AWS Certified Cloud Practitioner (CLF-C02) 完全学習ガイド

試験概要

対象者

• AWSを初めて学ぶエンジニア・非エンジニア全般
• クラウドの概念とAWSサービスの全体像を把握したいマネージャー・営業・コンサルタント
• SAA・DVA等の上位資格への足がかりを作りたい方
• オンプレミスからAWSへの移行プロジェクトに関わる全スタッフ

出題形式

試験のコツ

• 「最もコスト効率が高い」「最も適切な」という表現に注目する
• 複数選択問題は「正解の数」が問題文に明示される（例：「2つ選択してください」）
• 知らないサービス名が出たら消去法で対処する
• 試験中はフラグを立てて後回しにする機能を活用する

ドメイン別出題割合

┌───────────────────────────────────────────────────────────────────────┐
│  Domain 1: クラウドの概念                 24%  ████████████           │
│  Domain 2: セキュリティとコンプライアンス  30%  ███████████████        │
│  Domain 3: クラウドテクノロジーとサービス  34%  █████████████████      │
│  Domain 4: 請求・料金・サポート           12%  ██████                 │
└───────────────────────────────────────────────────────────────────────┘

最重要: Domain 2（セキュリティ30%）とDomain 3（サービス34%）で全体の64%を占める。

Domain 1: クラウドの概念（24%）

1-1. クラウドコンピューティングとは

クラウドコンピューティングとは、インターネット経由でITリソース（サーバー、ストレージ、データベース、ネットワーク、ソフトウェア等）をオンデマンドで提供し、使用した分だけ料金を支払うモデルのことである。

従来のオンプレミス（自社データセンター）との違い：

1-2. クラウドの6つのメリット（試験最頻出・必ず暗記）

AWS公式が定義するクラウドの6つのメリット。試験に直接出題されるため、英語表現とセットで覚える。

メリット1：設備投資から運用費用へ（Trade fixed expense for variable expense）

オンプレミス:
  → データセンター構築に数億円の先行投資（CapEx）
  → 実際の需要に関わらずコスト固定
  → 3〜5年の減価償却

AWS:
  → 初期費用ゼロ（OpEx：使った分だけ）
  → 需要が増えればコスト増、減れば自動削減
  → 月次でコストを把握・管理できる

試験での問い方:「初期コストをなくし、使った分だけ支払いたい」→ CapExからOpExへの転換

メリット2：規模の経済の恩恵（Benefit from massive economies of scale）

AWSの仕組み:
  → 世界中の何百万もの顧客が同一インフラを共有
  → AWSは極めて大量のハードウェアを一括購入
  → スケールが大きいほど1ユニット当たりのコストが下がる

お客様への還元:
  → AWSのコスト削減がユーザーへの価格低下として反映
  → 個人・スタートアップでも大企業と同等のインフラを安価に利用可能

試験での問い方:「AWSを使うとなぜ自社データセンターより安くなるのか」→ 規模の経済

メリット3：キャパシティ予測が不要（Stop guessing capacity）

オンプレミスの課題:
  → ピーク需要を想定してサーバーを調達 → 平時は過剰スペック（無駄）
  → 予測を外れて不足 → サービス停止（機会損失）

AWSの解決:
  → Auto Scaling で需要に応じて自動的にリソースを増減
  → 「必要な時に必要なだけ」が実現
  → 過剰調達・不足調達のリスクがゼロになる

試験での問い方:「需要の予測が難しく過剰/不足が起きている」→ Auto Scaling / キャパシティ予測不要

メリット4：スピードと俊敏性の向上（Increase speed and agility）

オンプレミス:
  → サーバー調達: 発注〜納品〜設置〜設定で数週間〜数ヶ月
  → 新しいアイデアの検証に時間がかかる

AWS:
  → EC2インスタンスの起動: 数分
  → 新しいアプリのプロトタイプ: 数時間で構築・テスト
  → 失敗しても即削除（コスト最小化）
  → 実験→学習→改善のサイクルが高速化

