SNS Amazon CloudWatchでCPU使用率メトリクスのアラームを設定し、アラーム発火時にAmazon SNSトピックへ通知を送信することで、メール通知を実現できます。CloudTrailはAPIアクティビティの記録、AWS ConfigはAWSリソース設定の変更履歴記録に使用するサービスです。

正解: A. マルチリージョン証跡を有効にして全リージョンのログをS3に保存する

正解の根拠・詳細解説

. マルチリージョン証跡を有効にして全リージョンのログをS3に保存する CloudTrailのマルチリージョン証跡機能を使用すると、1つの設定ですべてのリージョンのAPIアクティビティを記録できます。ログは指定したS3バケットに一元的に保存されます。各リージョンで個別に証跡を作成することも可能ですが、管理の手間がかかります。

正解: A. EventBridgeルールでS3のPutObjectイベントパターンを設定し、ターゲットにLambda関数を指定する

正解の根拠・詳細解説

. EventBridgeルールでS3のPutObjectイベントパターンを設定し、ターゲットにLambda関数を指定する Amazon EventBridgeでは、S3のイベント通知と連携したルールを設定できます。S3バケットのイベント通知またはEventBridgeのS3イベントパターンを使って、オブジェクトのアップロード（PutObject）をトリガーにLambda関数を実行する設定が可能です。

正解: A. fields @timestamp, @message | filter @message like /ERROR/ | stats count() as errorCount by bin(1h)

正解の根拠・詳細解説

. fields @timestamp, @message | filter @message like /ERROR/ | stats count() as errorCount by bin(1h) CloudWatch Logs InsightsはAWSが提供するログ分析クエリ言語を使用します。「fields」でフィールドを指定し、「filter」で条件絞り込み、「stats count()」で集計し、「bin(1h)」で1時間ごとに集計することができます。SQLやLinuxコマンドは使用できません。

正解: A. AWS Config Ruleの「required-tags」マネージドルールを使用する

正解の根拠・詳細解説

. AWS Config Ruleの「required-tags」マネージドルールを使用する AWS Config Ruleの「required-tags」というマネージドルールを使用すると、指定したタグキー・値がリソースに付与されているかを自動的に評価できます。コンプライアンス違反のリソースを特定し、通知やリメディエーションのアクションを設定することもできます。

正解: A. CloudWatch Unified Agent（統合エージェント）

正解の根拠・詳細解説

. CloudWatch Unified Agent（統合エージェント） EC2インスタンスからCloudWatch Logsにログを送信するにはCloudWatch Unified Agent（統合エージェント）をインストールし設定ファイルでログファイルのパスを指定します。X-Ray Daemonはトレーシング用、Inspector AgentはAmazon Inspector用です。

正解: C. Amazon S3オブジェクトへのGET操作（GetObject）

正解の根拠・詳細解説

. Amazon S3オブジェクトへのGET操作（GetObject） CloudTrailの管理イベントはAWSリソースの作成・変更・削除などのコントロールプレーン操作を記録します。S3オブジェクトのGET/PUTなどのデータアクセス操作は「データイベント」に分類され、デフォルトでは記録されません。データイベントを記録するには別途有効化が必要です。

正解: A. 1つのSNSトピックに複数のサブスクリプション（メール×複数 + Lambda）を登録する

正解の根拠・詳細解説

. 1つのSNSトピックに複数のサブスクリプション（メール×複数 + Lambda）を登録する Amazon SNSは1つのトピックに複数のサブスクリプションを設定できます。EmailサブスクリプションとLambdaサブスクリプションを同じトピックに登録すれば、アラームが発火した際に全サブスクライバーへ同時に通知が届きます。

正解: A. Amazon CloudWatch Logs

正解の根拠・詳細解説

. Amazon CloudWatch Logs、C. Amazon S3 VPCフローログの保存先としてAmazon CloudWatch LogsまたはAmazon S3が使用できます。CloudWatch Logsでは即時のログ分析やアラーム設定が可能で、S3では長期保存やAthenaを使ったSQLクエリ分析が可能です。Glacier、DynamoDBへは直接書き込めません。

正解: A. 複数のAWSアカウント・リージョンのリソースコンプライアンス状況を1か所で確認する

正解の根拠・詳細解説

. 複数のAWSアカウント・リージョンのリソースコンプライアンス状況を1か所で確認する AWS Config集約設定（Config Aggregator）を使用すると、複数のAWSアカウントおよびリージョンのリソース設定とコンプライアンス評価結果を1つのアカウントで集中管理できます。AWS Organizations と連携することで組織全体の設定コンプライアンスを一元的に監視できます。

正解: A. 機械学習を使って通常のメトリクスパターンを学習し、異常な変動を自動検出する

正解の根拠・詳細解説

. 機械学習を使って通常のメトリクスパターンを学習し、異常な変動を自動検出する CloudWatch異常検出は機械学習アルゴリズムを使ってメトリクスの通常パターン（季節変動や曜日パターン含む）を学習します。通常範囲から外れた異常な変動を自動的に検出し、アラームを設定できます。固定しきい値では難しいダイナミックな監視が実現できます。

正解: A. AWSリソースの運用上の問題（OpsItem）を一元管理・追跡・解決する

正解の根拠・詳細解説

. AWSリソースの運用上の問題（OpsItem）を一元管理・追跡・解決する AWS Systems Manager OpsCenterはAWS運用における問題（インシデント、エラー、警告）を「OpsItem」として集約・管理するツールです。CloudWatchアラーム、Config変更、Security Hub検出結果などから自動的にOpsItemを作成し、チームで追跡・解決できます。

正解: A. cron(0 17 * * ? *)

正解の根拠・詳細解説

. cron(0 17 * * ? *) EventBridgeのcron式はUTC時刻で指定します。JST（日本標準時）はUTC+9なので、JST午前2時はUTC午後5時（17時）です。EventBridgeのcron式は「分 時 日 月 曜日 年」の順です。「cron(0 17 * * ? *)」は毎日UTC17:00（JST02:00）に実行されます。

正解: A. CloudWatch Logsのログをリアルタイムで他のAWSサービス（Lambda・Kinesis等）に転送する

正解の根拠・詳細解説

. CloudWatch Logsのログをリアルタイムで他のAWSサービス（Lambda・Kinesis等）に転送する サブスクリプションフィルターを設定すると、CloudWatch LogsのログイベントをフィルタリングしながらリアルタイムでAWS Lambda、Amazon Kinesis Data Streams、Amazon Kinesis Data Firehoseなどに転送できます。リアルタイム処理やログの集約に利用されます。

正解: A. CloudTrailのイベントデータをSQLクエリで分析できるマネージドデータレイク

正解の根拠・詳細解説

. CloudTrailのイベントデータをSQLクエリで分析できるマネージドデータレイク AWS CloudTrail Lakeは、CloudTrailのイベントデータを蓄積してSQLベースのクエリで分析できるマネージドデータレイクです。S3へのエクスポート不要でAWS内でクエリ実行でき、監査やセキュリティ調査に活用できます。

正解: A. 自社のEC2インスタンスが配置されているハードウェアの障害通知

正解の根拠・詳細解説

. 自社のEC2インスタンスが配置されているハードウェアの障害通知 AWS Healthのアカウント固有イベントは、お客様自身のAWSリソースに直接影響する通知です。例として、インスタンスが稼働しているハードウェアの計画メンテナンスや障害通知があります。パブリックイベントはAWSサービス全体に関する一般的なサービス状況情報です。

正解: A. 解像度によって保持期間が異なり、1分未満のデータは3時間、1分データは15日、5分データは63日、1時間データは15か月保持される

正解の根拠・詳細解説

. 解像度によって保持期間が異なり、1分未満のデータは3時間、1分データは15日、5分データは63日、1時間データは15か月保持される CloudWatchメトリクスデータの保持期間はデータポイントの解像度によって異なります。3秒・5秒・10秒・30秒などの高解像度データは3時間、1分間データは15日間、5分間データは63日間、1時間データは15か月間保持されます。

正解: A. アプリケーションのパフォーマンス問題や異常を自動検出してOpsItem化する

正解の根拠・詳細解説

. アプリケーションのパフォーマンス問題や異常を自動検出してOpsItem化する Amazon CloudWatch Application Insightsは、.NETやSQL Serverなどのアプリケーションを自動的に監視し、異常なメトリクスやログパターンを機械学習で検出します。問題が検出されると自動的にOpsItemが作成され、診断情報とともに通知されます。

正解: A. 各サービス間のレイテンシとエラー率を視覚的なグラフで確認できる

正解の根拠・詳細解説

. 各サービス間のレイテンシとエラー率を視覚的なグラフで確認できる AWS X-Rayのサービスマップは、分散アプリケーションの各コンポーネント（マイクロサービス、データベース、外部APIなど）間の依存関係とそれぞれのレイテンシ・エラー率を視覚的に表示します。ボトルネックの特定やエラー箇所の絞り込みに効果的です。

