AWS認定クラウドプラクティショナー（CLF-C02）の出題分野3「クラウドテクノロジーとサービス」から、練習問題15問を無料で公開します。
この分野の出題割合は34%で、4分野のうち最も大きい配分です。65問のうちおよそ22問がここから出るため、合否を最も左右する分野になります。
分野3で問われるのは、AWSサービスの役割です。ただし「そのサービスが何をするものか」を単独で聞かれることは多くありません。ほとんどの問題は、要件を1〜2行で示したうえで、役割の似たサービスを4つ並べ、そこから1つを選ばせる形になります。つまり、覚えるべきはサービス名の定義そのものよりも、似たサービスとの境界です。
たとえば、参照頻度が下がったデータの保管費用を抑えるならどのS3ストレージクラスか、失われても作り直せる中間ファイルにはどれが適するか。インターネットからの受信を許可するのはセキュリティグループかネットワークACLか。プライベートサブネットから外へ出る通信にはNATゲートウェイかインターネットゲートウェイか。設定変更の履歴を後から追うのはAWS ConfigかCloudTrailか。今回の15問は、こうした境界を1問ずつ潰していく構成にしています。
まず問題文と選択肢だけを読んで答えを決め、それから「解答と解説を見る」を開いてください。15問中2問は複数選択（2つ選択）です。
問題1単一選択
ある企業が、Amazon EC2インスタンスに届く通信をVPCの機能で制御したいと考えています。セキュリティグループを設定することで実現できる内容として、正しいものはどれですか。
- EC2インスタンスへの通信を、指定したポート番号宛てのものだけ許可します
- 特定のIPアドレスからEC2インスタンスへの通信を、サブネット単位で明示的に拒否します
- ロードバランサーの手前でリクエストの内容を検査し、EC2インスタンスへの攻撃を遮断します
- 行きと戻りの通信を別々に判定するステートレスな仕組みで、EC2インスタンスを守ります
解答と解説を見る
正解：回答 1
回答 1 正解 セキュリティグループは、インスタンスに出入りする通信をプロトコル・ポート番号・送信元で許可するインスタンス単位の仮想ファイアウォールです。443番ポートだけを許可するルールを書けば、それ以外のポート宛ての通信は届きません。Webサーバーなら80番と443番だけ、と入口を絞る用途に使います。
回答 2 不正解 サブネット単位で通信を許可・拒否するのはネットワークACL（Access Control List、サブネットの出入口で通信を検査する仕組み）の役割です。セキュリティグループには拒否ルールがなく、書けるのは許可ルールだけなので、特定のアドレスを名指しで拒否する使い方はできません。特定の送信元の締め出しにはネットワークACLを使います。
回答 3 不正解 ロードバランサーに届くリクエストの内容を検査して攻撃を遮断するのはAWS WAF（Web Application Firewall、Webアプリケーション向けの防御サービス）の役割です。セキュリティグループが見るのはプロトコル・ポート番号・送信元アドレスまでで、リクエストの内容は読みません。SQLインジェクションなどの対策にはAWS WAFを使います。
回答 4 不正解 行きと戻りの通信を別々に判定するステートレスな仕組みはネットワークACLです。セキュリティグループはステートフルで、許可した通信への戻りの通信は自動的に通すため、往復を個別に判定する動きにはなりません。往復を別々に制御したい場合はネットワークACLの両方向にルールを書きます。
問われている要件
- セキュリティグループがどの単位で何を見て通信を制御するかを知っていること
- セキュリティグループとネットワークACLの役割の違いを区別できること
- リクエストの内容を検査するAWS WAFとの違いが分かること
前提知識
セキュリティグループとは
- EC2インスタンスなどに関連付けて、インバウンド（外から入る通信）とアウトバウンド（外へ出る通信）を制御するインスタンス単位の仮想ファイアウォールです。書けるのは「どのポート番号宛てを、どの送信元から許可するか」だけです。
- 賃貸オフィスに例えると、セキュリティグループは部屋ごとの鍵で、誰を入れたかを覚えているので出ていくときは改めて確認しません。
ステートフルとステートレス
- セキュリティグループはステートフルです。許可したリクエストへの返事は、アウトバウンドのルールに関係なく自動的に通ります。
- ネットワークACLはステートレスで、行きと戻りの通信をそれぞれのルールで判定します。返事を通すにはアウトバウンド側にも許可ルールが必要です。
ネットワークACLとAWS WAF
- ネットワークACLはサブネットの出入口で通信を検査する仕組みで、許可ルールと拒否ルールの両方を番号順に評価します。
- AWS WAFはロードバランサーなどに届くHTTPリクエストの内容を検査し、SQLインジェクションなどの攻撃を遮断します。ポート番号ではなく内容で判断します。
図による解説
解くための考え方
問題文の「EC2インスタンスに届く通信」と「セキュリティグループ」に注目します。問われているのは、セキュリティグループが何を見てどの単位で通信を制御するかです。
セキュリティグループはインスタンス単位の仮想ファイアウォールで、ポート番号や送信元を条件に通信を許可します。指定したポート番号宛ての通信だけを受け付ける、という内容がそのまま基本機能なので、これが正解です。
残りの選択肢は別の仕組みの特徴です。サブネット単位で拒否ルールを書くのはネットワークACLで、セキュリティグループには拒否ルール自体がありません。行きと戻りを別々に判定するステートレスな動きもネットワークACLの特徴です。リクエストの内容を検査して攻撃を遮断するのはAWS WAFです。
「インスタンス単位・許可のみ・ステートフル」ならセキュリティグループ、「サブネット単位・拒否も可能・ステートレス」ならネットワークACL、「リクエストの内容を検査」ならAWS WAF、という対応で判断します。
参考資料：セキュリティグループを使用して AWS リソースへのトラフィックを制御する – Amazon Virtual Private Cloud、EC2 インスタンスの Amazon EC2 セキュリティグループ – Amazon Elastic Compute Cloud、ネットワークアクセスコントロールリストを使用して、サブネットのトラフィックを制御する – Amazon Virtual Private Cloud、AWS WAF とは – AWS WAF、AWS Shield Advanced、AWS Shield ネットワークセキュリティディレクター、AWS Firewall Manager
問題2単一選択
ある企業が、新しいアプリケーションをAWS Lambdaなどのサーバーレスのサービスで構築することを検討しています。サーバーレスコンピューティングを採用することで得られる利点として、正しいものはどれですか。
- 実行環境のOSを自分で選び、パッチ適用の時期も原則として自社で決められます
- アプリケーションのセキュリティ対策を、主にAWS側が代わりに引き受けます
- 料金が原則として月額の固定制になるため、予算の見通しが立てやすくなります
- 負荷に応じた実行環境の増減や日々の保守を、AWSが自動で行います
解答と解説を見る
正解：回答 4
回答 1 不正解 OSを選んでパッチ適用の時期を自社で決めるのは、Amazon EC2のように自分でサーバーを管理する使い方の特徴です。サーバーレスでは実行環境のOSやランタイムの保守をAWSが行うため、利用者がOSを選んだりパッチを当てたりする作業は発生せず、そうした細かな制御自体ができません。OSレベルの制御が必要な場合はEC2を使います。
回答 2 不正解 サーバーレスでも責任共有モデルは変わらず、AWSが守るのは実行環境などのインフラ側です。関数のコードに脆弱性がないか、扱うデータをどう保護するか、どのIAMの権限を与えるかは利用者の責任として残るため、アプリケーションのセキュリティ対策の主体がAWS側に移ることはありません。インフラの保守を任せつつ、自分のコードとデータは自分で守る、という分担で使います。
回答 3 不正解 月額の固定制になるのは、リザーブドインスタンスのような契約型の料金モデルの特徴です。サーバーレスの料金は実行回数や実行時間に応じた従量課金で、使わなければ料金は発生せず、使った分だけ増えるため、固定制にはなりません。アクセスの波が大きく、使った分だけ払いたい処理に向いています。
回答 4 正解 サーバーレスでは、実行環境の用意、OSの保守、負荷に合わせた実行環境の増減といったインフラの管理をAWSが引き受けます。利用者はアプリケーションのコードを書いて置くだけで実行でき、インフラの運用作業から解放されるため、開発に集中できる点が最大の利点です。
問われている要件
- サーバーレスコンピューティングで、AWSが引き受ける作業と利用者に残る作業を区別できること
- 責任共有モデルがサーバーレスでも続くことを理解していること
- サーバーレスの料金が従量課金であることを知っていること
前提知識
サーバーレスコンピューティングとは
- AWS LambdaやAWS Fargateのように、利用者がサーバーを用意したり管理したりせずにアプリケーションを実行できる仕組みです。サーバーの調達、OSの保守、負荷に応じた拡張と縮小はAWSが行い、利用者はコードやコンテナを置くだけで動かせます。
- 賃貸オフィスに例えると、Lambdaは机も什器もそろった部屋で、持ち込むのは書類にあたるコードと道具にあたるライブラリだけです。
- サーバーレスの料金は実行回数や実行時間に応じた従量課金で、待機しているだけの時間には料金がかかりません。
サーバーレスでも利用者が担う責任
- 責任共有モデルの考え方はサーバーレスでも変わりません。AWSは実行環境やその下のインフラの安全を守り、利用者はコードの品質、データの保護、IAM（Identity and Access Management、誰が何をしてよいかを決める仕組み）による権限設定に責任を持ちます。
- 監視も利用者の仕事です。Lambdaは実行回数やエラー数をAmazon CloudWatchへ自動で送るので、それを見て異常に気づく必要があります。
EC2との違い
- EC2はOSを自分で選び、パッチ適用も自分で行う代わりに、細かな制御ができます。サーバーレスはその制御を手放す代わりに、インフラの管理をAWSへ任せます。何を自分で管理したいかで使い分けます。
解くための考え方