試験での問い方:「新しいサービスを素早く市場投入したい」→ 俊敏性（Agility）/ スピード

メリット5：データセンター運用からの解放（Stop spending money running and maintaining data centers）

オンプレミスの運用コスト:
  → 施設（建物・電力・冷却・セキュリティ）
  → ハードウェア保守・修理・交換
  → インフラ管理専任スタッフの人件費

AWSへの移行後:
  → 物理インフラの管理はAWSが担当
  → 社内エンジニアは「価値を生むアプリ開発」に集中できる
  → インフラの差別化要素がない作業をAWSにオフロード

試験での問い方:「インフラ管理ではなくビジネス価値創出にリソースを集中したい」→ データセンター運用からの解放

メリット6：数分でグローバル展開（Go global in minutes）

AWSのグローバルインフラ:
  → 世界各地に33以上のリージョン（2025年時点）
  → 各リージョンに複数のAZ（アベイラビリティゾーン）
  → 400以上のエッジロケーション

実現できること:
  → 日本のスタートアップが数クリックで米国・欧州にサービス展開
  → ユーザーの近くにリソースを配置 → 低レイテンシ
  → 従来は大企業しかできなかったグローバル展開が誰でも可能

試験での問い方:「グローバルユーザーへ低遅延でサービスを提供したい」→ 数分でグローバル展開 / CloudFront

1-3. クラウドのサービスモデル（IaaS / PaaS / SaaS）

クラウドサービスは管理の責任範囲によって3つのモデルに分類される。

管理レイヤーの比較:

                オンプレミス    IaaS        PaaS        SaaS
アプリケーション  お客様         お客様       お客様       ベンダー
データ          お客様         お客様       お客様       ベンダー
ランタイム       お客様         お客様       ベンダー     ベンダー
ミドルウェア     お客様         お客様       ベンダー     ベンダー
OS             お客様         お客様       ベンダー     ベンダー
仮想化          お客様         ベンダー     ベンダー     ベンダー
サーバー        お客様         ベンダー     ベンダー     ベンダー
ストレージ       お客様         ベンダー     ベンダー     ベンダー
ネットワーク     お客様         ベンダー     ベンダー     ベンダー

IaaS（Infrastructure as a Service）

PaaS（Platform as a Service）

SaaS（Software as a Service）

試験問題パターン:

• 「OSの管理が不要、アプリとデータだけ管理」→ PaaS
• 「最大の柔軟性が必要、OSから設定したい」→ IaaS
• 「インフラもソフトも管理不要、すぐに使える」→ SaaS

1-4. クラウドのデプロイメントモデル

パブリッククラウド

特徴:
  → AWSが全インフラを管理・所有
  → インターネット経由でアクセス
  → 複数顧客がインフラを共有（マルチテナント）
  → 初期投資なし・従量課金

適用ケース:
  → 一般的なWebアプリケーション
  → スタートアップ・中小企業
  → 可変的な需要がある場合
  → コスト最優先の場合

プライベートクラウド

特徴:
  → 単一の組織専用のクラウド環境
  → 社内データセンターまたは専用施設で運用
  → 完全なコントロールとセキュリティ

適用ケース:
  → 政府機関・金融・医療（高度な規制要件）
  → 機密データの処理
  → レガシーシステムとの統合が必要
  → AWS Outposts（AWSのハードをオンプレに設置）で実現可能

ハイブリッドクラウド

特徴:
  → オンプレミス（またはプライベートクラウド）とパブリッククラウドを組み合わせ
  → Direct Connect または VPN で接続

適用ケース:
  → 段階的なクラウド移行中
  → 規制上クラウドに移せないデータがある
  → データの局所性要件（データを特定の場所に保持する必要）
  → バースト処理（普段はオンプレ、ピーク時はクラウドに拡張）

AWS の対応サービス:
  → AWS Outposts: AWSのインフラをオンプレに設置
  → AWS Direct Connect: オンプレとAWSの専用線接続
  → AWS Storage Gateway: ハイブリッドストレージ