正解: A. 無期限に保存される（ストレージコストが継続発生する）

正解の根拠・詳細解説

. 無期限に保存される（ストレージコストが継続発生する） CloudWatch Logsでロググループの保持期間（Retention Policy）を設定しない場合、ログは無期限に保存され続けます。ストレージコストが継続的に発生するため、運用コスト管理の観点から適切な保持期間（例：90日、1年）を設定することがベストプラクティスです。

正解: A. SSHやRDPポートを開かずにEC2インスタンスへ安全にシェルアクセスできる

正解の根拠・詳細解説

. SSHやRDPポートを開かずにEC2インスタンスへ安全にシェルアクセスできる Session Managerを使うとSSH（ポート22）やRDP（ポート3389）を開放せずにEC2インスタンスへブラウザまたはCLIからシェルアクセスできます。セッションログはCloudWatch LogsやS3に記録でき、セキュリティと監査の要件を満たします。

正解: A. 複数のAWS Config Ruleとリメディエーションアクションをテンプレートとして一括デプロイする

正解の根拠・詳細解説

. 複数のAWS Config Ruleとリメディエーションアクションをテンプレートとして一括デプロイする AWS Config適合パックは、複数のConfig RuleとオプションでリメディエーションアクションをYAMLまたはJSONテンプレートにまとめて一括デプロイする機能です。CIS AWS Foundationやセキュリティベンチマークなどのベストプラクティスをコンプライアンスパックとして適用できます。

正解: A. Lambda関数などのカスタムコードの実行結果をダッシュボードに表示できる

正解の根拠・詳細解説

. Lambda関数などのカスタムコードの実行結果をダッシュボードに表示できる CloudWatchのカスタムウィジェットを使うと、Lambda関数を呼び出してその実行結果（カスタムHTMLやJSONグラフデータ）をダッシュボード上に表示できます。外部APIのデータやDynamoDBのクエリ結果など、標準メトリクス以外の情報も可視化できます。

正解: A. CloudWatch Unified Agentをインストールしてメモリ使用率をカスタムメトリクスとして送信する

正解の根拠・詳細解説

. CloudWatch Unified Agentをインストールしてメモリ使用率をカスタムメトリクスとして送信する EC2のデフォルトCloudWatchメトリクスにはCPU使用率、ネットワーク転送量、ディスクI/Oなどが含まれますが、メモリ使用率は含まれません。CloudWatch Unified Agentをインストールして設定すると、メモリ使用率をカスタムメトリクスとして送信でき、アラームやダッシュボードで監視できるようになります。

正解: A. プライマリDBインスタンスに障害が発生すると、自動的にスタンバイレプリカがプライマリに昇格する

正解の根拠・詳細解説

. プライマリDBインスタンスに障害が発生すると、自動的にスタンバイレプリカがプライマリに昇格する RDSマルチAZでは、プライマリDBに障害が発生すると自動的にスタンバイレプリカへのフェイルオーバーが行われます。切り替え時間は通常60〜120秒程度で、DNSエンドポイントは変わらないためアプリケーション側の設定変更は不要です。ただし読み取りレプリカとは別物で、読み取り分散には使えません。

正解: A. 別リージョンにオブジェクトを自動複製してDRと低レイテンシアクセスを実現する

正解の根拠・詳細解説

. 別リージョンにオブジェクトを自動複製してDRと低レイテンシアクセスを実現する S3クロスリージョンレプリケーション（CRR）を有効化すると、ソースバケットへの新しいオブジェクト書き込みが自動的に別リージョンのレプリカバケットに複製されます。リージョン障害時のDR（ディザスタリカバリ）や、ユーザーに地理的に近いリージョンからのデータ提供による低レイテンシアクセスに使用します。CRRを有効化するには両方のバケットでバージョニングが必要です。

正解: A. RTOは「どれだけ早くシステムを復旧させるか」という目標時間、RPOは「どこまでのデータ損失を許容するか」という目標時点

正解の根拠・詳細解説

. RTOは「どれだけ早くシステムを復旧させるか」という目標時間、RPOは「どこまでのデータ損失を許容するか」という目標時点 RTO（Recovery Time Objective）は障害発生からシステムが復旧するまでの最大許容時間です。RPO（Recovery Point Objective）は障害発生時にどの時点までのデータが失われても許容できるかを示す目標です。例えばRTO=4時間・RPO=1時間であれば「4時間以内に復旧し、最大1時間分のデータ損失を許容する」という意味です。

正解: A. ELBは障害のあるターゲットへのトラフィックを自動的に停止し、正常なターゲットにのみ転送する

正解の根拠・詳細解説

. ELBは障害のあるターゲットへのトラフィックを自動的に停止し、正常なターゲットにのみ転送する ELBは登録されたターゲット（EC2インスタンス、コンテナ等）に対して定期的にヘルスチェックリクエストを送ります。ヘルスチェックが失敗したターゲットは「Unhealthy」状態に変わり、ELBはそのターゲットへのトラフィックルーティングを自動的に停止します。正常に戻ったら自動的に復帰します。

正解: A. 複数AWSリージョン間でデータベースの読み取りアクセスを分散し、DRを実現する

正解の根拠・詳細解説

. 複数AWSリージョン間でデータベースの読み取りアクセスを分散し、DRを実現する Amazon Aurora Global Databaseは1つのプライマリリージョンと最大5つのセカンダリリージョンにデータを複製します。セカンダリリージョンは読み取りアクセスに対応し、プライマリリージョンに障害が発生した場合は1分以内でフェイルオーバーできます。グローバルなユーザーへの低レイテンシ読み取りとDRを同時に実現します。

正解: A. 最小限のコアシステムのみを常時稼働させ、障害時に素早くスケールアップする

正解の根拠・詳細解説

. 最小限のコアシステムのみを常時稼働させ、障害時に素早くスケールアップする Pilot Lightパターンでは、データベースなどのコアコンポーネントのみをDRリージョンで最小構成で常時稼働させます。障害発生時にはWebサーバーやアプリケーションサーバーをスケールアップ・起動して完全な環境に復元します。Warm Standbyより低コストで、Backup & Restoreよりも復旧が速いバランス型のDR戦略です。

正解: A. バックアッププラン（スケジュール・保持ルール）とバックアップボールト（保管場所）

正解の根拠・詳細解説

. バックアッププラン（スケジュール・保持ルール）とバックアップボールト（保管場所） AWS Backupでは「バックアッププラン」でバックアップのスケジュール（毎日・毎週等）、保持期間、コールドストレージへの移行ルールを定義します。「バックアップボールト」はバックアップデータの保存先で、暗号化やアクセスポリシーを設定できます。タグを使ってリソースをバックアッププランに関連付けることで複数サービスを一元管理できます。

正解: A. スナップショットはS3に増分で保存され、初回のみフルバックアップが行われる

正解の根拠・詳細解説

. スナップショットはS3に増分で保存され、初回のみフルバックアップが行われる EBSスナップショットはAmazon S3に保存されます（ユーザーのS3バケットには見えない）。初回スナップショットはブロック全体（フルバックアップ相当）を取得しますが、2回目以降は前のスナップショットからの変更分のみ（増分）を保存します。スナップショット取得中もEBSボリュームは使用可能です。また同じリージョンの他AZへのボリューム作成にも使用できます。

正解: A. 最も古い起動設定（または起動テンプレート）を持つインスタンスを優先的に終了する

正解の根拠・詳細解説

. 最も古い起動設定（または起動テンプレート）を持つインスタンスを優先的に終了する Auto Scalingのデフォルト終了ポリシーでは、まずAZ間のバランスを確認し、インスタンス数が多いAZを選択します。次に最も古い起動設定（Launch Configuration/Template）を持つインスタンスを選択します。同一の場合は課金時間が次の全時間に最も近いインスタンスを終了します。これにより古い構成から新しい構成へのローリング移行が促進されます。

正解: A. Route 53ヘルスチェックでプライマリの健全性を監視し、失敗時にセカンダリに切り替える

正解の根拠・詳細解説

. Route 53ヘルスチェックでプライマリの健全性を監視し、失敗時にセカンダリに切り替える Route 53フェイルオーバーでは、プライマリレコードにRoute 53ヘルスチェックを関連付けます。ヘルスチェックがプライマリエンドポイントの障害を検知すると、DNSレスポンスが自動的にセカンダリエンドポイントに切り替わります。ヘルスチェックはHTTP/HTTPS/TCPで設定でき、CloudWatchアラームの状態をトリガーにすることもできます。

正解: A. パッチベースライン定義 → パッチグループ割り当て → Maintenance Windowでスケジュール実行

正解の根拠・詳細解説

. パッチベースライン定義 → パッチグループ割り当て → Maintenance Windowでスケジュール実行 Patch Managerの標準フロー：①「パッチベースライン」で適用するパッチのルール（重要度・製品・承認ルール）を定義、②EC2インスタンスにタグ（Patch Group）を付けてベースラインに割り当て、③「Maintenance Window」で定期実行スケジュールとPatch Managerのタスクを設定。これにより定期的・自動的なパッチ適用が実現します。