問題文の「サーバーレス」と「利点」という言葉に注目します。サーバーレスの本質は、サーバーという実体を利用者が意識せず、その管理をAWSに任せられることです。
負荷に応じた実行環境の増減や日々の保守をAWSが自動で行う、という内容はインフラの管理をAWSへ任せることそのものなので、これが正解です。
残りの選択肢は、サーバーレスの特徴と逆になっているか、AWSの担当範囲を広げすぎています。OSを自分で選んでパッチの時期を決めるのはEC2の特徴で、サーバーレスではOSの保守がAWS側に移ります。セキュリティの主体がAWSに移るという内容は責任共有モデルに反し、コードとデータの保護は利用者に残ります。月額の固定制になるという内容は契約型の料金モデルの特徴で、サーバーレスは使った分だけ払う従量課金です。
「サーバーレスの利点」と問われたら、インフラ管理をAWSへ任せられること、自動で拡張縮小すること、使った分だけの従量課金であること、の3つを思い出してください。
参考資料：サーバーレスコンピューティング – アマゾン ウェブ サービス、AWS Lambda とは – AWS Lambda、AWS Lambda のセキュリティ – AWS Lambda、Lambda 関数のモニタリングとトラブルシューティング – AWS Lambda、AWS Lambda の料金
問題3単一選択
ある企業が、Amazon S3に大量のデータを保存しています。利用者からの参照頻度が下がったデータの保管費用を抑えたいと考えています。この要件に最も適したAmazon S3の機能はどれですか。
- S3 バージョニング
- S3 ライフサイクル
- S3 オブジェクトロック
- S3 レプリケーション
解答と解説を見る
正解：回答 2
回答 1 不正解 S3 バージョニングは、同じキーのオブジェクトを上書きしたり削除したりしても、以前の版を残しておく機能です。版が増えるほど保存されるオブジェクトの数が増え、各版に通常の料金がかかるため、保管費用はむしろ増えます。誤って上書きや削除をしたときに前の状態へ戻したい、という保護の用途に使います。
回答 2 正解 S3 ライフサイクルは、オブジェクトが作られてからの日数などの条件で、別のストレージクラスへ移動する、または削除する、という動作を自動で行うルールです。たとえば作成から90日後にS3 Glacier Flexible Retrievalへ移す、といった設定をしておけば、参照されなくなったデータが人手をかけずに低コストの保管先へ移り、費用を抑えられます。
回答 3 不正解 S3 オブジェクトロックは、指定した期間はオブジェクトを削除も上書きもできないようにする機能です。データを動かさずその場に固定するための仕組みなので、ストレージクラスを移して費用を下げる働きはありません。監査や法規制で「一定期間は消してはならない」記録を確実に残したいときに使います。
回答 4 不正解 S3 レプリケーションは、バケットに置かれたオブジェクトを別のリージョンや同じリージョンの別のバケットへ自動でコピーする機能です。元のオブジェクトはそのまま残り、コピー先の分も保存料金がかかるため、保管費用は増えます。災害対策や別リージョンの利用者に近い場所へデータを置きたいときに使います。
問われている要件
- 参照頻度が下がったデータの保管費用を抑えること
- 参照頻度が下がったデータを低コストのストレージクラスへ移す仕組みを知っていること
- 上記に当てはまるAmazon S3の機能を、似た名前の他の機能と区別して選ぶこと
前提知識
S3 ライフサイクルとは
- オブジェクトの経過日数などを条件に、「別のストレージクラスへ移動する（移行）」と「削除する（有効期限）」の2種類の動作を自動で実行するルールです。S3 Standardから、S3 Standard-IA、S3 Glacier Flexible Retrieval、S3 Glacier Deep Archiveなどへ段階的に移す使い方が代表例です。
- 賃貸オフィスに例えると、S3 Standardは手元の棚、S3 Glacierは外部の保管倉庫で、ライフサイクルは「一定期間たった書類は倉庫へ送る」という社内ルールにあたります。
似た名前のS3の機能
- S3 バージョニングは、上書きや削除をしても以前の版を残す機能です。版ごとに料金がかかるため、古い版の整理にはライフサイクルを組み合わせます。
- S3 オブジェクトロックは、指定した期間はオブジェクトを削除も上書きもできなくする機能で、監査や法規制への対応に使います。
- S3 レプリケーションは、オブジェクトを別のバケットへ自動でコピーする機能で、災害対策や利用者に近い場所へのデータ配置に使います。
図による解説
解くための考え方
問題文の「参照頻度が下がったデータ」と「保管費用を抑えたい」という2つの言葉に注目します。使われなくなったデータを安いストレージクラスへ移して費用を下げる仕組みが問われています。参照頻度は時間の経過とともに下がるものなので、経過日数を条件に移動を自動化できれば人手がかかりません。
経過日数などの条件でストレージクラスの移行や削除を自動で行うのはS3 ライフサイクルです。参照頻度が下がったデータをS3 Glacierなどへ移す、という要件にそのまま当てはまるので、これが正解です。
似た名前の機能は、いずれもデータを動かして安くする働きを持ちません。バージョニングは以前の版を残す機能、レプリケーションは別のバケットへコピーする機能で、どちらも保存されるオブジェクトが増えて費用は上がります。オブジェクトロックは削除や上書きを禁止してその場に固定する機能で、費用を下げる方向には働きません。
「参照頻度が下がったデータを安いクラスへ移す」と読めたらライフサイクル、「前の版を残したい」ならバージョニング、「消せないようにしたい」ならオブジェクトロック、「別の場所にコピーしたい」ならレプリケーション、という対応で判断します。
参考資料：オブジェクトのライフサイクルの管理 – Amazon Simple Storage Service、S3 バージョニングによる複数のバージョンのオブジェクトの保持 – Amazon Simple Storage Service、S3 Object Lock を使用したオブジェクトのロック – Amazon Simple Storage Service、リージョン内およびリージョン間でのオブジェクトのレプリケート – Amazon Simple Storage Service、オブジェクトストレージクラス – Amazon S3
問題4単一選択
ある企業が、自社のデータセンターで稼働しているサーバー群の現状を正確に把握したうえで、それらをAWSへ移した場合にかかる費用の見込みを得たいと考えています。この要件を満たすAWSのサービスまたはツールはどれですか。
- AWS Compute Optimizer
- AWS Cost Explorer
- AWS Pricing Calculator
- Migration Evaluator
解答と解説を見る
正解：回答 4
回答 1 不正解 AWS Compute Optimizerは、すでにAWS上で動いているEC2インスタンスやEBSボリュームなどの使用状況を分析し、サイズの過不足を指摘して適切な構成を提案するサービスです。分析の対象はAWS上の既存リソースであり、データセンター内のサーバーの情報を集めることはできません。移行後に、大きすぎるインスタンスを見つけて費用を下げる場面で使います。
回答 2 不正解 AWS Cost Explorerは、AWSの利用料金と使用量を期間やサービスごとにグラフや表で分析するツールです。表示できるのはAWSアカウントで実際に発生した料金とその傾向であり、まだAWSに置いていないデータセンターのサーバーの情報や、移行後の費用の見込みを作る機能は持ちません。移行後に、どのサービスにいくら使っているかを確認する場面で使います。
回答 3 不正解 AWS Pricing Calculatorは、利用したいサービスと構成を利用者が入力して、AWSの月額料金を試算するWebのツールです。入力した情報に対する料金を示すだけで、データセンター内で何が動いているかを収集して現状を把握する機能はありません。構成が決まった後に、その構成の料金を確認する場面で使います。
回答 4 正解 Migration Evaluatorは、エージェント不要のコレクターや既存の資産一覧からデータセンター内のサーバーの構成と使用状況を集め、現状の全体像を整理したうえで、AWSへ移した場合の費用の見込みを含むビジネスケースを作成するサービスです。移行前に「今何が動いていて、移すといくらになるか」を示す用途に使います。
問われている要件
- データセンターで稼働しているサーバー群の現状を、実際の情報から把握すること
- そのサーバー群をAWSへ移した場合の費用の見込みを得ること
- 移行前の計画段階で使うツールと、移行後にAWSの料金を見るツールとを区別すること
前提知識
Migration Evaluatorとは
- 移行前の計画段階で、データセンター内のサーバーの構成や使用率を集め、AWSへ移した場合の費用を予測してビジネスケース（移行の投資判断の資料）を作るサービスです。エージェントを入れずに情報を集めるコレクターが用意されており、既存の資産一覧を取り込むこともできます。
- 賃貸オフィスに例えると、引っ越し前に今のビルにある机や機材を一つずつ数え、新しいビルに移したら家賃と設備費がいくらになるかを見積もる作業にあたります。
移行後にAWSの料金を見るツール
- AWS Cost Explorerは、AWSアカウントで実際に発生した料金と使用量を期間やサービスごとに分析するツールです。過去の傾向から今後の料金の予測も表示しますが、対象はあくまでAWS上の利用実績です。
- AWS Compute Optimizerは、AWS上で動いているEC2やEBSなどの使用状況を分析し、サイズの見直しを提案するサービスです。移行後の最適化に使います。
AWS Pricing Calculatorとの違い
- AWS Pricing Calculatorは、利用者が構成を入力してAWSの料金を試算するツールです。データセンターの実態を集める機能はないため、「現状の把握」を含む要件には当てはまりません。
図による解説
解くための考え方
問題文の「データセンターで稼働しているサーバー群の現状を把握」と「AWSへ移した場合の費用の見込み」という2つの言葉に注目します。対象はまだAWSにないサーバーで、時期は移行前です。
移行前にデータセンターの実態を集めて費用を予測するのはMigration Evaluatorです。現状の把握と費用の見込みを1つのサービスで両方まかなえるので、これが正解です。