マルチクラウド

特徴:
  → AWS・Azure・GCP等複数のクラウドプロバイダーを併用

適用ケース:
  → 特定ベンダーへの依存回避（ベンダーロックイン防止）
  → 各プロバイダーのベストサービスを組み合わせ
  → リージョンの可用性確保

1-5. AWS グローバルインフラストラクチャ（試験頻出）

AWSのグローバルインフラは階層構造になっている。

リージョン（Region）

定義: 地理的に分離された複数のAZで構成される独立した拠点

特徴:
  → 2025年時点で世界33以上のリージョン
  → 各リージョンは独立（ある地域の障害が他リージョンに影響しない）
  → リージョン間のデータ複製はデフォルトでは行われない（お客様の設定が必要）
  → データ主権（データが特定のリージョンから出ないことを保証）

主要リージョン:
  ap-northeast-1  東京（日本）
  ap-northeast-3  大阪（日本）
  us-east-1       バージニア北部（最も多くのサービスが最初にリリース）
  us-west-2       オレゴン
  eu-west-1       アイルランド
  ap-southeast-1  シンガポール

リージョン選択の考慮事項:
  1. コンプライアンス・法規制（データを特定国に保持する要件）
  2. レイテンシ（ユーザーに近いリージョン）
  3. サービスの可用性（一部サービスは特定リージョンのみ）
  4. コスト（リージョンによって料金が異なる）

アベイラビリティゾーン（AZ: Availability Zone）

定義: リージョン内の独立した物理データセンター群

特徴:
  → 各リージョンに2〜6つのAZ（通常3つ）
  → AZ間は数十キロ離れた場所に設置（洪水・地震等の影響を受けにくい）
  → 専用の独立した電源・ネットワーク・冷却設備
  → AZ間は低レイテンシの専用光ファイバーで接続（通常<2ms）
  → 命名規則: ap-northeast-1a、ap-northeast-1c、ap-northeast-1d

高可用性のための設計:
  → 複数AZにリソースを分散 → 1つのAZが障害でも他のAZで継続稼働
  → これが「マルチAZ構成」の基本

エッジロケーション（Edge Location）

定義: CloudFront（CDN）のキャッシュサーバーが設置された世界各地の拠点

特徴:
  → 400以上の拠点（リージョンより遥かに多い）
  → ユーザーに近い場所からコンテンツを配信 → 低レイテンシ
  → よくアクセスされるコンテンツをキャッシュ → オリジンサーバーの負荷軽減

利用サービス:
  → Amazon CloudFront（CDN）
  → AWS Global Accelerator
  → Amazon Route 53

その他のインフラコンポーネント

試験のポイント:

• Q: 単一AZ障害への対策 → 複数AZへの分散（マルチAZ）
• Q: リージョン全体障害への対策 → マルチリージョン構成
• Q: グローバルユーザーへの低レイテンシ → CloudFront（エッジロケーション使用）
• Q: データを特定国に保持する要件 → 適切なリージョンを選択

1-6. AWS Well-Architected Framework の6本柱（試験最頻出）

AWSが定義する優れたクラウドアーキテクチャを設計するための6つの原則。試験でほぼ確実に出題される。各柱の「定義」「関連サービス」「設計原則」を覚える。

• 6本柱の覚え方（語呂合わせ）:
• 「運セ信パコ持」
• ↑ ↑ ↑ ↑ ↑ ↑
• 運用 セキュリティ 信頼性 パフォーマンス コスト 持続可能性

柱1: 運用上の優秀性（Operational Excellence）

定義: ビジネス価値を提供し、運用プラクティスを継続的に改善する能力

設計原則:
  → 運用をコードとして実行する（IaC: Infrastructure as Code）
  → 小さく・頻繁に・元に戻せる変更を行う
  → 運用手順を定期的に改善する
  → 障害を予測して備える
  → 全ての運用上の障害から学ぶ

関連AWSサービス:
  → AWS CloudFormation（IaC）
  → AWS CodePipeline（CI/CD）
  → AWS Systems Manager（運用自動化）
  → Amazon CloudWatch（監視・アラーム）
  → AWS Config（設定コンプライアンス）