正解: A. 過去35日以内の任意の時点にテーブルを復元できる継続的バックアップ機能

正解の根拠・詳細解説

. 過去35日以内の任意の時点にテーブルを復元できる継続的バックアップ機能 DynamoDB PITRは有効化するとバックグラウンドで継続的にバックアップが行われ、過去35日以内の任意の秒単位の時点にテーブルを復元できます。誤ったデータ書き込みや削除からの回復に効果的です。復元は新しいテーブルとして作成され、元のテーブルは変更されません。

正解: A. DRリージョンで縮小版の完全なシステムを常時稼働させ、障害時にスケールアップする

正解の根拠・詳細解説

. DRリージョンで縮小版の完全なシステムを常時稼働させ、障害時にスケールアップする Warm Standbyではプライマリと同じアーキテクチャをDRリージョンで最小スペック（小さいインスタンスサイズ・最小台数）で常時稼働させます。障害時にはスケールアップ・スケールアウトにより本番相当の容量に素早く対応できます。Pilot Lightよりも復旧が速く、Active-Activeより低コストのバランス型DRです。

正解: A. リードレプリカは読み取り分散・スケールアウト用、マルチAZは高可用性（HA）のフェイルオーバー用

正解の根拠・詳細解説

. リードレプリカは読み取り分散・スケールアウト用、マルチAZは高可用性（HA）のフェイルオーバー用 RDSリードレプリカは非同期レプリケーションを使い、SELECT系の読み取りクエリを複数のレプリカに分散することでメインDBの負荷を軽減します（最大15台まで作成可能）。一方マルチAZは同期レプリケーションによりスタンバイを常時最新状態に保ち、プライマリ障害時の自動フェイルオーバーで高可用性を実現します。

正解: A. 指定したメトリクス（例: CPU使用率60%）を目標値として維持するようにインスタンス数を自動調整する

正解の根拠・詳細解説

. 指定したメトリクス（例: CPU使用率60%）を目標値として維持するようにインスタンス数を自動調整する ターゲットトラッキングスケーリングでは「CPU使用率を60%に維持する」「ALBのリクエスト数を1インスタンスあたり1000に維持する」のように目標値を設定します。Auto Scalingが継続的にメトリクスを監視し、目標値から外れた場合に自動でスケールアウト（増台）またはスケールイン（減台）します。最もシンプルで設定が容易なポリシーです。

正解: A. データを複数のシャード（分割されたノードグループ）に分散して水平スケールが可能になる

正解の根拠・詳細解説

. データを複数のシャード（分割されたノードグループ）に分散して水平スケールが可能になる ElastiCache for Redisのクラスターモードを有効化すると、データを複数のシャード（ノードグループ）に自動分散できます。各シャードは独立してスケール可能で、キャッシュデータ量がメモリの上限を超えそうな場合にシャード数を増やすことで水平スケールアウトが実現します。クラスターモード無効でも自動フェイルオーバーは利用できます。

正解: A. セッション状態をサーバーに持たないため、Auto Scalingでのスケールアウトとスケールインがシームレスになるから

正解の根拠・詳細解説

. セッション状態をサーバーに持たないため、Auto Scalingでのスケールアウトとスケールインがシームレスになるから ステートレスアプリはリクエストを処理するためにサーバー上のセッション状態に依存しません。そのため、任意のインスタンスがリクエストを処理でき、Auto Scalingで新しいインスタンスを追加/削除してもユーザーセッションが切れません。セッション状態はElastiCacheやDynamoDBなどの外部ストアに保存します。

正解: A. 複数のEC2インスタンスから同時にマウントして読み書き可能なNFSベースのファイルシステムを提供する

正解の根拠・詳細解説

. 複数のEC2インスタンスから同時にマウントして読み書き可能なNFSベースのファイルシステムを提供する Amazon EFS（Elastic File System）はNFSv4.1プロトコルに対応したマネージドファイルシステムです。複数のEC2インスタンス（同じAZや異なるAZ）から同時にマウントできるため、Auto ScalingグループのインスタンスがShared Storageとしてファイルを共有するユースケースに最適です。EBSは基本的に1つのEC2インスタンスにしかアタッチできません（例外: io1/io2 Multi-Attach）。

正解: A. コンシューマーがメッセージを処理中に他のコンシューマーが同じメッセージを重複処理しないようにするため

正解の根拠・詳細解説

. コンシューマーがメッセージを処理中に他のコンシューマーが同じメッセージを重複処理しないようにするため SQSのVisibility Timeoutは、あるコンシューマーがメッセージを受信してから処理中の間、他のコンシューマーにそのメッセージが見えなくなる時間です（デフォルト30秒、最大12時間）。処理が完了したらメッセージを削除します。タイムアウト内に削除されなかった場合、メッセージは再び可視状態になり他のコンシューマーが処理できます。

正解: A. AWSインフラ（ホストハードウェア・ネットワーク）側の問題であり、インスタンスの停止・起動（新ホストへの移動）で解決できることが多い

正解の根拠・詳細解説

. AWSインフラ（ホストハードウェア・ネットワーク）側の問題であり、インスタンスの停止・起動（新ホストへの移動）で解決できることが多い システムステータスチェックはAWSのインフラ（物理ホストのハードウェア、電源、ネットワーク）の健全性を監視します。これが失敗した場合、問題はAWSインフラ側にあるため、インスタンスを停止→起動（≠再起動）することで別の物理ホストに移動して解決できることが多いです。一方インスタンスステータスチェックはOS・ソフトウェア側の問題を検知します。

正解: A. 変更をロールバックして更新前の状態に戻す

正解の根拠・詳細解説

. 変更をロールバックして更新前の状態に戻す CloudFormationはスタックの作成・更新中にエラーが発生すると、デフォルトでロールバック（変更を元に戻す）を実行します。これによりインフラの整合性が保たれます。ただし「スタックポリシー」や「オンフェイルアクション」の設定で動作を変更することも可能です。更新のロールバックが失敗した場合は「UPDATE_ROLLBACK_FAILED」状態になり手動対応が必要です。

正解: A. 「URL swap（環境のURLを入れ替え）」機能でBlue環境とGreen環境を切り替える

正解の根拠・詳細解説

. 「URL swap（環境のURLを入れ替え）」機能でBlue環境とGreen環境を切り替える Elastic BeanstalkのBlue/Greenデプロイでは、新バージョン（Green）の別環境を作成してテスト後、「環境URL交換（Swap environment URLs）」機能でBlue環境のURLとGreen環境のURLを入れ替えます。これにより瞬時に切り替えが完了し、問題があれば再度URLを戻すだけで即座にロールバックできます。

正解: A. 複数のAWSアカウントや複数のリージョンにCloudFormationスタックを一括デプロイ・管理する

正解の根拠・詳細解説

. 複数のAWSアカウントや複数のリージョンにCloudFormationスタックを一括デプロイ・管理する CloudFormation StackSetsを使うと、管理アカウントから複数のターゲットアカウントおよびリージョンにCloudFormationスタックを一括でデプロイ・更新・削除できます。AWS Organizationsと連携して組織全体に標準化されたインフラ構成（セキュリティ設定、ログ転送、IAMロールなど）を展開するのに最適です。

正解: A. SSHやRDPなしに複数のEC2インスタンスに対してシェルコマンドやスクリプトをリモート実行する

正解の根拠・詳細解説

. SSHやRDPなしに複数のEC2インスタンスに対してシェルコマンドやスクリプトをリモート実行する Systems Manager Run Commandを使うと、SSMエージェントがインストールされたEC2インスタンスに対して、SSH/RDPポートを開放することなくコマンドやスクリプトをリモート実行できます。複数インスタンスへの一括実行、実行結果のS3/CloudWatch Logsへの記録、IAMによる権限管理が可能です。

正解: A. デプロイ対象のEC2インスタンス（タグやASGで指定）とデプロイ設定をまとめた論理グループ

正解の根拠・詳細解説

. デプロイ対象のEC2インスタンス（タグやASGで指定）とデプロイ設定をまとめた論理グループ CodeDeployのデプロイグループには、①デプロイ対象のEC2インスタンス（EC2タグかAuto Scalingグループ名で指定）、②デプロイ設定（AllAtOnce/HalfAtATime/OneAtATime等）、③デプロイタイプ（In-place/Blue/Green）を定義します。1つのアプリケーションに複数のデプロイグループを設定して環境（dev/stg/prod）別に管理します。