残りの3つは、対象か時期が合いません。AWS Cost ExplorerとAWS Compute Optimizerは、AWS上で実際に動いているものの料金や使用状況を分析するツールで、データセンターのサーバーは見えません。AWS Pricing Calculatorは移行前にも使えますが、利用者が入力した構成の料金を計算するだけで、現状を収集して把握する機能はありません。
ツールを名前の印象で選ばず、「データセンターの現状を集めて移行費用を予測」ならMigration Evaluator、「構成を入力して料金を試算」ならAWS Pricing Calculator、「AWSの利用料金を分析」ならAWS Cost Explorer、「AWS上のリソースのサイズ見直し」ならAWS Compute Optimizer、という対応で判断します。
参考資料：クラウドビジネスケースと移行計画 – Amazon Migration Evaluator – AWS、AWS 料金見積りツール とは – AWS 料金見積りツール、AWS Cost Explorer を使用してコストと使用状況を分析する – AWS Cost Management、AWS Compute Optimizer とは – AWS Compute Optimizer
問題5単一選択
ある企業が、処理の途中で作られる中間ファイルをAmazon S3に置くことを検討しています。このファイルは月に1回程度しか読み出されず、万一失われても元データから作り直せます。保管費用を最も抑えられるストレージクラスはどれですか。
- S3 Express One Zone
- S3 Intelligent-Tiering
- S3 Standard-IA
- S3 One Zone-IA
解答と解説を見る
正解：回答 4
回答 1 不正解 S3 Express One Zoneは、単一のアベイラビリティーゾーンに置き、1桁ミリ秒の応答が必要な高性能処理向けに設計されたストレージクラスです。名前に「One Zone」が付いていますが保管単価はS3 Standardより高く、費用を抑える目的には向きません。機械学習の学習データのように、繰り返し高速に読み書きする用途に使います。
回答 2 不正解 S3 Intelligent-Tieringは、オブジェクトごとのアクセス状況を監視し、使われなくなったものを自動で安い階層へ移すストレージクラスです。監視のための料金がオブジェクトごとに毎月かかり、階層が下がるまでの間は高い単価で保管されるため、最初から低頻度と分かっているデータを最安で置く選択にはなりません。アクセスの傾向が読めないデータに使います。
回答 3 不正解 S3 Standard-IA（Infrequent Access、低頻度アクセス向け）は、月に1回程度しか読まれないデータを複数のアベイラビリティーゾーンに分散して保管するストレージクラスです。複数のゾーンに複製を持つ分だけ保管単価は1ゾーン版より高く、作り直せるデータに対しては払いすぎになります。失うと困る低頻度アクセスのデータに使います。
回答 4 正解 S3 One Zone-IAは、低頻度アクセスのデータを1つのアベイラビリティーゾーンだけに保管するストレージクラスです。複数ゾーンへの複製を省く分、S3 Standard-IAより保管単価が約2割安く、ゾーンの障害で失われても作り直せるデータなら、この弱点は問題になりません。作り直せる中間ファイルや2次的なバックアップに使います。
問われている要件
- 月に1回程度しか読まれない、低頻度アクセスのデータであること
- 失われても元データから作り直せるため、高い耐障害性を必要としないこと
- 上記の条件のもとで、保管費用を最も抑えられるストレージクラスを選ぶこと
前提知識
S3のストレージクラスとは
- Amazon S3では、オブジェクトごとにストレージクラスを選べます。よく使うデータ向けのS3 Standardから低頻度アクセス向けのIA、長期保管向けのGlacierまで、アクセス頻度が低いクラスほど保管単価は安く、代わりに取り出し料金や最低保管期間が付きます。
- 賃貸オフィスに例えると、S3 Standardは手元の棚、IAは書庫で、One Zone-IAはその書庫を1か所の建物にだけ置いて賃料を下げた形です。
S3 Standard-IAとS3 One Zone-IAの違い
- どちらも月に1回程度のアクセスを想定し、取り出し時にGB単位の料金がかかります。違いは保管場所で、S3 Standard-IAは複数のアベイラビリティーゾーン（AZ、独立した電源と回線を持つデータセンター群）に複製を持ち、S3 One Zone-IAは1つのゾーンだけに置きます。
- S3 One Zone-IAはゾーンが災害などで失われるとデータも失われますが、その代わり保管単価はS3 Standard-IAより約2割安くなります。
名前で誤解しやすいクラス
- S3 Express One Zoneも単一ゾーンのクラスですが、目的は高速な応答で、保管単価はS3 Standardより高い高性能向けのクラスです。「One Zone」が付けば安い、とは限りません。
- S3 Intelligent-Tieringは、傾向が分からないデータを自動で最適な階層へ動かすクラスで、監視の料金が別にかかります。
図による解説
解くための考え方
問題文の「月に1回程度しか読み出されず」「失われても作り直せます」「保管費用を最も抑えられる」という3つの言葉に注目します。低頻度アクセスで、耐障害性を落としてよく、最安を求める、という条件です。
低頻度アクセス向けのクラスはS3 Standard-IAとS3 One Zone-IAの2つで、このうち1つのゾーンだけに置いて保管単価を下げたS3 One Zone-IAが最も安くなります。作り直せるデータなら単一ゾーンの弱点は問題にならないので、これが正解です。
S3 Standard-IAは複数ゾーンに複製を持つ分だけ単価が高く、失うと困るデータ向けです。S3 Intelligent-Tieringはアクセスの傾向が分からないときに自動で階層を動かすクラスで、監視の料金がかかります。S3 Express One Zoneは単一ゾーンでも高性能向けのクラスで、保管単価はS3 Standardより高くなります。
「低頻度・作り直せる・最安」と読めたらS3 One Zone-IA、「低頻度・失えない」ならS3 Standard-IA、「傾向が読めない」ならS3 Intelligent-Tiering、という対応で判断します。
参考資料：Amazon S3 ストレージクラスの理解と管理 – Amazon Simple Storage Service、オブジェクトストレージクラス – Amazon S3、Amazon S3 の料金、オブジェクトのライフサイクルの管理 – Amazon Simple Storage Service
問題6単一選択
ある企業が、社内向けシステムで使っているPostgreSQLデータベースをAWSへ移そうとしています。このデータベースは使われる機会が少なく、誰も接続していない時間のほうが長い状態です。運用管理の手間を最も少なくできるサービスはどれですか。
- Amazon EC2上のPostgreSQL
- Amazon RDS for PostgreSQL
- Amazon DynamoDB
- Amazon Aurora Serverless
解答と解説を見る
正解：回答 4
回答 1 不正解 Amazon EC2は、OSから自分で管理する仮想サーバーを提供するサービスです。この上にPostgreSQLを入れると、OSのパッチ、バックアップ、障害時の復旧、容量の調整まで自社で行うことになり、管理の手間は最も多くなります。データベースの設定を細かく自分で制御したい特殊な用途に使います。
回答 2 不正解 Amazon RDSは、バックアップやパッチ適用をAWSが代行するマネージドなリレーショナルデータベースです。ただし容量を決めたインスタンスを動かし続ける形なので、使わない時間に止めるか、いつ再開するかの判断と操作は人に残ります。使用頻度が高く安定した業務システムのデータベースに使います。
回答 3 不正解 Amazon DynamoDBは、サーバー管理の不要なキーバリュー型のNoSQLデータベースです。PostgreSQLのようなリレーショナルデータベースではないため、既存のPostgreSQLデータベースをそのまま移す先にはなりません。アプリケーションを作り直せる場合に、大量のアクセスをミリ秒で処理する用途に使います。
回答 4 正解 Amazon Aurora Serverlessは、PostgreSQL互換のマネージドデータベースを、必要な処理量に合わせて自動で容量を増減させながら動かす仕組みです。接続がない状態が続くと自動で一時停止し、次の接続で再開するため、使わない時間の容量管理を人が行う必要がありません。使用頻度が低いデータベースを最も少ない手間で運用できます。
問われている要件
- 既存のPostgreSQLデータベースをAWSへ移すこと
- 使われる時間が短く、接続のない時間が長いこと
- 容量や停止・再開の管理をできるだけ人手で行わないこと
前提知識
データベースの管理の手間はどこで決まるか
- データベースの運用には、サーバーのOS管理、パッチ適用、バックアップ、障害時の復旧、容量の調整といった作業があります。どこまでをAWSが代わりに行うかで、利用者に残る手間が変わります。
- 賃貸オフィスに例えると、EC2上のデータベースは内装なしの部屋で設備を自分で用意し、RDSは家具付きの部屋、Aurora Serverlessは使う人数に合わせて広さまで自動で変わる部屋にあたります。
Amazon Aurora Serverlessとは
- Amazon Aurora（MySQLおよびPostgreSQLと互換性のあるAWS独自のリレーショナルデータベース）を、処理量に応じて自動で容量を増減させながら使える形態です。容量の単位はACU（Aurora Capacity Unit）で、あらかじめインスタンスの大きさを選ぶ必要がありません。
- 最小容量を0に設定すると、接続がない状態が一定時間続いたときに自動で一時停止し、一時停止中は容量の料金がかかりません。次の接続要求で自動的に再開します。
Amazon RDSとAmazon DynamoDBとの違い
- Amazon RDS（Relational Database Service、マネージドなリレーショナルデータベース）もPostgreSQLを動かせますが、選んだ大きさのインスタンスが常に動きます。手動で停止できるものの、停止から7日たつと自動的に再起動されます。