試験での問い方:
  → 「インフラをコードで管理」→ 運用上の優秀性
  → 「変更の失敗時に素早く元に戻す」→ 運用上の優秀性

柱2: セキュリティ（Security）

定義: リスクの評価と緩和戦略を通じて、ビジネス価値を提供しながら情報・システム・資産を保護する能力

設計原則:
  → 強力なアイデンティティ基盤の実装（最小権限の原則）
  → トレーサビリティの確保（全アクションを記録・監査）
  → 全レイヤーにセキュリティを適用
  → セキュリティのベストプラクティスを自動化
  → 転送中・保管中のデータを保護
  → セキュリティイベントに備える

関連AWSサービス:
  → AWS IAM（アクセス制御）
  → AWS KMS（暗号化キー管理）
  → AWS CloudTrail（API監査）
  → Amazon GuardDuty（脅威検知）
  → AWS Shield（DDoS保護）

試験での問い方:
  → 「最小権限の原則」→ セキュリティ
  → 「データの暗号化」→ セキュリティ

柱3: 信頼性（Reliability）

定義: ワークロードが意図した機能を期待通り・期待された時間に実行する能力（障害からの回復を含む）

設計原則:
  → 障害から自動的に回復する
  → 回復手順をテストする
  → スケーリングで集約リソースを水平的に増やす
  → キャパシティを推測しない（Auto Scaling活用）
  → 自動化で変更を管理する

関連AWSサービス:
  → EC2 Auto Scaling（自動スケーリング）
  → Amazon Route 53（DNSフェイルオーバー）
  → Amazon RDS Multi-AZ（DBの高可用性）
  → AWS Backup（バックアップ）
  → Amazon CloudWatch（ヘルスチェック・アラーム）

試験での問い方:
  → 「障害時に自動回復したい」→ 信頼性
  → 「単一障害点をなくしたい」→ 信頼性
  → 「複数AZに分散」→ 信頼性の向上

柱4: パフォーマンス効率（Performance Efficiency）

定義: コンピューティングリソースを効率的に使用し、需要の変化とテクノロジーの進化に合わせて効率を維持する能力

設計原則:
  → 先進的な技術を民主化する（AWSのマネージドサービスを活用）
  → 数分でグローバル展開する
  → サーバーレスアーキテクチャを使用する
  → より頻繁に実験する
  → 特定の用途に最適化されたハードウェアを使用する

関連AWSサービス:
  → Amazon CloudFront（低レイテンシ配信）
  → Amazon ElastiCache（キャッシュによる高速化）
  → AWS Lambda（サーバーレス）
  → Amazon RDS Read Replica（読み取りスケールアウト）
  → AWS Global Accelerator（グローバル最適化）

試験での問い方:
  → 「レイテンシを下げたい」→ パフォーマンス効率
  → 「キャッシュを活用してDBへの負荷を減らす」→ パフォーマンス効率

柱5: コスト最適化（Cost Optimization）

定義: 最低価格でビジネス価値を提供する能力

設計原則:
  → クラウドの財務管理を実施する
  → 消費モデルを採用する（使った分だけ支払う）
  → 全体的な効率を測定する
  → 差別化要素でない重い作業への投資をやめる
  → 費用を分析し帰属させる

関連AWSサービス:
  → AWS Cost Explorer（コスト分析）
  → AWS Budgets（予算管理・アラート）
  → AWS Trusted Advisor（コスト最適化の推奨）
  → Amazon EC2 Spot Instances（最大90%割引）
  → AWS Savings Plans（コミットメント割引）

試験での問い方:
  → 「コストを最小化したい」→ コスト最適化
  → 「使われていないリソースを特定」→ Trusted Advisor / Cost Explorer

柱6: 持続可能性（Sustainability）

定義: 環境への悪影響を継続的に削減することに集中する（2021年に追加された最新の柱）

設計原則:
  → 影響を把握する
  → 持続可能性の目標を設定する
  → 使用率を最大化する
  → より効率的なハードウェアとソフトウェアを採用する
  → マネージドサービスを使用する
  → クラウドインフラのダウンストリームの影響を軽減する