正解: A. スタックを実際に更新する前に、変更によって影響を受けるリソースをプレビュー・確認する

正解の根拠・詳細解説

. スタックを実際に更新する前に、変更によって影響を受けるリソースをプレビュー・確認する CloudFormation ChangeSetは「このテンプレートを適用すると、どのリソースが追加・変更・削除されるか」を実際の更新前に確認できる機能です。特に本番環境の重要なリソース（RDS・EC2など）が意図せず削除・置換されないかを事前に確認するために活用します。ChangeSetで確認後に問題がなければ「実行」します。

正解: A. 同一のOSとソフトウェア構成のインスタンスをすばやく複数起動するためのテンプレート

正解の根拠・詳細解説

. 同一のOSとソフトウェア構成のインスタンスをすばやく複数起動するためのテンプレート AMIはOSのブートボリューム・インストールされたソフトウェア・設定ファイルを含むテンプレートです。ゴールデンAMI（事前に設定済みのAMI）を作成しておくと、Auto ScalingやBlue/Greenデプロイで迅速に同一構成のインスタンスを起動できます。AMIはEBSスナップショットとは別物ですが、EBSバックドのAMIはスナップショットに依存します。

正解: A. CDKはPython/TypeScript等のプログラミング言語でインフラを定義でき、最終的にCloudFormationテンプレートを生成する

正解の根拠・詳細解説

. CDKはPython/TypeScript等のプログラミング言語でインフラを定義でき、最終的にCloudFormationテンプレートを生成する AWS CDKではPython、TypeScript、Java、C#などのプログラミング言語でインフラ構造を記述します。`cdk synth`コマンドでCloudFormationテンプレートに変換され、`cdk deploy`でデプロイされます。ループや条件分岐、クラスの継承など通常のプログラミングが活用できるため、複雑なインフラ構成の再利用性が高まります。

正解: A. EC2インスタンスの設定状態（例: ソフトウェアインストール・設定ファイル）を定義し、定期的に適用・維持する

正解の根拠・詳細解説

. EC2インスタンスの設定状態（例: ソフトウェアインストール・設定ファイル）を定義し、定期的に適用・維持する Systems Manager State Managerは「このインスタンス群は常にこのSSMドキュメントに定義した状態であるべき」という構成を定義し、定期的に適用します。例えば「CloudWatchエージェントが常にインストールされた状態を維持する」「特定の設定ファイルが常に正しい内容であることを保証する」などのユースケースで使用します。

正解: A. Source（CodeCommit/S3）→ Build（CodeBuild）→ Deploy（CodeDeploy）

正解の根拠・詳細解説

. Source（CodeCommit/S3）→ Build（CodeBuild）→ Deploy（CodeDeploy） CodePipelineの典型的なCI/CDパイプライン：①Sourceステージ（CodeCommit/S3/GitHubからコード取得）→②Buildステージ（CodeBuildでコンパイル・テスト・パッケージ）→③Deployステージ（CodeDeployでEC2やECSにデプロイ）。各ステージ間にManual Approval（手動承認）ステージを追加することも可能です。

正解: A. インスタンス初回起動時にソフトウェアのインストールや設定を自動実行する

正解の根拠・詳細解説

. インスタンス初回起動時にソフトウェアのインストールや設定を自動実行する EC2のユーザーデータはインスタンスの初回起動時（デフォルト）に一度だけ実行されるスクリプトです（シェルスクリプトまたはCloud-Init形式）。パッケージのインストール、設定ファイルの配置、サービスの起動などの初期化処理を自動化するために使用します。Auto ScalingのLaunch Templateに設定することでスケールアウト時の自動設定も実現できます。

正解: A. スタック削除時にそのリソースは削除されずAWSアカウントに残される

正解の根拠・詳細解説

. スタック削除時にそのリソースは削除されずAWSアカウントに残される CloudFormationでリソースに`DeletionPolicy: Retain`を設定すると、スタックが削除されてもそのリソースはAWSアカウントに残ります。重要なS3バケット、RDSインスタンス、DynamoDBテーブルなど誤って削除されると困るリソースに設定します。`DeletionPolicy: Snapshot`でRDS等はスナップショットを取ってから削除することもできます。

正解: A. 承認済みのAWSリソース構成（CloudFormationテンプレート）をセルフサービスポータルで提供し、ガバナンスを維持する

正解の根拠・詳細解説

. 承認済みのAWSリソース構成（CloudFormationテンプレート）をセルフサービスポータルで提供し、ガバナンスを維持する AWS Service Catalogを使うと、IT管理者が事前に承認したCloudFormationテンプレート（「製品」）を一般ユーザーにセルフサービスポータルで提供できます。ユーザーは承認された構成の中から選択してデプロイできるため、セキュリティポリシーやコスト上限を守りながら開発の自由度も確保できます。

正解: A. OS設定・パッチ・ソフトウェアを含むカスタムAMIのビルド・テスト・配布を自動化する

正解の根拠・詳細解説

. OS設定・パッチ・ソフトウェアを含むカスタムAMIのビルド・テスト・配布を自動化する EC2 Image BuilderはカスタムAMI（ゴールデンAMI）の作成プロセスを自動化するサービスです。「ベースAMIの選択 → ソフトウェアインストール・設定（コンポーネント定義）→ セキュリティテスト → AMI作成・配布」をパイプラインとして定義し、スケジュール実行でパッチ済みの最新AMIを自動生成できます。

正解: A. ChefやPuppetを使ったConfiguration Management（構成管理）をAWS上でマネージドサービスとして実行する

正解の根拠・詳細解説

. ChefやPuppetを使ったConfiguration Management（構成管理）をAWS上でマネージドサービスとして実行する AWS OpsWorksはChef（OpsWorks for Chef Automate）やPuppet（OpsWorks for Puppet Enterprise）を使ったサーバーの構成管理をマネージドサービスとして提供します。既にChef/Puppetの運用経験がある組織がオンプレミスから移行する際に使われます。新規導入であればSystems Manager State Managerが推奨されるケースが多いです。

正解: A. 一方のスタックの出力値（Output）を別のスタックでImportして再利用することで、スタック間の依存関係を明示する

正解の根拠・詳細解説

. 一方のスタックの出力値（Output）を別のスタックでImportして再利用することで、スタック間の依存関係を明示する クロススタック参照では、スタックAの`Outputs`セクションで`Export`した値（VPC IDやサブネットIDなど）を、スタックBで`!ImportValue`関数を使って参照します。ネットワーク層（VPC）とアプリケーション層（EC2）を別スタックで管理しながら連携させる構成でよく使われます。参照されているスタックは削除できないという制約があります。

正解: A. 更新によって既存リソースが削除され、新しいリソースが作成されること（例: EC2インスタンスIDが変わる）

正解の根拠・詳細解説

. 更新によって既存リソースが削除され、新しいリソースが作成されること（例: EC2インスタンスIDが変わる） CloudFormationでは、リソースのプロパティ変更が「更新あり（置換なし）」か「置換あり」かは各リソース・プロパティによって異なります。「置換」が発生すると既存リソースが削除されて新リソースが作成されるため、EC2インスタンスIDやRDSのエンドポイントが変わる可能性があります。ChangeSetで事前に「Replacement: True」を確認することが重要です。

正解: A. エイリアスのトラフィックシフト（カナリアデプロイ）機能を使い、エイリアスに新バージョンと旧バージョンへの重み付けを設定する

正解の根拠・詳細解説

. エイリアスのトラフィックシフト（カナリアデプロイ）機能を使い、エイリアスに新バージョンと旧バージョンへの重み付けを設定する Lambda関数のエイリアスに「additionalVersionWeight」を設定することで、例えば「v2に10%、v1に90%」のようにトラフィックを段階的にシフトできます。この機能はAWS CodeDeployと連携してカナリアデプロイやリニアデプロイとして自動化することもできます。デプロイ中にエラーが増加したらCloudWatchアラームでトリガーして自動ロールバックも可能です。

正解: A. 大きなCloudFormationテンプレートを複数の小さなテンプレートに分割して再利用性と管理性を高める

正解の根拠・詳細解説

. 大きなCloudFormationテンプレートを複数の小さなテンプレートに分割して再利用性と管理性を高める ネストされたスタックでは親スタックが子スタック（`AWS::CloudFormation::Stack`リソース）を参照・実行します。大規模なインフラを「ネットワーク層」「セキュリティ層」「アプリケーション層」などに分割して個別テンプレートで管理でき、共通テンプレートを複数の親スタックで再利用できます。CloudFormationのリソース数上限（200件）の回避にも使えます。

正解: A. Lambda関数にVPC設定（VPC ID・サブネット・セキュリティグループ）を追加し、実行ロールにVPC関連の権限を付与する

正解の根拠・詳細解説

. Lambda関数にVPC設定（VPC ID・サブネット・セキュリティグループ）を追加し、実行ロールにVPC関連の権限を付与する Lambda関数をVPC内のリソースにアクセスさせるには、Lambda設定でVPC・サブネット・セキュリティグループを指定します。これによりLambda関数はそのVPCの指定サブネット内のENIを使ってRDSやElastiCacheなどにプライベートアクセスできます。また実行ロールに`AWSLambdaVPCAccessExecutionRole`（EC2 ENI作成権限）が必要です。