- Amazon DynamoDBはサーバー管理の不要なデータベースですが、種類がキーバリュー型のNoSQLであり、PostgreSQLのデータやSQLをそのまま持ち込めません。
図による解説
解くための考え方
問題文の「PostgreSQLデータベースを移す」「使われる機会が少ない」「運用管理の手間を最も少なく」の3つに注目します。まず移す先はPostgreSQLが動くリレーショナルデータベースである必要があり、その中で手間が最も少ないものを選びます。
PostgreSQLが動くのは、EC2上に自分で入れる方法、Amazon RDS for PostgreSQL、Amazon Aurora Serverlessの3つです。Amazon DynamoDBはNoSQLデータベースなので、サーバー管理が不要という特徴があっても、この移行の受け皿にはなりません。
残った3つは、AWSがどこまで代行するかで並びます。EC2はOSから自分で管理するため手間が最も多く、RDSはバックアップやパッチをAWSに任せられますが、インスタンスの大きさを自分で決め、動かし続けるか止めるかも自分で管理します。Aurora Serverlessは容量の増減も一時停止と再開も自動なので、使われない時間が長い、という条件にちょうど合います。
「使用頻度が低い」「負荷が読めない」「管理の手間を最小に」という言葉が並んだらAurora Serverless、「安定した負荷でリレーショナル」ならRDS、「NoSQLで大量アクセス」ならDynamoDB、という対応で判断します。
参考資料：Aurora serverless の自動一時停止と再開によるゼロ ACU へのスケーリング – Amazon Aurora、Aurora serverless の使用 – Amazon Aurora、サーバーレスデータベース – Amazon Aurora Serverless – AWS、Amazon Relational Database Service (Amazon RDS) とは – Amazon Relational Database Service、一時的に Amazon RDS DB インスタンスを停止する – Amazon Relational Database Service、Amazon DynamoDB とは – Amazon DynamoDB
問題7複数選択
AWS上で動かしているシステムの調子が急に悪くなりました。担当者は、自社の設定ミスではなくAWS側のサービスや設備に障害が起きていないかを確かめたいと考えています。この目的で利用できるものはどれですか。（2つ選択してください）
- AWS Health ダッシュボード
- Amazon CloudWatch
- AWS Trusted Advisor
- AWS Health API
- Amazon CloudWatch Logs
解答と解説を見る
正解：回答 1・4
回答 1 正解 AWS Health ダッシュボードは、AWSのサービスや設備で起きている障害・メンテナンスの情報を表示する画面です。AWS全体の状況を示す「サービスのヘルス」と、自分のアカウントで使っているリソースに影響する出来事だけを絞り込んだ「アカウントのヘルス」の両方を確認できます。AWS側で何が起きているかを最初に確かめる場所です。
回答 2 不正解 Amazon CloudWatchは、EC2のCPU使用率のように自分のリソースの数値や動作を集めて監視するサービスです。自分側の状態を測るためのもので、AWSの設備そのものに障害が起きているかどうかは教えてくれません。利用者側の負荷やエラーの増減を見張り、しきい値を超えたら通知する用途に使います。
回答 3 不正解 AWS Trusted Advisorは、コスト・セキュリティ・耐障害性などの観点で、自分のアカウントの設定がベストプラクティスに沿っているかを点検して助言するサービスです。設定の改善点を教えるものなので、いま起きているAWS側の障害の有無を伝える役割は持ちません。定期的な設定の見直しに使います。
回答 4 正解 AWS Health APIは、AWS Health ダッシュボードに表示されるのと同じ障害やメンテナンスの情報を、プログラムから取得するための仕組みです。自社の監視ツールや通知の仕組みに組み込んで、AWS側の出来事を自動で受け取る用途に使います。利用にはBusiness Support+以上の有料サポートプランが必要です。
回答 5 不正解 Amazon CloudWatch Logsは、アプリケーションやOSが出力するログを集めて保管し、検索できるようにするサービスです。集まるのは自分のシステムが書き出した記録なので、AWSの設備そのものに障害が起きているかどうかは分かりません。エラーの原因調査や、ログの長期保管に使います。
問われている要件
- 自分の設定ミスではなく、AWS側のサービスや設備に障害が起きていないかを確かめたいこと
- AWS側の状況を知らせる情報源と、自分のリソースを監視する道具とを区別すること
- 2つ選ぶ複数選択問題であること
前提知識
AWS Healthとは
- AWS Healthは、AWSのサービスや設備で起きている障害、予定されているメンテナンス、アカウントに影響する変更のお知らせをまとめて伝える仕組みです。画面で見るのがAWS Health ダッシュボード、プログラムから取得するのがAWS Health APIです。
- 賃貸オフィスに例えると、AWS Healthはビルのオーナーからの「共用設備の故障・点検のお知らせ」にあたります。自分の部屋の中の様子は、自分で見て回る必要があります。
AWS Health ダッシュボードの2つの見方
- 「サービスのヘルス」は、AWS全体でどのリージョンのどのサービスに障害が起きているかを示す公開情報です。以前はService Health Dashboardと呼ばれていました。
- 「アカウントのヘルス」は、サインインした自分のアカウントで使っているリソースに影響する出来事だけを絞り込んで表示します。以前はPersonal Health Dashboardと呼ばれていました。試験ではこの2つの旧名称で出題されることもあります。
自分のリソースを見る道具との違い
- Amazon CloudWatchは自分のリソースの数値を集めて監視するサービス、Amazon CloudWatch Logsは自分のシステムが出力したログを集めるサービス、AWS Trusted Advisorは自分の設定をベストプラクティスと照らして助言するサービスです。いずれも見ている対象は自分側であり、AWS側の設備の状態ではありません。
図による解説
解くための考え方
問題文の「自社の設定ミスではなくAWS側のサービスや設備に障害が起きていないか」という言葉に注目します。知りたいのは自分のリソースの状態ではなく、AWSの設備側の出来事です。
AWS側の障害やメンテナンスの情報を提供するのはAWS Healthです。画面で確認するならAWS Health ダッシュボード、監視ツールに組み込んで自動で受け取るならAWS Health APIで、この2つが正解になります。
残りの3つは、見ている対象が自分側です。Amazon CloudWatchは自分のリソースの数値を測る道具、Amazon CloudWatch Logsは自分のシステムのログを集める道具、AWS Trusted Advisorは自分の設定にベストプラクティスから外れた点がないかを助言する道具で、AWSの設備に障害が起きているかどうかは教えてくれません。
「AWS側の状況を知りたい」ときはAWS Health、「自分のリソースを見張りたい」ときはCloudWatch、と対応を覚えておくと、この種の問題を落ち着いて解けます。
参考資料：AWS Health ダッシュボードの開始方法 – AWS Health、AWS Health とは – AWS Health、AWS Health API を使用した他のシステムとの統合 – AWS Health、Amazon CloudWatch とは – Amazon CloudWatch、Amazon CloudWatch Logs とは – Amazon CloudWatch Logs
問題8単一選択
ある企業では、セキュリティグループやEC2インスタンスの設定を誰かが変えたあとに不具合が起き、いつ何が変わったのかを後から確かめられずに困っています。AWSリソースの設定変更を継続的に記録し、履歴をたどって監査できるサービスはどれですか。
- AWS Artifact
- AWS Config
- AWS IAM
- Amazon GuardDuty
解答と解説を見る
正解：回答 2
回答 1 不正解 AWS Artifactは、AWS自身が第三者の監査を受けて取得したSOCやISOなどのコンプライアンスレポートを取り出すためのサービスです。提供されるのはAWSの設備に関する報告書であり、利用者のリソースの設定が変わった履歴は記録しません。監査人や規制当局にAWSの準拠状況を示す資料が必要なときに使います。
回答 2 正解 AWS Configは、AWSアカウント内のリソースの設定を継続的に記録し、いつどの項目がどう変わったかを履歴として保存するサービスです。設定があるべき状態に沿っているかをルールで評価し、外れたものを非準拠として示す機能も持つため、設定変更の追跡と監査にそのまま使えます。
回答 3 不正解 AWS IAM（Identity and Access Management）は、誰がどのAWSリソースに何をしてよいかを決める権限管理のサービスです。設定変更を行える人を絞ることはできますが、実際に行われた変更の内容や時刻を記録して履歴として残す機能はありません。ユーザーやロールに必要最小限の権限を与える用途に使います。
回答 4 不正解 Amazon GuardDutyは、ログを機械学習で分析し、不正な認証情報の利用やマルウェアの通信といった脅威を検出するサービスです。見つけるのは攻撃の兆候であり、リソースの設定が以前と比べてどう変わったかという履歴は扱いません。アカウントに対する不審な活動をいち早く知りたいときに使います。
問われている要件
- AWSリソースの設定の変更を継続的に記録すること
- いつ何が変わったのかを履歴としてたどれること
- 記録をもとに設定の監査ができること
前提知識
AWS Configとは
- AWSアカウント内のリソース（EC2インスタンス、セキュリティグループ、VPCなど）の設定を記録し、変更があるたびに新しい状態を保存して履歴を積み上げるサービスです。過去の時点の設定を見比べて、いつ何が変わったかを確かめられます。