関連AWSサービス:
  → AWS Graviton（省電力ARMプロセッサ）
  → EC2 Spot Instances（余剰リソースの有効活用）
  → AWS Auto Scaling（使用率の最大化）
  → Amazon S3 Intelligent-Tiering（ストレージ効率化）

試験での問い方:
  → 「環境への影響を最小化」→ 持続可能性
  → 「省電力のプロセッサを使用」→ Graviton（持続可能性）

Well-Architected Tool: AWSコンソールで無料利用可能。ワークロードをフレームワークの各柱で評価し、改善点を提示するレビューツール。

1-7. クラウド移行戦略：6R（試験頻出）

オンプレミスからAWSへ移行する際の6つの戦略。英語名と日本語の意味をセットで覚える。

• 【試験問題】「レガシーアプリを最速でAWSに移行したい」→ Rehost（リフト&シフト）
• 【試験問題】「移行後にコスト削減のため一部最適化したい」→ Replatform
• 【試験問題】「クラウドネイティブに完全再設計」→ Refactor

追加の移行戦略（7R・8Rとして言われることもある）:

• Relocate: VMwareクラウドへの移行
• Reregulate: コンプライアンス対応を変更しながら移行

1-8. TCO（総所有コスト）とクラウドの経済性

TCO（Total Cost of Ownership）とは、システムを所有・運用するための全コストのこと。

オンプレミスの隠れたコスト

直接コスト:
  ✗ サーバー・ネットワーク機器の購入費
  ✗ データセンター施設（建物・電力・冷却・物理セキュリティ）
  ✗ ソフトウェアライセンス

間接コスト（見落とされがち）:
  ✗ 機器の廃棄・リサイクル費用
  ✗ ハードウェア更新サイクル（3〜5年毎）
  ✗ インフラ管理スタッフの人件費・教育費
  ✗ 未使用キャパシティのコスト（ピーク対応で過剰調達）
  ✗ 停電・障害時の機会損失コスト

AWS移行後のコスト構造

直接コスト:
  ✓ AWSサービス利用料（従量課金）
  ✓ ネットワーク転送料

削減されるコスト:
  ✓ ハードウェア購入・維持費がゼロ
  ✓ データセンター施設費がゼロ
  ✓ ハードウェア管理工数の削減
  ✓ 過剰キャパシティのコストがゼロ（必要な時だけ使う）

AWS Pricing Calculator

AWSのコストを事前に見積もるための無料ツール。

• URL: calculator.aws
• 移行前のTCO比較に使用
• CLF試験で「コスト見積もりツール」として出題される

1-9. クラウドアーキテクチャ設計原則

AWS移行・クラウド設計における重要な原則。

設計原則1: スケーラビリティの設計

垂直スケーリング（Scale Up/Down）:
  → インスタンスのサイズを大きくする（t3.medium → m5.2xlarge）
  → 限界がある・ダウンタイムが発生する可能性

水平スケーリング（Scale Out/In）:
  → インスタンスの数を増やす/減らす
  → 理論上無限にスケール・高可用性
  → Auto Scaling + ELBで実現

AWSのベストプラクティス:
  → 「垂直より水平スケーリングを好む」
  → 各インスタンスは小さく・多数に

設計原則2: 使い捨て可能なリソース

従来の考え方（ペット型）:
  → サーバーに名前をつけ、障害時に修復する
  → 「このサーバーだけ特別な設定がある」

クラウドの考え方（牧場型）:
  → サーバーは同一の設定で量産・障害時は削除して新規起動
  → Immutable Infrastructure（不変のインフラ）
  → Auto Scaling + CloudFormation/AMIで実現