正解: A. `{{resolve:ssm:/my/parameter}}`の形式でパラメーター値を動的参照する

正解の根拠・詳細解説

. `{{resolve:ssm:/my/parameter}}`の形式でパラメーター値を動的参照する CloudFormationの動的参照（Dynamic Reference）機能を使うと、テンプレート内で`{{resolve:ssm:/path/to/parameter}}`と記述することでSSM Parameter Storeの値をデプロイ時に動的に取得できます。SecureStringパラメーターには`{{resolve:ssm-secure:/path/to/secret}}`を使います。Secrets Managerの値は`{{resolve:secretsmanager:secret-name}}`で参照できます。

正解: A. インスタンスが起動・終了するタイミングで追加のカスタム処理（アプリ設定・ログ収集等）を実行するための一時停止を設けるため

正解の根拠・詳細解説

. インスタンスが起動・終了するタイミングで追加のカスタム処理（アプリ設定・ログ収集等）を実行するための一時停止を設けるため ライフサイクルフックを設定すると、インスタンスが「Pending:Wait」（起動時）や「Terminating:Wait」（終了時）の状態で一時停止します。この間にSNS/SQS通知を受けてLambdaやScript等でソフトウェアインストール・設定・ログ収集などのカスタム処理を実行できます。処理完了後に「CompleteLifecycleAction」を呼び出してライフサイクルを継続させます。

正解: A. 明示的な拒否が優先される

正解の根拠・詳細解説

. 明示的な拒否が優先される AWSのIAMポリシー評価ロジックでは「明示的な拒否（Deny）が最優先」です。たとえ許可ポリシーで`Allow`が設定されていても、同じアクションに`Deny`が存在すれば必ず拒否されます。次に`Allow`が評価され、どちらもなければデフォルトで拒否（暗黙の拒否）です。Organizations SCPの`Deny`も同様に最優先されます。

正解: A. AWS Organizationsのメンバーアカウントで使用できるサービスやアクションの最大権限を制限する

正解の根拠・詳細解説

. AWS Organizationsのメンバーアカウントで使用できるサービスやアクションの最大権限を制限する SCP（Service Control Policy）はAWS Organizationsで組織内のメンバーアカウントに適用できる権限ガードレールです。「このOU（組織単位）のアカウントではEC2の削除を禁止する」のように、IAM管理者を含むすべてのユーザーが行えるアクションを制限できます。SCPは「最大権限の制限」であり、権限を直接付与するものではありません。

正解: A. CMKはユーザーが鍵のローテーション・削除・アクセスポリシーを管理でき、AWSマネージドキーはAWSが管理する

正解の根拠・詳細解説

. CMKはユーザーが鍵のローテーション・削除・アクセスポリシーを管理でき、AWSマネージドキーはAWSが管理する カスタマーマネージドキー（CMK）はユーザーが作成・管理する鍵で、キーポリシー・IAMポリシー・Grantsでアクセス制御が可能、手動/自動ローテーション、削除のスケジュールが設定できます。AWSマネージドキーは`aws/s3`のようにAWSサービスが自動的に作成・管理する鍵で、ユーザーはポリシー変更やローテーション設定ができません。

正解: A. CloudTrailの異常なAPIコール、VPCフローログの不審なトラフィック、DNSクエリの悪意ある通信

正解の根拠・詳細解説

. CloudTrailの異常なAPIコール、VPCフローログの不審なトラフィック、DNSクエリの悪意ある通信 Amazon GuardDutyはCloudTrail、VPCフローログ、Route 53 Resolver DNSクエリを分析して脅威を検出するマネージドな脅威検出サービスです。クレデンシャルの漏洩・暗号通貨マイニング・C2サーバーへの通信・既知の悪意あるIPへのアクセスなどを機械学習で検出します。IAMポリシーの誤設定はSecurity Hub/Access Analyzerが担当します。

正解: A. GuardDuty・Inspector・Macieなど複数のセキュリティサービスの検出結果を1か所に集約して可視化する

正解の根拠・詳細解説

. GuardDuty・Inspector・Macieなど複数のセキュリティサービスの検出結果を1か所に集約して可視化する AWS Security HubはAmazon GuardDuty、Amazon Inspector、Amazon Macie、AWS IAM Access Analyzer等の複数のAWSセキュリティサービスの検出結果（Findings）を統合して単一のダッシュボードで可視化します。CIS AWS Foundations Benchmarkなどのセキュリティ標準に対するコンプライアンスチェックも提供します。

正解: A. Amazon Macie

正解の根拠・詳細解説

. Amazon Macie Amazon MacieはS3バケット内のデータを自動的にスキャンし、個人情報（PII）・クレジットカード番号・パスポート番号などの機密データを機械学習で検出・分類します。GDPR・HIPAA等のコンプライアンス要件への対応、データアクセスの異常検知にも活用されます。GuardDutyは脅威検出、Inspectorは脆弱性スキャン、Comprehendはテキスト解析です。

正解: A. EC2インスタンスにIAMロールをアタッチしてアクセス許可を付与する

正解の根拠・詳細解説

. EC2インスタンスにIAMロールをアタッチしてアクセス許可を付与する EC2インスタンスからS3やDynamoDBへのアクセスには、必ずIAMロール（インスタンスプロファイル）を使用します。インスタンスメタデータサービス（IMDS）から一時的なクレデンシャルを自動取得するため、アクセスキーを静的にコードやファイルに埋め込む必要がなく、セキュリティリスクを大幅に削減できます。

正解: A. 外部エンティティ（他アカウント・インターネット）からアクセス可能なリソースポリシーを検出して可視化する

正解の根拠・詳細解説

. 外部エンティティ（他アカウント・インターネット）からアクセス可能なリソースポリシーを検出して可視化する IAM Access Analyzerは、S3バケット・SQSキュー・KMSキー・Lambda関数・IAMロールなどのリソースポリシーを継続的に分析し、組織外（他AWSアカウントやインターネット）からアクセス可能な「意図しない外部共有」を検出して警告します。意図した共有の場合は「アーカイブ」してFindingをクリアできます。

正解: A. セキュリティグループはインスタンスレベルのステートフルフィルタリング、NACLはサブネットレベルのステートレスフィルタリング

正解の根拠・詳細解説

. セキュリティグループはインスタンスレベルのステートフルフィルタリング、NACLはサブネットレベルのステートレスフィルタリング セキュリティグループはEC2インスタンスに適用され「ステートフル」（インバウンドを許可したトラフィックの戻りはアウトバウンドルールを見ずに自動許可）。NACLはサブネットに適用され「ステートレス」（インバウンドとアウトバウンドを個別に評価、ルール番号順に評価して最初にマッチしたルールを適用）。また、NACLはDenyルールを書くことができます。

正解: A. ACM証明書はCloudFront・ALB・API Gatewayで直接使用でき、自動更新される

正解の根拠・詳細解説

. ACM証明書はCloudFront・ALB・API Gatewayで直接使用でき、自動更新される AWS Certificate Managerで発行したパブリック証明書は無料で、有効期限が近づくと自動的に更新されます。ELB（ALB/NLB）、CloudFront、API Gatewayなどに直接関連付けて使用できますが、EC2インスタンスに直接インストールすることはできません（EC2に直接使う場合は証明書をエクスポートするかACMプライベートCAを利用）。

正解: A. Organizations SCP（Service Control Policy）に Deny リストで東京以外のリージョンを制限する

正解の根拠・詳細解説

. Organizations SCP（Service Control Policy）に Deny リストで東京以外のリージョンを制限する SCPの条件キー`aws:RequestedRegion`を使って特定リージョン以外へのリクエストを拒否できます。例：`”Condition”: {“StringNotEquals”: {“aws:RequestedRegion”: “ap-northeast-1”}}`を含むDenyポリシーをSCPとして適用します。これにより組織全体のアカウントで東京リージョン以外へのリソース作成が制限されます。

正解: A. バケットポリシーとIAMポリシーの両方でAllowが必要（同一アカウントの場合）、Denyが一つでもあれば拒否される

正解の根拠・詳細解説

. バケットポリシーとIAMポリシーの両方でAllowが必要（同一アカウントの場合）、Denyが一つでもあれば拒否される 同一アカウント内のS3アクセスでは、IAMポリシー（ユーザー/ロールへの権限）とS3バケットポリシー（リソースへの権限）の両方がAllowである場合にアクセスが許可されます。クロスアカウントの場合は両方のAllowが必要です。明示的なDenyがどちらかにあれば、もう一方でAllowされていてもアクセスは拒否されます。