- Configルールという仕組みで「暗号化されているか」「特定のポートが開いていないか」といった条件を決めておくと、変更のたびに自動で評価し、条件から外れたリソースを非準拠として表示します。
- 賃貸オフィスに例えると、AWS Configは各部屋の間取りや鍵の設定を台帳に記録し、変更があるたびに日付つきで書き足していく管理台帳にあたります。
混同しやすいサービス
- AWS Artifactは、AWSがSOCやISOなどの監査を受けた報告書を取り出す窓口です。監査という言葉が共通しますが、対象はAWSの設備であって利用者のリソースではありません。
- AWS IAMは権限を決める仕組みで、設定を変えられる人を制限しますが、変更の記録は残しません。Amazon GuardDutyは脅威の検出が目的で、設定がどう変わったかの履歴は持ちません。
- 「誰がいつどのAPIを呼んだか」という操作の記録はAWS CloudTrailの役割で、AWS Configは「その結果として設定がどう変わったか」を記録します。試験ではこの2つの違いも問われます。
図による解説
解くための考え方
問題文の「設定変更を継続的に記録」「履歴をたどって監査」という言葉に注目します。求められているのは、リソースの設定がどう変わったかを時系列で残す仕組みです。
リソースの設定を記録し、変更のたびに履歴を積み上げて、ルールに照らして評価できるサービスはAWS Configです。設定の追跡と監査という要件にそのまま当てはまります。
AWS Artifactは監査という言葉で引っかかりやすいものの、扱うのはAWS自身の監査報告書で、利用者のリソースの設定は記録しません。AWS IAMは変更できる人を決める側の仕組みで、行われた変更の記録は持ちません。Amazon GuardDutyは脅威の検出が役割で、設定の履歴を残す機能はありません。
「設定の履歴・準拠状況」はAWS Config、「誰がどのAPIを呼んだか」はAWS CloudTrail、「AWSのコンプライアンス報告書」はAWS Artifact、「脅威の検出」はAmazon GuardDuty、という対応で判断します。
参考資料：AWS Config とは? – AWS Config、とは AWS Artifact – AWS Artifact、IAM とは – AWS Identity and Access Management、Amazon GuardDuty とは – Amazon GuardDuty
問題9単一選択
プライベートサブネットにあるEC2インスタンスから、インターネット上のリポジトリへ接続してソフトウェアの更新を取得したいと考えています。ただし、インターネット側からこのインスタンスへ接続できる状態にはしたくありません。この要件を満たすAWSのマネージドな仕組みはどれですか。
- VPCエンドポイント
- NATゲートウェイ
- インターネットゲートウェイ
- AWS Direct Connect
解答と解説を見る
正解：回答 2
回答 1 不正解 VPCエンドポイントは、Amazon S3やDynamoDBなどのAWSサービスへ、インターネットを通らずにVPCの内側から直接つなぐための出入口です。つなぐ先はAWSのサービスや、この仕組みに対応した他社サービスに限られるため、インターネット上のリポジトリへ出ていく経路にはなりません。AWSサービスとの通信をインターネットに出さずに済ませたいときに使います。
回答 2 正解 NATゲートウェイは、プライベートサブネットにあるインスタンスがインターネットへ出ていく通信だけを中継する仕組みです。インスタンスからの接続はNATゲートウェイを経由して外へ届きますが、インターネット側から始まる接続は受け付けないため、外から見えない状態のままソフトウェアの更新を取得できます。
回答 3 不正解 インターネットゲートウェイは、VPCとインターネットの間で双方向の通信を通す出入口で、パブリックIPアドレスを持つインスタンスが直接インターネットとやり取りするために使います。プライベートサブネットのインスタンスはパブリックIPアドレスを持たないため、この出入口だけでは外へ出る経路が成り立ちません。公開Webサーバーのような外から接続されるインスタンスに使います。
回答 4 不正解 AWS Direct Connectは、自社のデータセンターとAWSの間を専用線でつなぐサービスです。つなぐ相手は自社拠点であってインターネットではないため、インターネット上のリポジトリから更新を取得する経路にはなりません。オンプレミスとAWSの間で安定した大容量の通信を確保したいときに使います。
問われている要件
- プライベートサブネットのEC2インスタンスから、インターネットへ向かう通信だけを許可すること
- インターネット側から始まる接続はインスタンスに届かないようにすること
- 上記を満たすAWSのマネージドな仕組みを選ぶこと
前提知識
パブリックサブネットとプライベートサブネットの違い
- VPC（Virtual Private Cloud、AWS上に作る自分専用のネットワーク）の中は、サブネットという区画に分けて使います。インターネットゲートウェイへの経路を持つ区画がパブリックサブネット、持たない区画がプライベートサブネットです。
- 賃貸オフィスに例えると、VPCは借りたフロア、サブネットはフロア内の区画です。パブリックサブネットは玄関に面した区画、プライベートサブネットは玄関から直接は入れない奥の区画にあたります。
NATゲートウェイとは
- NAT（Network Address Translation、送信元のアドレスを付け替える仕組み）を使って、プライベートサブネットのインスタンスがインターネットへ出ていく通信を代わりに中継するマネージドなサービスです。
- 中から外への通信と、その返事だけを通します。外から新たに始まる接続は通さないため、インスタンスをインターネットから隠したまま、ソフトウェアの更新の取得や外部APIの呼び出しができます。
似た役割のサービス
- インターネットゲートウェイはVPCの玄関そのもので、パブリックIPアドレスを持つインスタンスが双方向に通信するために使います。パブリックIPアドレスのないプライベートサブネットのインスタンスは、玄関があっても自分では通れません。
- VPCエンドポイントはAWSサービスへの専用の出入口で、行き先はAWSのサービスに限られます。AWS Direct Connectは自社拠点とAWSを結ぶ専用線で、どちらもインターネットへ出ていく経路ではありません。
図による解説
解くための考え方
問題文の「インターネット上のリポジトリへ接続して更新を取得したい」と「インターネット側から接続できる状態にはしたくない」の2つに注目します。通信の向きが片方向だけ、つまり内から外だけを許したい、という条件です。
内から外への通信だけを中継する仕組みがNATゲートウェイです。プライベートサブネットのインスタンスに代わってインターネットへ出ていき、外から始まる接続は受け付けないので、この要件にちょうど合います。
インターネットゲートウェイは双方向の玄関で、パブリックIPアドレスを持つインスタンス向けの経路です。VPCエンドポイントは行き先がAWSサービスに限られ、AWS Direct Connectは行き先が自社拠点なので、どちらもインターネット上のリポジトリへ出ていく経路にはなりません。
「プライベートサブネットから外へ出たい」と読めたらNATゲートウェイ、「外から接続される公開サーバー」ならインターネットゲートウェイ、「AWSサービスへインターネットを通さずつなぎたい」ならVPCエンドポイント、という対応で判断します。
参考資料：NAT ゲートウェイ – Amazon Virtual Private Cloud、インターネットゲートウェイを使用して VPC のインターネットアクセスを有効にする – Amazon Virtual Private Cloud、VPC のサブネット – Amazon Virtual Private Cloud、AWS PrivateLink とは – Amazon Virtual Private Cloud、AWS Direct Connect とは – AWS Direct Connect
問題10単一選択
ある開発者が、自分のPCにツールを入れたりアクセスキーを設定したりせずに、AWSのコマンドを実行したいと考えています。AWSマネジメントコンソールから直接起動でき、サインイン済みの認証情報をそのまま引き継いでブラウザ上で動くサービスはどれですか。
- AWS CLI
- Amazon Lightsail
- AWS SDK
- AWS CloudShell
解答と解説を見る
正解：回答 4
回答 1 不正解 AWS CLI（Command Line Interface）は、ターミナルからコマンドでAWSのサービスを操作するためのツールです。自分のPCにインストールし、アクセスキーなどの認証情報を設定してから使うものなので、ブラウザから起動して認証を引き継ぐ形にはなりません。手元の端末からスクリプトで定型作業を自動化する用途に使います。
回答 2 不正解 Amazon Lightsailは、仮想サーバーやデータベースなどを月額の固定料金でまとめて提供する、小規模なWebサイト向けのサービスです。用意されるのはアプリケーションを動かすサーバーであり、AWSを操作するコマンド環境を提供するものではありません。手軽にWebサイトやブログを立ち上げたいときに使います。
回答 3 不正解 AWS SDK（Software Development Kit）は、PythonやJavaなどのプログラムの中からAWSのサービスを呼び出すためのライブラリです。アプリケーションに組み込んで使うもので、コンソールから起動するコマンド環境ではなく、認証情報も自分で用意します。自作のアプリケーションからAWSの機能を利用する用途に使います。
回答 4 正解 AWS CloudShellは、AWSマネジメントコンソールから起動するブラウザベースのシェル環境です。コンソールにサインインした認証情報がそのまま使われ、AWS CLIなどのツールもあらかじめ入っているため、PCへのインストールやアクセスキーの設定をせずにすぐコマンドを実行できます。
問われている要件
- 自分のPCにツールをインストールしないこと
- アクセスキーなどの認証情報を自分で設定しないこと
- AWSマネジメントコンソールから直接起動し、ブラウザ上でコマンドを実行できること
前提知識
AWSを操作する4つの入口
- AWSのサービスは、画面で操作するAWSマネジメントコンソール、コマンドで操作するAWS CLI、プログラムから呼び出すAWS SDK、そしてブラウザの中でコマンドを打てるAWS CloudShellから操作できます。どれも裏側では同じAPIを呼んでいます。