メリット:
  → 設定ドリフト（構成の劣化）を防ぐ
  → 障害復旧が高速化
  → テスト環境と本番環境の差異が消える

設計原則3: コンポーネントの疎結合

密結合（モノリシック）の問題:
  → 1つのコンポーネントの障害が全体に波及
  → 1つのコンポーネントの変更が全体に影響
  → スケーリングが困難

疎結合の設計:
  → コンポーネント間を非同期メッセージングで接続
  → 1つが障害になっても他は継続稼働
  → 独立してスケーリング可能

AWSの疎結合サービス:
  → Amazon SQS（キューによる非同期処理）
  → Amazon SNS（パブリッシュ/サブスクライブ）
  → Amazon EventBridge（イベントバス）

設計原則4: サーバーではなくサービスを考える

従来:
  → 「このタスクにはEC2インスタンスが必要」

クラウドネイティブ:
  → 「このタスクはLambdaで十分では？」
  → 「DBのキャッシュはElastiCacheで」
  → 「ファイル処理はS3 + Lambda で」
  → マネージドサービスを最大限活用
  → サーバーの管理コストを最小化

Domain 1 模擬問題（12問）

問題 1-1

ある企業が、予測困難な需要に対応するため AWS クラウドへの移行を検討しています。クラウドのどの特性が「需要に応じたリソースの自動拡縮」を最も表していますか？

• A. 高可用性（High Availability）
• B. 弾力性（Elasticity）
• C. 耐久性（Durability）
• D. 俊敏性（Agility）

問題 1-2

「企業がデータセンターの物理機器の購入・保守に投資する代わりに、使った分だけAWSに支払う」というクラウドの利点はどれですか？

• A. 規模の経済
• B. グローバル展開
• C. CapExからOpExへの転換
• D. キャパシティ予測の不要化

問題 1-3

AWS の責任共有モデルにおいて、AWS が責任を持つものはどれですか？

• A. EC2 インスタンスにインストールされたアプリケーションのパッチ適用
• B. S3 バケットのアクセス制御設定
• C. AWS データセンターの物理的なセキュリティ
• D. IAM ユーザーへの適切な権限付与

問題 1-4

Well-Architected Framework の柱の中で、「継続的なモニタリング・運用プロセスの改善・インフラのコード化」を主に扱う柱はどれですか？

• A. 信頼性
• B. セキュリティ
• C. 運用上の優秀性
• D. コスト最適化

問題 1-5

ある企業が既存のオンプレミスサーバー上のアプリケーションを、コードを変更せずに素早くAWSへ移行したいと考えています。この移行戦略はどれですか？

• A. Refactor（再設計）
• B. Replatform（再プラットフォーム）
• C. Rehost（再ホスト）
• D. Repurchase（購入変更）

問題 1-6

AWS グローバルインフラにおいて、単一のリージョン内で独立した電源・ネットワーク・冷却設備を持ち、障害の影響を分離するための論理的な区画はどれですか？

• A. エッジロケーション
• B. リージョン
• C. アベイラビリティゾーン（AZ）
• D. ローカルゾーン

問題 1-7

企業のITアーキテクトが Well-Architected Framework の「信頼性」の柱に基づいてシステムを設計しています。最も適切な設計はどれですか？

• A. アプリケーションを単一の大型EC2インスタンスに集約する
• B. コスト削減のため、すべてのリソースを単一のAZに配置する
• C. 複数のアベイラビリティゾーンにリソースを分散し、Auto Scalingを使用する
• D. 開発環境と本番環境で同一のインスタンスタイプを使用する

問題 1-8

クラウドの利点として、「AWSが極めて大規模な購買力を持つため、ユーザーが個々にハードウェアを購入するより低いコストでサービスを利用できる」ことを何と言いますか？

• A. 弾力性
• B. 規模の経済（Economies of Scale）
• C. キャパシティの最適化
• D. 従量課金モデル

問題 1-9

以下のうち、Well-Architected Framework の6本柱に含まれないものはどれですか？

• A. 持続可能性（Sustainability）
• B. 信頼性（Reliability）
• C. 可用性（Availability）
• D. コスト最適化（Cost Optimization）