正解: A. EC2インスタンスやECRコンテナイメージのOSパッケージ・ソフトウェアの脆弱性（CVE）を自動スキャンする

正解の根拠・詳細解説

. EC2インスタンスやECRコンテナイメージのOSパッケージ・ソフトウェアの脆弱性（CVE）を自動スキャンする Amazon Inspector v2はEC2インスタンス（OS・パッケージ）とAmazon ECRのコンテナイメージに対して、既知の脆弱性（CVE: Common Vulnerabilities and Exposures）を継続的に自動スキャンします。エージェントレスでSSM Agentを利用でき、検出した脆弱性をSecurity HubやEventBridgeと統合できます。

正解: A. ログファイルの整合性検証（Log File Validation）を有効化し、S3バケットにMFA Deleteを設定する

正解の根拠・詳細解説

. ログファイルの整合性検証（Log File Validation）を有効化し、S3バケットにMFA Deleteを設定する CloudTrailのログファイル整合性検証を有効化すると、各ログファイルのハッシュ値（ダイジェストファイル）が作成されます。これによりログファイルが改ざんされたかどうかを後から検証できます。さらにS3バケットのMFA Deleteを有効化することで、ログファイルの削除にMFA認証を必須にして改ざんリスクを低減します。

正解: A. データベースのパスワードやAPIキーなどのシークレットを安全に保存・ローテーションし、アプリケーションにコードなしで提供できる

正解の根拠・詳細解説

. データベースのパスワードやAPIキーなどのシークレットを安全に保存・ローテーションし、アプリケーションにコードなしで提供できる AWS Secrets ManagerはRDSパスワード・APIキー・OAuthトークンなどのシークレットを暗号化して保存します。RDS・Redshift・DocumentDBとの統合により自動ローテーション機能を提供し、アプリケーションはコード内にハードコーディングせずSecrets Manager APIで実行時に取得します。Parameter Storeと比べてローテーション自動化が強みです。

正解: A. インターネットゲートウェイやNATゲートウェイを経由せずに、VPC内からAWSサービスへプライベートアクセスする

正解の根拠・詳細解説

. インターネットゲートウェイやNATゲートウェイを経由せずに、VPC内からAWSサービスへプライベートアクセスする VPCエンドポイントを使うとプライベートサブネット内のEC2インスタンスからS3・DynamoDB・SSM等のAWSサービスに、インターネットを経由せずにAWSバックボーンネットワーク経由でアクセスできます。GatewayエンドポイントはS3/DynamoDB用、Interface EndpointはPrivateLinkを使用して他のサービスに対応します。

正解: A. CloudFront・ALB・API Gatewayに対するSQLインジェクション・XSSなどのWebアプリケーション攻撃

正解の根拠・詳細解説

. CloudFront・ALB・API Gatewayに対するSQLインジェクション・XSSなどのWebアプリケーション攻撃 AWS WAFはHTTP/HTTPSリクエストを検査して悪意ある通信をブロックするWebアプリケーションファイアウォールです。SQLインジェクション、クロスサイトスクリプティング（XSS）、悪意あるボット、IPアドレスブロックなどのルールを設定できます。CloudFront・ALB・API GatewayにアタッチしてWebアプリを保護します。

正解: A. MFA認証を使ってサインインしたユーザーのみが特定のアクション（例: S3削除）を実行できるように制限する

正解の根拠・詳細解説

. MFA認証を使ってサインインしたユーザーのみが特定のアクション（例: S3削除）を実行できるように制限する `aws:MultiFactorAuthPresent: true`の条件をIAMポリシーに設定すると、MFAでの認証が完了したセッションからのリクエストのみを許可できます。例えば「MFA認証なしではS3の削除操作を禁止する」などの設定で、重要な操作に追加の認証要素を要求できます。

正解: A. Conformance Packのリメディエーションアクション、またはConfig RuleにSSM Automationドキュメントを関連付けて自動実行する

正解の根拠・詳細解説

. Conformance Packのリメディエーションアクション、またはConfig RuleにSSM Automationドキュメントを関連付けて自動実行する AWS Config Ruleに「修復アクション（Remediation Action）」を設定すると、非準拠リソースを自動修復できます。修復アクションとしてSSM Automation Documentを指定し、手動修復（コンソールからワンクリック）または自動修復（非準拠検知後に自動実行）の設定が可能です。例えば「S3バケットのパブリックアクセスを自動でブロックする」などの自動修復が実現できます。

正解: A. Webアプリやモバイルアプリのユーザーサインアップ・サインイン・アクセス制御機能を提供するマネージドサービス

正解の根拠・詳細解説

. Webアプリやモバイルアプリのユーザーサインアップ・サインイン・アクセス制御機能を提供するマネージドサービス Amazon Cognitoはアプリケーションのユーザー認証基盤を提供するサービスです。「ユーザープール」でユーザーのサインアップ・ログイン・MFAを管理し、「IDプール」でGoogle/Facebook/SAMLなどのフェデレーテッドIDにAWSリソースへの一時的なアクセス権限を付与できます。スケーラブルで独自の認証システムを構築する必要がありません。

正解: A. パブリックサブネットのルートテーブルにインターネットゲートウェイ（IGW）へのルートが設定されており、プライベートサブネットにはない

正解の根拠・詳細解説

. パブリックサブネットのルートテーブルにインターネットゲートウェイ（IGW）へのルートが設定されており、プライベートサブネットにはない パブリックサブネットとプライベートサブネットの技術的な違いは「ルートテーブルにIGWへのルート（0.0.0.0/0 → igw-xxx）があるかどうか」です。パブリックサブネットのインスタンスがインターネットと通信するには、さらにパブリックIPまたはElastic IPも必要です。プライベートサブネットからのアウトバウンドインターネット接続にはNATゲートウェイを使用します。

正解: A. パブリックサブネットにNATゲートウェイを配置し、プライベートサブネットのルートテーブルにNATゲートウェイへのルートを追加する

正解の根拠・詳細解説

. パブリックサブネットにNATゲートウェイを配置し、プライベートサブネットのルートテーブルにNATゲートウェイへのルートを追加する NATゲートウェイはパブリックサブネットに配置し、Elastic IPを関連付けます。プライベートサブネットのルートテーブルに「0.0.0.0/0 → nat-xxx（NATゲートウェイ）」のルートを追加することで、プライベートサブネットのインスタンスからアウトバウンドインターネット通信が可能になります。インバウンドからの接続は引き続きブロックされます。

正解: A. 静的・動的コンテンツを世界中のエッジロケーションにキャッシュして低レイテンシで配信し、オリジンサーバーの負荷を軽減する

正解の根拠・詳細解説

. 静的・動的コンテンツを世界中のエッジロケーションにキャッシュして低レイテンシで配信し、オリジンサーバーの負荷を軽減する Amazon CloudFrontは世界450+のエッジロケーション（POP）を持つCDN（コンテンツデリバリーネットワーク）です。キャッシュによりオリジンへのリクエスト数を削減し、ユーザーに最も近いエッジから高速にコンテンツを配信します。オリジンとしてS3・EC2・ALB・API Gateway・カスタムHTTPサーバーを設定できます。

正解: A. ユーザーのDNSクエリ元に最もレイテンシーが低いリージョンのエンドポイントを返す

正解の根拠・詳細解説

. ユーザーのDNSクエリ元に最もレイテンシーが低いリージョンのエンドポイントを返す Route 53のレイテンシーベースルーティングは、複数リージョンに同一アプリを展開している場合に、DNSクエリを発信したユーザーに対して過去のレイテンシー測定データをもとに最もレイテンシーが低いリージョンのエンドポイントを返します。地理的に近いからといって必ずしもレイテンシーが低いわけではないため、実測値に基づく点が「地理的ルーティング（Geolocation）」と異なります。

正解: A. 複数のVPCとオンプレミスネットワークをハブ＆スポーク型に接続して一元管理する

正解の根拠・詳細解説

. 複数のVPCとオンプレミスネットワークをハブ＆スポーク型に接続して一元管理する Transit Gatewayはリージョンごとの「ネットワークハブ」として機能し、複数のVPC・VPN・Direct Connectゲートウェイを接続します。VPCピアリングは1対1の接続のため10のVPCを接続するにはnC2（45接続）が必要ですが、Transit Gatewayを使えば10接続で済み管理が大幅に簡素化されます。ルートテーブルで接続するVPC間のトラフィックを制御できます。

正解: A. オンプレミスデータセンターとAWSを専用線で接続し、安定した帯域幅と低レイテンシを確保する

正解の根拠・詳細解説

. オンプレミスデータセンターとAWSを専用線で接続し、安定した帯域幅と低レイテンシを確保する AWS Direct Connectは専用の物理回線でオンプレミスとAWSを直接接続するサービスです。インターネットVPNと比べて安定した帯域幅・低レイテンシ・一貫したネットワーク体験を提供します。大量のデータ転送（例: 大規模バックアップ・DMZ）やレイテンシーに敏感なワークロード（金融取引・リアルタイム処理）に適しています。