- 賃貸オフィスに例えると、コンソールは受付窓口での手続き、CLIとSDKは自分の事務所に置いた専用端末からの手続き、CloudShellは受付のすぐ隣に置かれた共用端末で、受付を通った入館証がそのまま使えるものにあたります。
AWS CloudShellとは
- AWSマネジメントコンソールから起動できるブラウザベースのシェル環境です。サインインに使った認証情報が自動的に引き継がれるため、アクセスキーの発行や設定が要りません。
- AWS CLI、Python、Node.js、gitなどのツールがあらかじめ入っており、リージョンごとに1GBまでのホームディレクトリが保持されます。CloudShell自体の利用に追加料金はかかりません。
AWS CLIとAWS SDKの位置づけ
- AWS CLIは自分のPCやサーバーにインストールして使うコマンドラインツール、AWS SDKはアプリケーションのコードに組み込むライブラリです。どちらも認証情報を自分で設定する必要があり、ブラウザから起動する形ではありません。
- Amazon Lightsailは、仮想サーバーなどをまとめて月額固定料金で提供するサービスで、操作の入口ではなく動かす対象です。
図による解説
解くための考え方
問題文の「PCにツールを入れずに」「アクセスキーを設定せずに」「コンソールから直接起動」「ブラウザ上で動く」の4つに注目します。求められているのは、インストールも認証情報の設定も要らないコマンド環境です。
コンソールから起動でき、サインイン済みの認証情報を引き継ぎ、ブラウザの中でコマンドを実行できるサービスはAWS CloudShellです。ツールもあらかじめ入っているので、要件をすべて満たします。
AWS CLIはコマンドを打つ点は同じですが、自分のPCにインストールして認証情報を設定する必要があり、ブラウザから起動する形ではありません。AWS SDKはプログラムに組み込むライブラリで、コマンド環境そのものではありません。Amazon Lightsailは仮想サーバーなどを提供するサービスで、操作の入口ではなく操作される側です。
「ブラウザ」「事前認証済み」「コンソールから起動」という言葉が並んだらAWS CloudShell、「PCにインストールしてコマンド」ならAWS CLI、「プログラムから呼び出す」ならAWS SDK、という対応で判断します。
参考資料：とは AWS CloudShell – AWS CloudShell、AWS Command Line Interface とはどのようなものですか。、SDK とは何ですか? – SDK の説明 – AWS、Amazon Lightsail とは? – Amazon Lightsail
問題11複数選択
ある企業が、自社のデータセンターにあるネットワークとAWS上のVPCをつなぎ、双方のサーバーがプライベートIPアドレスのまま通信できるようにしたいと考えています。この接続を実現できるAWSのサービスや機能はどれですか。（2つ選択してください）
- AWS Site-to-Site VPN
- Amazon Route 53
- AWS Direct Connect
- VPCピアリング
- AWS Global Accelerator
解答と解説を見る
正解：回答 1・3
回答 1 正解 AWS Site-to-Site VPNは、自社のネットワーク機器とVPCの間にIPsecで暗号化したトンネルをインターネット上に作り、両方のネットワークをつなぐサービスです。専用の回線を引かずに短期間で始められるため、まず接続を確保したいときや、専用線の予備経路として使います。
回答 2 不正解 Amazon Route 53は、ドメイン名をIPアドレスに変換するDNS（Domain Name System）のサービスです。名前から行き先を教える役割であり、自社ネットワークとVPCの間に通信の経路を作る機能はありません。ドメインの登録や、複数のリージョンへ利用者を振り分ける用途に使います。
回答 3 正解 AWS Direct Connectは、自社のデータセンターとAWSの間を、インターネットを通らない専用のネットワーク回線でつなぐサービスです。回線の帯域と品質が安定し、VPCへプライベートIPアドレスのまま到達できるため、大量のデータを継続的にやり取りする本番システムの接続に使います。
回答 4 不正解 VPCピアリングは、2つのVPCの間でプライベートIPアドレスのまま通信できるようにする機能です。つなぐ相手はあくまでAWS上の別のVPCであり、ゲートウェイでもVPN接続でもないため、自社のデータセンターを相手にはできません。アカウントやリージョンをまたいでVPC同士をつなぐ用途に使います。
回答 5 不正解 AWS Global Acceleratorは、インターネット上の利用者からのアクセスをAWSの内部ネットワークに早く乗せて、最も近い正常なエンドポイントへ届けるサービスです。公開アプリケーションへの到達を速くする仕組みであり、自社ネットワークとVPCをプライベートに結ぶ経路にはなりません。世界中の利用者が使うサービスの応答改善に使います。
問われている要件
- 自社のデータセンターのネットワークとAWS上のVPCをつなぐこと
- 双方のサーバーがプライベートIPアドレスのまま通信できること
- 該当するサービスや機能を2つ選ぶこと
前提知識
オンプレミスとVPCをつなぐ2つの方法
- 自社のネットワークとVPCを結ぶ方法は、インターネット上に暗号化トンネルを作るAWS Site-to-Site VPNと、専用回線で物理的につなぐAWS Direct Connectの2つです。どちらもVPC側の出入口（仮想プライベートゲートウェイなど）で終端し、VPC内のサーバーにプライベートIPアドレスで届きます。
- 賃貸オフィスに例えると、自社ビルと借りたフロアをつなぐ経路のうち、Direct Connectは2つの建物を結ぶ専用の通路、VPNは公道を通るものの荷物を封印して運ぶ方法にあたります。
AWS Site-to-Site VPNとAWS Direct Connectの違い
- Site-to-Site VPNはIPsecで暗号化した通信をインターネットに流します。機器の設定だけで始められ、費用も抑えられますが、速度や遅延はインターネットの状況に左右されます。
- Direct Connectは専用回線なので帯域と品質が安定し、大量のデータを安定して運べます。回線の手配に時間がかかるため、VPNを先に使い、後からDirect Connectへ切り替えたり、両方を併用して冗長化したりする構成が一般的です。
似ているようで役割が違うもの
- VPCピアリングはVPCとVPCをつなぐ機能で、オンプレミスは相手にできません。Amazon Route 53は名前をIPアドレスに変換するDNSで、経路そのものは作りません。AWS Global Acceleratorはインターネット上の利用者を公開エンドポイントへ速く届ける仕組みで、社内ネットワークとの私的な接続には使いません。
図による解説
解くための考え方
問題文の「自社のデータセンターにあるネットワークとVPCをつなぐ」「プライベートIPアドレスのまま通信」という言葉に注目します。求められているのは、社内ネットワークとVPCを1つにつなぐハイブリッド接続です。
これを実現できるのは、インターネット上に暗号化トンネルを作るAWS Site-to-Site VPNと、専用回線で結ぶAWS Direct Connectの2つです。手軽さを取るならVPN、安定した帯域を取るならDirect Connectで、どちらも要件を満たします。
VPCピアリングはつなぐ相手がAWS上の別のVPCに限られ、自社のネットワークは相手にできません。Amazon Route 53は名前をIPアドレスに変換するだけで経路は作らず、AWS Global Acceleratorはインターネット上の利用者を公開エンドポイントへ速く届けるサービスなので、社内ネットワークとVPCを結ぶ用途には当てはまりません。
「オンプレミスとVPCをつなぐ」ならSite-to-Site VPNとDirect Connect、「VPCとVPCをつなぐ」ならVPCピアリング、「インターネット上の利用者を導く」ならRoute 53やGlobal Accelerator、という対応で判断します。
参考資料：AWS Site-to-Site VPN とは – AWS Site-to-Site VPN、AWS Direct Connect とは – AWS Direct Connect、VPC ピア機能とは – Amazon Virtual Private Cloud、Amazon Route 53 とは？ – Amazon Route 53、AWS Global Accelerator とは – AWS Global Accelerator
問題12単一選択
ある企業がAmazon S3のバケットで業務文書を管理しています。先日、担当者が文書を新しい内容で上書きしたあとで上書き前の版が必要になりましたが、戻す手段がなく困りました。削除の操作で同じことが起きても対処できるよう、事前に有効にしておくS3の機能はどれですか。
- S3 Intelligent-Tiering
- S3 バージョニング
- S3 ブロックパブリックアクセス
- S3 サーバー側の暗号化
解答と解説を見る
正解：回答 2
回答 1 不正解 S3 Intelligent-Tieringは、オブジェクトへのアクセス頻度を自動で観察し、あまり使われなくなったものを安い階層へ移して保管料金を下げるストレージクラスです。移動先が変わるだけでオブジェクトは1つのままなので、削除や上書きをすれば元の内容はそのまま失われます。使われ方が読めないデータの保管料金を自動で最適化したいときに使います。
回答 2 正解 S3 バージョニングは、同じ名前のオブジェクトを複数の版として残しておく機能です。上書きすると新しい版が追加されて古い版はそのまま残り、削除しても実体は消えずに削除マーカーが最新の版として置かれるだけです。古い版を指定すればいつでも以前の内容に戻せるため、操作ミスによる消失を防げます。
回答 3 不正解 S3 ブロックパブリックアクセスは、バケットやオブジェクトがインターネット上の誰にでも公開される設定になることを、アカウントやバケットの単位でまとめて禁止する機能です。外部からの公開を止めるものであり、権限を持つ担当者が社内から行った削除や上書きはそのまま実行されます。公開してはいけないデータをうっかり公開してしまう事故を防ぐために使います。
回答 4 不正解 S3 サーバー側の暗号化は、オブジェクトをディスクに書き込むときに暗号化し、読み出すときに復号する機能です。暗号化されていても削除や上書きの操作は通常どおり通るため、消えた内容を取り戻すことはできません。保管中のデータが第三者に読み取られないようにする目的で使います。
問われている要件
- S3に保管したファイルを、誤った削除や上書きから守ること
- 操作ミスが起きたあとでも、以前の内容を取り戻せること
- 上記を実現するS3の機能を、似た名前の機能と区別して選ぶこと
前提知識
S3 バージョニングとは
- Amazon S3（Simple Storage Service、ファイルをオブジェクトとして保管するストレージ）のバケット単位で有効にする機能で、同じ名前のオブジェクトを複数の版として保持します。上書きのたびに新しい版が積み重なり、古い版は自動では消えません。
- 通常の削除操作では実体は残り、「削除マーカー」という印が最新の版として置かれます。この印を取り除けば元どおり見えるようになり、特定の古い版を取り出すこともできます。
- 賃貸オフィスに例えると、S3 バージョニングは書庫の書類を差し替えるたびに旧版をそのまま棚に残しておく保管ルールです。
似た名前のS3の機能
- S3 Intelligent-Tieringはアクセス頻度に応じて保管階層を自動で変えるストレージクラスで、保管料金を下げるための機能です。
- S3 ブロックパブリックアクセスは、バケットが誰にでも公開される設定になることを禁止する機能で、社外への漏えいを防ぐための仕組みです。
- S3 サーバー側の暗号化は、保管中のデータを暗号化して読み取りから守る機能です。いずれも削除や上書きそのものを取り消す働きは持っていません。
図による解説
解くための考え方
問題文の「上書き前の版が必要になった」「戻す手段がなく困った」「削除の操作で同じことが起きても」という言葉に注目します。求められているのは、操作ミスのあとに元の内容へ戻せる仕組みを事前に用意しておくことです。
S3で以前の内容を保持し続けるのはバージョニングです。上書きは新しい版の追加として扱われ、削除は削除マーカーを置くだけなので、古い版から復元できます。この対応を覚えていれば、残りの選択肢の役割を思い出すだけで判断できます。
S3 Intelligent-Tieringは料金を下げるためのストレージクラス、S3 ブロックパブリックアクセスは外部への公開を止める設定、S3 サーバー側の暗号化は保管中のデータを読み取りから守る機能です。どれも削除や上書きを取り消す働きは持たないため、内容を取り戻すという要件には合いません。
「消えたものを戻したい」ならバージョニング、「公開させたくない」ならブロックパブリックアクセス、「読まれたくない」なら暗号化、「料金を下げたい」ならストレージクラスの見直し、という対応で選び分けます。
参考資料：S3 バージョニングによる複数のバージョンのオブジェクトの保持 – Amazon Simple Storage Service、Amazon S3 ストレージへのパブリックアクセスのブロック – Amazon Simple Storage Service、Amazon S3 Intelligent-Tiering によるストレージコストの管理 – Amazon Simple Storage Service、Amazon S3 マネージドキーによるサーバー側の暗号化 (SSE-S3) – Amazon Simple Storage Service
問題13単一選択
AWSは世界各地にデータセンターを置き、それらを組み合わせてサービスを提供しています。次のうち、このグローバルインフラストラクチャを構成する物理的な場所に該当するものはどれですか。
- Amazon CloudFront
- AWS リージョン
- Amazon Connect
- Amazon Route 53
解答と解説を見る
正解：回答 2
回答 1 不正解 Amazon CloudFrontは、世界中のエッジロケーションにコンテンツのコピーを置き、利用者に近い拠点から配信するサービスです。エッジロケーションという物理的な場所を使って動きますが、CloudFront自体はその上で動くサービスであり、場所の分類には入りません。Webサイトや動画を世界中へ速く届けたいときに使います。
回答 2 正解 AWS リージョンは、AWSがデータセンターを置いている地理的な場所で、東京やバージニア北部のように世界各地に配置されています。1つのリージョンは、電源や回線が独立した複数のアベイラビリティーゾーンで構成されており、利用者はリソースをどのリージョンに置くかを選びます。グローバルインフラストラクチャを構成する物理的な場所そのものです。
回答 3 不正解 Amazon Connectは、電話やチャットで顧客対応を行うコンタクトセンターをクラウド上に構築するサービスです（現在の製品名はAmazon Connect Customer）。名前から接続拠点のようにも見えますが、実体はアプリケーションであり、場所を表す言葉ではありません。コールセンターを短期間で立ち上げたいときに使います。
回答 4 不正解 Amazon Route 53は、ドメイン名をIPアドレスに変換するDNS（Domain Name System、名前解決の仕組み）を提供するサービスです。世界中の拠点で動く「グローバルサービス」に分類されますが、それは利用のされ方であって、サービス自体は物理的な場所ではありません。ドメインの登録や、利用者を近いサーバーへ誘導する設定に使います。
問われている要件
- AWSのグローバルインフラストラクチャが物理的な場所の階層で構成されていることを知っていること
- 「場所」を表す用語と「サービス」を表す用語を区別すること
- エッジロケーションで動くサービスや、名前に「Connect」が付くサービスに惑わされないこと
前提知識
AWS グローバルインフラストラクチャとは
- AWSが世界中に持つ物理的な設備の総称で、リージョン、アベイラビリティーゾーン、エッジロケーションの3つの階層で説明されます。ここに挙がるのはすべて「場所」で、サービス名ではありません。
- 賃貸オフィスに例えると、リージョンは都市、アベイラビリティーゾーンは同じ都市内の離れた場所にある別々のビル、エッジロケーションは各地の出張所です。
リージョンとアベイラビリティーゾーン
- リージョンは、AWSがデータセンター群を置いている地理的な場所で、東京やシンガポールのように世界各地にあります。利用者はサービスをどのリージョンで使うかを選びます。
- アベイラビリティーゾーン（AZ）は、リージョンの中にある1つ以上のデータセンターのまとまりで、電源・冷却・ネットワークが互いに独立しています。各リージョンは複数のAZを持ち、AZ同士は高速な専用回線で結ばれています。
エッジロケーション
- 利用者の近くに置かれた小規模な拠点で、Amazon CloudFrontがコンテンツを配信したり、Amazon Route 53が名前解決に応答したりするために使われます。リージョンより数が多く、世界中に分散しています。
図による解説
解くための考え方
問題文の「グローバルインフラストラクチャを構成する物理的な場所」という言葉に注目します。問われているのはサービスの名前ではなく、AWSの設備がある場所を表す用語です。
AWSの物理的な場所を表す用語は、リージョン、アベイラビリティーゾーン、エッジロケーションの3つです。選択肢の中でこれに当てはまるのはAWS リージョンだけなので、これが正解になります。
ほかの3つはいずれもサービスの名前です。Amazon CloudFrontはエッジロケーションを使ってコンテンツを配信するサービス、Amazon Connectはコンタクトセンターを作るサービス、Amazon Route 53は名前解決を行うDNSサービスで、どれもデータセンターの場所ではありません。
CloudFrontやRoute 53はエッジロケーションで動くため場所と混同しやすく、「Connect」という語も設備を連想させますが、いずれもその場所の上で動くサービスです。「場所を問われたらリージョン・AZ・エッジロケーション」と決めておくと、名前の印象に引きずられずに答えられます。
参考資料：グローバルインフラストラクチャリージョンと AZ、リージョンとゾーン – Amazon Elastic Compute Cloud、Amazon CloudFront とは何ですか? – Amazon CloudFront、Connect Customer とは – Amazon Connect Customer、Amazon Route 53 とは？ – Amazon Route 53
問題14単一選択
ある企業のアプリケーションは、利用者に写真や動画を表示します。アクセスは特定の地域に集中せず世界各地から来るため、どこからの利用でも待ち時間を短くしたいと考えています。ただし、各地に設備を用意する費用はかけられません。この目的に最も適した方法はどれですか。
- Amazon S3をオリジンにし、Amazon CloudFrontのエッジロケーションから配信します
- Amazon S3に保存し、クロスリージョンレプリケーションで各リージョンに複製します
- Webサーバーの前段にAmazon ElastiCacheを置き、コンテンツをメモリ上にキャッシュして配信します
- AWS Transit Gatewayで複数リージョンのVPCをつなぎ、近いリージョンから配信します
解答と解説を見る
正解：回答 1
回答 1 正解 Amazon CloudFrontは、世界中に置かれたエッジロケーションにコンテンツを一時的に保存し、利用者に一番近い拠点から返すコンテンツ配信サービスです。写真や動画のように内容が変わらないファイルはエッジロケーションに残るため、オリジンまで取りに行く回数が減り、待ち時間と転送の費用の両方を抑えられます。各地にサーバーを自前で置く必要がありません。
回答 2 不正解 Amazon S3のクロスリージョンレプリケーションは、バケットのオブジェクトを別のリージョンのバケットへ自動でコピーする機能です。リージョンの数だけ保管料金が増えるうえ、利用者はリージョンまで取りに行くことになり、すぐ近くから返す仕組みではありません。災害対策や、法令で保管場所が定められたデータの複製に使います。
回答 3 不正解 Amazon ElastiCacheは、データベースの問い合わせ結果などをメモリ上に置き、アプリケーションからの読み出しを速くするインメモリのキャッシュサービスです。VPCの中でアプリケーションが使うものであり、インターネット上の利用者へ直接ファイルを返す仕組みではありません。データベースの前段に置き、Webアプリケーションの応答を速くする用途に使います。