正解: A. GeoProximityはバイアス値でルーティング境界を調整でき、GeolocationはユーザーのIPに基づく国・大陸単位の厳密な割り当て

正解の根拠・詳細解説

. GeoProximityはバイアス値でルーティング境界を調整でき、GeolocationはユーザーのIPに基づく国・大陸単位の厳密な割り当て Geolocationルーティングはユーザーの地理的位置（国・大陸）に基づいてルーティングします。GeoProximityルーティング（Traffic Policyで設定）はリソースの地理的位置とユーザーの位置の距離に基づき、さらに「バイアス」値を設定することで特定リソースへのトラフィック割合を増減させることができます。

正解: A. CIDRブロックが重複するVPC同士はピアリングできない（オーバーラッピング制限）

正解の根拠・詳細解説

. CIDRブロックが重複するVPC同士はピアリングできない（オーバーラッピング制限） VPCピアリングではピアリングする両方のVPCのCIDRブロックが重複（オーバーラップ）していると接続できません。また「推移的ピアリング」（A-B間ピアリングとB-C間ピアリングがあっても、A→B→CというルーティングはできずA-C間の直接ピアリングが必要）も制限です。なおクロスリージョン・クロスアカウントのVPCピアリングも可能です。

正解: A. S3バケットへの直接アクセスをブロックし、CloudFrontからのアクセスのみを許可する

正解の根拠・詳細解説

. S3バケットへの直接アクセスをブロックし、CloudFrontからのアクセスのみを許可する OAC（Origin Access Control）を設定することで、S3バケットをパブリックアクセス不可の状態に保ちながら、CloudFront経由のアクセスのみを許可できます。S3バケットポリシーでCloudFrontのサービスプリンシパル（cloudfront.amazonaws.com）からのアクセスのみを許可する設定と組み合わせて使用します（旧来のOAIに代わる推奨設定）。

正解: A. SSM APIへのVPCエンドポイントがなく、NATゲートウェイも設定されていないためSSMトラフィックがルーティングできない

正解の根拠・詳細解説

. SSMエージェントがSSM APIへのVPCエンドポイントがなく、NATゲートウェイも設定されていないためSSMトラフィックがルーティングできない プライベートサブネットのEC2インスタンスがSSM APIに接続するには、①VPCエンドポイント（com.amazonaws.region.ssm / ssmmessages / ec2messages）を作成するか、②NATゲートウェイ経由でインターネットに接続できる環境が必要です。どちらもない場合、SSMエージェントはSSMエンドポイントに到達できず接続失敗になります。

正解: A. AWSグローバルネットワークを使って世界中のユーザーからのトラフィックを最適なAWSリージョンに高速ルーティングする

正解の根拠・詳細解説

. AWSグローバルネットワークを使って世界中のユーザーからのトラフィックを最適なAWSリージョンに高速ルーティングする AWS Global Acceleratorは固定のAnycast IPアドレスを提供し、ユーザーのトラフィックをAWSグローバルネットワーク（バックボーン）を経由して最適なリージョンのエンドポイント（ALB・EC2・EIP）に高速ルーティングします。HTTPSキャッシュが主なCloudFrontと異なり、Global AcceleratorはTCP/UDPレベルでゲームや音声/映像ストリーミングなどに適します。

正解: A. セキュリティグループまたはNACLのルールによってトラフィックが拒否された

正解の根拠・詳細解説

. セキュリティグループまたはNACLのルールによってトラフィックが拒否された VPCフローログのアクションフィールドには「ACCEPT」（許可）または「REJECT」（拒否）が記録されます。REJECTはセキュリティグループかNACLのいずれかのルールによってトラフィックが拒否されたことを示します。フローログを使ってREJECTされているトラフィックのソースIPやポートを確認し、セキュリティグループ・NACLのトラブルシューティングに活用できます。

正解: A. ALBはHTTP/HTTPSのレイヤー7ロードバランシング、NLBはTCP/UDPのレイヤー4超高速ロードバランシング

正解の根拠・詳細解説

. ALBはHTTP/HTTPSのレイヤー7ロードバランシング、NLBはTCP/UDPのレイヤー4超高速ロードバランシング Application Load Balancer（ALB）はHTTP/HTTPSのL7ロードバランサーで、URLパス・ホストヘッダー・HTTPメソッドに基づくルーティングが可能です。Network Load Balancer（NLB）はTCP/UDP/TLSのL4ロードバランサーで、極低レイテンシで数百万のリクエストを処理でき固定IPをサポートします。CLB（Classic）はレガシーで新規構築では推奨されません。

正解: A. 複数の子ヘルスチェックの結果を組み合わせて（AND/OR）親ヘルスチェックの状態を判定する

正解の根拠・詳細解説

. 複数の子ヘルスチェックの結果を組み合わせて（AND/OR）親ヘルスチェックの状態を判定する Calculated Health Checkは複数のエンドポイントのヘルスチェック結果を「○件以上が正常なら正常」や「全件正常の場合のみ正常」のように組み合わせて親ヘルスチェックの状態を判定する機能です。例えば「ALBの80%以上のEC2インスタンスが正常な場合のみ正常と判定する」などの複合条件ロードバランシングに使用します。

正解: A. AWS Transit Gateway

正解の根拠・詳細解説

. AWS Transit Gateway VPCピアリングでは推移的ルーティングがサポートされません（A→B→Cのようにピアリング経由でのルーティングはできない）。一方でAWS Transit GatewayはA・B・Cすべてをトランジットゲートウェイに接続することで、A→TGW→C→B等の推移的なルーティングをルートテーブルで制御しながら実現できます。

正解: A. CloudFrontからのリクエストのみをオリジンで許可するためのシークレット値として使う

正解の根拠・詳細解説

. CloudFrontからのリクエストのみをオリジンで許可するためのシークレット値として使う CloudFrontのオリジン設定でカスタムヘッダー（例: X-Custom-Header: secret-value）を追加し、オリジン側でそのヘッダーが含まれるリクエストのみを許可する（そうでないリクエストは403などで拒否する）設定にすることで、CloudFront経由のリクエストのみをオリジンに到達させるセキュリティ強化ができます。

正解: A. 同一ユーザーのリクエストが常に同じターゲットに送られるため、ターゲット間で負荷が偏る可能性がある

正解の根拠・詳細解説

. 同一ユーザーのリクエストが常に同じターゲットに送られるため、ターゲット間で負荷が偏る可能性がある スティッキーセッション（セッションアフィニティ）はELBのCookieを使って同一ユーザーのリクエストを同じターゲットにルーティングします。サーバーサイドセッションを持つアプリに有用ですが、特定のターゲットに負荷が集中してロードバランシングの効果が下がる可能性があります。ステートレス設計（ElastiCacheでセッション共有）が推奨されますが、既存アプリの移行期には有効なオプションです。

正解: A. VPC内部でのみ解決されるカスタムDNS名（例: db.internal）を設定してプライベートサービスにアクセスする

正解の根拠・詳細解説

. VPC内部でのみ解決されるカスタムDNS名（例: db.internal）を設定してプライベートサービスにアクセスする Route 53プライベートホストゾーンは特定のVPC内からのみ解決できるDNSレコードを管理します。例えば`rds.myapp.internal`をRDSのエンドポイントに向けるレコードを設定すれば、VPC内のアプリは覚えやすい名前でDBに接続できます。プライベートホストゾーンはVPCに関連付けて使用し、インターネットからは解決されません。

正解: A. サービスプロバイダーが自社のサービスを他のVPCや顧客のVPCにプライベートに公開する

正解の根拠・詳細解説

. サービスプロバイダーが自社のサービスを他のVPCや顧客のVPCにプライベートに公開する AWS PrivateLinkとVPCエンドポイントサービスを組み合わせると、サービスプロバイダー（AWSパートナーや社内チーム）が自社サービスをNLBの背後に配置し、コンシューマー（顧客や他チーム）がInterface Endpoint経由でプライベートにアクセスできます。インターネットを経由しないため安全で、VPCのCIDR重複があっても使用できます。

正解: A. VPCエンドポイント（Interface Endpoint）からのみアクセス可能で、インターネットからのアクセスをブロックできる

正解の根拠・詳細解説

. VPCエンドポイント（Interface Endpoint）からのみアクセス可能で、インターネットからのアクセスをブロックできる API Gatewayのプライベートエンドポイントは、VPC内にInterface Endpointを作成し、そのエンドポイント経由でのみAPIにアクセスできる設定です。リソースポリシーと組み合わせて「特定のVPCエンドポイントからのリクエストのみ許可」と設定すれば、インターネットからAPIへの直接アクセスを完全に防げます。社内向けAPIや機密性の高いAPIに適しています。