回答 4 不正解 AWS Transit Gatewayは、複数のVPCやオンプレミスのネットワークを1か所に集めて相互に接続する中継ハブです。つなぐ相手は自社のネットワーク同士であり、インターネット上の利用者へコンテンツを届ける経路にはなりません。VPCが増えたときに、個別に接続する手間を減らす目的で使います。
問われている要件
- 世界中の利用者に、待ち時間を抑えて写真や動画を届けること
- 各地に設備を用意することなく、費用を抑えて実現すること
- 利用者に近い場所からコンテンツを返す仕組みを選ぶこと
前提知識
Amazon CloudFrontとは
- CDN（Content Delivery Network、コンテンツを利用者の近くから配信する仕組み）のサービスです。世界中のエッジロケーションにファイルのコピーを一時的に保存し、利用者からの要求に最も近い拠点が応答します。
- 一度取り寄せたファイルはエッジロケーションに残るので、同じファイルを別の利用者が求めても、オリジンであるAmazon S3などへ取りに行かずに済みます。
- 賃貸オフィスに例えると、CloudFrontは各地の出張所にカタログを置いておき、本社まで問い合わせなくても最寄りの出張所でお客様に渡せる仕組みです。
似た言葉との違い
- Amazon S3のクロスリージョンレプリケーションはバケット同士の複製で、複製先が増えるほど保管料金も増えます。取りに行く先はリージョンであり、エッジロケーションではありません。
- Amazon ElastiCacheはアプリケーションがVPCの中で使うメモリ上のキャッシュで、利用者に直接ファイルを返す役割は持ちません。
- AWS Transit GatewayはVPCやオンプレミス同士をつなぐ中継ハブで、社内ネットワークの整理に使うサービスです。
図による解説
解くための考え方
問題文の「世界各地から来る」「どこからの利用でも待ち時間を短く」「各地に設備を用意する費用はかけられない」という言葉に注目します。この3つが同時に出てきたら、利用者の近くにコンテンツのコピーを置いて配信する仕組みが求められています。
写真や動画のような変わらないファイルを世界中に配信するサービスはAmazon CloudFrontです。オリジンは1か所のままで、エッジロケーションがコピーを返すため、設備を各地に用意せずに待ち時間を減らせます。
S3のクロスリージョンレプリケーションはデータを増やす仕組みであって配信の仕組みではなく、複製先の数だけ費用が増えます。ElastiCacheはアプリケーション内部のメモリキャッシュ、Transit Gatewayはネットワーク同士の接続で、どちらも利用者へコンテンツを返す役割を持ちません。
「世界中のユーザーに速く、安く」と読めたらCloudFront、「別のリージョンにも同じデータを持ちたい」ならレプリケーション、「データベースの応答を速くしたい」ならElastiCache、という対応で判断します。
参考資料：Amazon CloudFront とは何ですか? – Amazon CloudFront、Amazon CloudFront CDN – プランと料金 – 無料で試す、リージョン内およびリージョン間でのオブジェクトのレプリケート – Amazon Simple Storage Service、Amazon ElastiCache とは – Amazon ElastiCache、Amazon VPC の AWS Transit Gateway とは – Amazon VPC
問題15単一選択
ある企業のアプリケーションでは、夜間の処理が完了したことを担当者に知らせる必要があります。担当者は外出中のこともあるため、携帯電話へのテキストメッセージ（SMS）とEメールの両方に同じ内容を届けたいと考えています。この用途に適したAWSのサービスはどれですか。
- Amazon SNS
- Amazon SES
- Amazon EventBridge
- Amazon SQS
解答と解説を見る
正解：回答 1
回答 1 正解 Amazon SNS（Simple Notification Service）は、トピックと呼ばれる窓口にメッセージを1回送ると、登録された複数の宛先へまとめて配信するサービスです。宛先にはSMS、Eメール、モバイルアプリのプッシュ通知のほか、Amazon SQSなどプログラム側の受け口も登録できます。1つの出来事を複数の手段で同時に知らせる用途にそのまま合います。
回答 2 不正解 Amazon SES（Simple Email Service）は、自社のドメインからEメールを送受信するためのサービスです。扱えるのはEメールだけで、携帯電話へのテキストメッセージを送る機能は持たないため、SMSとEメールの両方という要件を満たせません。会員向けのお知らせメールや購入確認メールを大量に送る用途に使います。
回答 3 不正解 Amazon EventBridgeは、システムで起きた出来事をイベントとして受け取り、条件に合うものを別のAWSサービスへ振り分けるイベントバスのサービスです。振り分け先はLambdaやSQSなどのサービスであり、自身がSMSやEメールを人に送る機能は持っていません。イベントをきっかけに処理を自動で始めたいときに使います。
回答 4 不正解 Amazon SQS（Simple Queue Service）は、送り手が置いたメッセージを、受け手のプログラムが自分のタイミングで取り出すキューのサービスです。メッセージは取り出しに来たプログラムにだけ渡され、人の電話やメールアドレスへ届ける仕組みはありません。処理の順番待ちを作り、送り手と受け手の負荷を分ける用途に使います。
問われている要件
- アプリケーションで起きた出来事を、人に向けて通知すること
- 通知の手段としてSMSとEメールの両方を使えること
- 通知を送るサービスと、メッセージをためて受け渡すサービスを区別すること
前提知識
Amazon SNSとは
- 「トピック」にメッセージを発行すると、そのトピックを購読しているすべての宛先へ同時に配信する、パブリッシュ／サブスクライブ型の通知サービスです。送り手は宛先を1つずつ指定する必要がなく、トピックへ1回送るだけで済みます。
- 宛先には、SMS・Eメール・モバイルプッシュ通知といった人向けの手段と、Amazon SQS・AWS Lambda・HTTPエンドポイントといったシステム向けの受け口の両方を登録できます。
- 賃貸オフィスに例えると、Amazon SNSは館内放送です。一度アナウンスすれば、フロアにいる全員へ同時に伝わります。
似た名前のメッセージングサービス
- Amazon SESはEメール専用の送受信サービスで、SMSは扱いません。大量のメールを自社ドメインから送るときの選択肢です。
- Amazon SQSはメッセージをためておくキューで、受け手のプログラムが取りに来るまで保管します。人に通知する手段は持ちません。
- Amazon EventBridgeはイベントを条件で振り分けるイベントバスで、振り分け先はAWSサービスです。人へ届けたいときは、振り分け先にAmazon SNSのトピックを指定します。
図による解説
解くための考え方
問題文の「テキストメッセージ（SMS）とEメールの両方」「同じ内容を届けたい」という言葉に注目します。求められているのは、1つの出来事を複数の手段で人に通知する仕組みです。
SMSとEメールの両方を配信先として登録できるのはAmazon SNSです。トピックにメッセージを送れば、購読しているすべての宛先へ同時に届くため、この要件をそのまま満たします。
Amazon SESはEメールだけを扱うのでSMSの要件が抜け落ちます。Amazon SQSはメッセージをためて受け手のプログラムに渡すキューで、人へ通知する手段がありません。Amazon EventBridgeはイベントをAWSサービスへ振り分ける仕組みで、電話やメールへ直接送る機能はありません。
「複数の宛先に一斉に知らせたい」「SMSとEメール」と読めたらSNS、「メールだけを大量に送りたい」ならSES、「メッセージをためて順番に処理したい」ならSQS、という対応で判断します。
参考資料：Amazon SNS とは – Amazon Simple Notification Service、Amazon SESとは？ – Amazon Simple Email Service、Amazon Simple Queue Serviceとは? – Amazon Simple Queue Service、Amazon EventBridge とは – Amazon EventBridge、Amazon EventBridge のイベントバスターゲット – Amazon EventBridge
この問題を無料アプリで解く
同じ40問を、順番と選択肢をシャッフルして解けます。採点と正誤の記録、ブックマーク、途中で中断しての再開ができます。登録は不要で、記録はお使いの端末の中だけに保存されます。
他の分野の問題も解く
- 分野1 クラウドのコンセプト 10問（出題割合24%）
- 分野2 セキュリティとコンプライアンス 9問（出題割合30%）
- 分野4 請求、料金、サポート 6問（出題割合12%）
- 無料40問のトップページに戻る
この無料40問は、当サイトの有料講座（本番形式 65問×6セット）とは別に作った問題です。同じ問題は含まれていません。解説はAWS公式ドキュメントおよびCLF-C02試験ガイドの記載を基に作成しており、各問題の末尾に参考にした公式ドキュメントのリンクを載せています。AWSのサービス仕様は更新されることがあるため、受験前には公式ドキュメントもあわせてご確認ください。
本番形式の390問で仕上げる
無料40問で手応えがつかめたら、次は本番と同じ形式で時間を計って解く練習に進みます。CLF-C02は65問を90分で解く試験なので、通しで解く経験があるかどうかで当日の余裕が変わります。
【図解付き】AWS CLF-C02 クラウドプラクティショナー 本番同等模擬試験390問＋初学者向け解説
本番と同じ65問×6セット。全問に日本語の解説と図をつけ、不正解の選択肢についても1つずつ理由を書いています。この無料40問とは別の問題です。
当ブログ限定クーポン：通常 2,600円 → 1,500円
関連記事
以上です。
この記事がお役に立ちましたら、コーヒー1杯分（300円）の応援をいただけると嬉しいです。いただいた支援は、より良い記事作成のための時間確保や情報収集に活用させていただきます。