正解: A. CloudFrontディストリビューションの「ビューワープロトコルポリシー」を「HTTPSのみ」または「HTTPSにリダイレクト」に設定する

正解の根拠・詳細解説

. CloudFrontディストリビューションの「ビューワープロトコルポリシー」を「HTTPSのみ」または「HTTPSにリダイレクト」に設定する CloudFrontのビヘイビア設定にある「ビューワープロトコルポリシー」で①「HTTP and HTTPS（両方許可）」②「Redirect HTTP to HTTPS（HTTPをHTTPSにリダイレクト）」③「HTTPS Only（HTTPSのみ）」を選択できます。「Redirect HTTP to HTTPS」または「HTTPS Only」を選択することでHTTPS通信を強制できます。

正解: A. 「DNS ホスト名を有効化（Enable DNS Hostnames）」と「DNS 解決を有効化（Enable DNS Resolution）」の両方をオンにする

正解の根拠・詳細解説

. 「DNS ホスト名を有効化（Enable DNS Hostnames）」と「DNS 解決を有効化（Enable DNS Resolution）」の両方をオンにする VPCでEC2インスタンスのパブリックDNSホスト名（ec2-X-X-X-X.compute.amazonaws.com等）を使用するには「DNSホスト名を有効化」が必要です。また「DNS解決を有効化」をオンにすると、VPC内のAmazon提供DNSサーバー（VPC CIDR+2アドレス）を使用してDNSクエリを解決できます。VPCエンドポイントを使用する場合もこれらが必要です。

正解: A. Reserved Instances（RI）またはSavings Plansで1〜3年のコミットメントをすることで最大72%の割引を受ける

正解の根拠・詳細解説

. Reserved Instances（RI）またはSavings Plansで1〜3年のコミットメントをすることで最大72%の割引を受ける 長期間安定して使用するEC2インスタンスにはRIまたはSavings Plansが最適です。Reserved Instancesは特定のインスタンスタイプ・リージョンにコミットし最大72%割引、Savings PlansはEC2・Fargate・Lambdaの1時間あたりの使用量にコミットして柔軟に使いながら同様の割引が受けられます。Spot Instancesは中断可能なバッチ処理向けです。

正解: A. チェックポイント機能があるバッチ処理・機械学習の学習ジョブ・CI/CDパイプラインなど中断と再試行が可能なワークロード

正解の根拠・詳細解説

. チェックポイント機能があるバッチ処理・機械学習の学習ジョブ・CI/CDパイプラインなど中断と再試行が可能なワークロード Spot Instancesは最大90%割引という大幅なコスト削減ができますが、AWSが容量を必要とする際に2分前の通知で中断（インターレプション）される可能性があります。チェックポイントから再開できるバッチ処理、分散ML学習、テスト/CI、画像・動画レンダリングなど、中断されても問題ないワークロードに最適です。

正解: A. AIモデルの精度・パフォーマンス評価

正解の根拠・詳細解説

. AIモデルの精度・パフォーマンス評価 AWS Trusted Advisorは「コスト最適化」「パフォーマンス」「セキュリティ」「フォールトトレランス」「サービス制限」の5つのカテゴリーでAWS環境のベストプラクティスに基づくチェックを実行します（2024年以降は「オペレーショナルエクセレンス」も追加）。AIモデルの評価はTrusted Advisorの対象外です。

正解: A. EC2インスタンス・Lambda・EBS・ECSタスクの使用状況を分析し、過剰プロビジョニングや過少プロビジョニングを検出してリコメンデーションを提供する

正解の根拠・詳細解説

. EC2インスタンス・Lambda・EBS・ECSタスクの使用状況を分析し、過剰プロビジョニングや過少プロビジョニングを検出してリコメンデーションを提供する AWS Compute Optimizerは機械学習を使って直近の使用状況を分析し、最適なリソースタイプとサイズをリコメンドします。例えば「m5.2xlarge を使っているが実際の使用率からは m5.large で十分」という具体的なリコメンデーションを提供します。EC2・Lambda・EBS・ECSタスク・Auto Scalingグループが対象です。

正解: A. アクセスパターンが不明または不規則で、自動でコスト最適化したいデータ

正解の根拠・詳細解説

. アクセスパターンが不明または不規則で、自動でコスト最適化したいデータ S3 Intelligent-Tieringはアクセスパターンを自動監視し、30日間アクセスのないオブジェクトを低頻度アクセス層に、さらに長期間アクセスのないものをアーカイブ層に自動移動します。アクセスパターンが予測しにくいデータや、管理の手間を省きながらコスト最適化したい場合に最適です。監視・自動化の費用が小さいオブジェクトには不向きなのでオブジェクトサイズに注意が必要です。

正解: A. SR-IOV（Single Root I/O Virtualization）技術でネットワーク帯域幅を増加させレイテンシを削減する

正解の根拠・詳細解説

. SR-IOV（Single Root I/O Virtualization）技術でネットワーク帯域幅を増加させレイテンシを削減する 拡張ネットワーキングはSR-IOVを使用してハイパーバイザーを介さずに物理NICに直接アクセスすることで、より高いパケット毎秒（PPS）パフォーマンス、低いネットワークジッターと低レイテンシを実現します。C5・M5・R5などの最新インスタンスはデフォルトで有効化されており（ENA: Elastic Network Adapter）、高スループットが必要なワークロードに適しています。

正解: A. 作成から30日後にS3 Standard-IAに移動し、90日後にGlacierに移動し、365日後に削除する

正解の根拠・詳細解説

. 作成から30日後にS3 Standard-IAに移動し、90日後にGlacierに移動し、365日後に削除する S3ライフサイクルポリシーで「新しいデータ→頻繁アクセス→アーカイブ→削除」の段階的な移行を自動化できます。例：S3 Standard（0〜30日）→ S3 Standard-IA（30〜90日）→ S3 Glacier Instant Retrieval（90〜365日）→ Glacier Deep Archive（365日〜1年）→ 削除、のようなポリシーでストレージコストを大幅削減できます。

正解: A. 過去・現在のAWSコストと使用量を可視化し、将来のコストを予測してコスト削減の施策を特定する

正解の根拠・詳細解説

. 過去・現在のAWSコストと使用量を可視化し、将来のコストを予測してコスト削減の施策を特定する AWS Cost Explorerは過去12か月間のAWSコストと使用量をグラフ・テーブルで可視化し、将来12か月のコスト予測も提供します。サービス別・アカウント別・タグ別・リージョン別に分析できます。また、Reserved Instances/Savings Plansのリコメンデーションも提供します。予算アラートはAWS Budgetsが担当します。

正解: A. リソースにコストセンター・プロジェクト・環境のタグを付けることで、Cost Explorerでタグ別のコスト分析が可能になる

正解の根拠・詳細解説

. リソースにコストセンター・プロジェクト・環境のタグを付けることで、Cost Explorerでタグ別のコスト分析が可能になる AWSリソースにコスト配分タグ（例: Project=MyApp、Environment=Production）を付けて「コスト配分タグ」として有効化すると、AWS Cost ExplorerやコストレポートでタグのKey/Valueでコストを分析・配分できます。大規模組織では部門・プロジェクト別のコスト管理に不可欠です。

正解: A. 頻繁にアクセスされるデータベースクエリ結果やセッション情報をメモリにキャッシュし、RDSへのクエリ数を削減する

正解の根拠・詳細解説

. 頻繁にアクセスされるデータベースクエリ結果やセッション情報をメモリにキャッシュし、RDSへのクエリ数を削減する Amazon ElastiCacheはインメモリキャッシュサービスです（RedisとMemcachedをサポート）。RDSへの同一クエリが繰り返される「Read-Heavy」なワークロードで、クエリ結果を一定時間キャッシュすることでRDSの負荷を大幅に削減し、サブミリ秒のレスポンスを実現します。セッション管理にも広く使用されます。

正解: A. T系インスタンスは平時にCPUクレジットを積み立て、バーストが必要な時にクレジットを消費してベースライン以上のCPU性能を発揮する

正解の根拠・詳細解説

. T系インスタンスは平時にCPUクレジットを積み立て、バーストが必要な時にクレジットを消費してベースライン以上のCPU性能を発揮する T2/T3/T4gなどのバーストブルインスタンスは「ベースラインCPU使用率（例: t3.micro=10%）」以下の時にCPUクレジットを積み立て、ベースラインを超えた場合にクレジットを消費してバーストします。クレジットが枯渇するとベースライン以下のCPU使用率に制限されます（Unlimitedモードではクレジット超過分を課金で継続可能）。

正解: A. 機械学習を使ってAWSコストの異常なスパイクや予期しないコスト増加を自動検出してアラートを送信する

正解の根拠・詳細解説

. 機械学習を使ってAWSコストの異常なスパイクや予期しないコスト増加を自動検出してアラートを送信する AWS Cost Anomaly Detectionは機械学習モデルがサービス・メンバーアカウント・コストカテゴリー・コスト配分タグごとのコストパターンを学習し、通常と異なる異常なコスト増加を検出します。SNS通知でメールやSlackへのアラートが可能です。AWS Budgetsとは異なり、固定しきい値なしに動的に異常を検出できます。