問題 1-10

ある会社が、アプリケーションをオンプレミスの仮想マシンからAWSのEC2インスタンスへ移行する際に、アプリケーションコードや設定を変更せずに移行しました。この移行戦略のAWSでの一般的な呼び方はどれですか？（2つ選択）

• A. Lift and Shift
• B. Replatform
• C. Rehost
• D. Refactor
• E. Repurchase

問題 1-11

AWS Well-Architected Framework の「持続可能性」の柱が主に対処しようとしている課題はどれですか？

• A. システムの稼働率を99.99%以上に維持すること
• B. クラウドリソースの環境への影響を最小化すること
• C. セキュリティインシデントへの対応コストを削減すること
• D. 開発サイクルを短縮して素早くリリースすること

問題 1-12

ある企業が「自社のERP システムは特殊な規制要件があり、現時点ではクラウド移行が困難」と判断しました。この6Rの移行戦略はどれですか？

• A. Retire（廃止）
• B. Retain（保留）
• C. Rehost（再ホスト）
• D. Repurchase（購入変更）

Domain 2: セキュリティとコンプライアンス（30%）

CLF試験で最も出題割合が高いドメイン（30%）。責任共有モデル・IAM・セキュリティサービスを完全に理解することが合格の鍵。

2-1. AWS 責任共有モデル（Shared Responsibility Model）【最重要】

試験で1〜3問は必ず出題される。全サービスについて「AWSの責任か・お客様の責任か」を即答できるようにする。

┌─────────────────────────────────────────────────────────────────┐
│            お客様の責任                                          │
│   （Security IN the Cloud ／ クラウド内のセキュリティ）           │
│                                                                 │
│  ・データの分類・暗号化（保管中・転送中）                         │
│  ・IAMユーザー・グループ・ロール・ポリシーの管理                  │
│  ・EC2のゲストOSのパッチ適用・設定                               │
│  ・アプリケーションのセキュリティ                                 │
│  ・セキュリティグループ・NACLの設定                              │
│  ・クライアントサイド暗号化                                       │
├─────────────────────────────────────────────────────────────────┤
│            AWSの責任                                             │
│   （Security OF the Cloud ／ クラウド自体のセキュリティ）         │
│                                                                 │
│  ・物理データセンターのセキュリティ（入退室管理・監視カメラ等）     │
│  ・ハードウェアの保守・廃棄                                       │
│  ・ネットワークインフラの管理                                     │
│  ・ホストOSとハイパーバイザーの管理・パッチ適用                   │
│  ・マネージドサービスのインフラ管理（RDS・Lambda・S3等）           │
└─────────────────────────────────────────────────────────────────┘

サービス別の責任分担（試験頻出パターン）

判断の公式:

マネージドサービス（RDS・Lambda・DynamoDB）
  → AWSがOS・ミドルウェアを管理
  → お客様はアプリ・データ・IAMに集中

EC2（IaaS）
  → ゲストOS以上は全てお客様の責任
  → OSのパッチ適用を忘れやすいので注意

2-2. AWS IAM（Identity and Access Management）【最重要】

IAMはAWSの**認証（Authentication：誰か）と認可（Authorization：何ができるか）**を管理するサービス。無料で利用可能。

IAMの4つの主要コンポーネント

① IAMユーザー（IAM User）

定義: 長期的な認証情報（ユーザー名+パスワード、アクセスキー）を持つ個人またはアプリ

特徴:
  → 1つのAWSアカウントに複数のIAMユーザーを作成可能
  → コンソールアクセス: ユーザー名 + パスワード + MFA
  → プログラムアクセス: アクセスキーID + シークレットアクセスキー

ベストプラクティス:
  → 1人1アカウントの原則（共有禁止）
  → ルートユーザーの日常利用禁止
  → 不要なユーザーは削除
  → 定期的にアクセスキーをローテーション

② IAMグループ（IAM Group）

定義: IAMユーザーをまとめた論理的なグループ。グループにポリシーをアタッチすると、
     グループ内の全ユーザーにそのポリシーが適用される。

特徴:
  → グループのネスト（グループの中にグループ）は不可
  → 1人のユーザーが複数のグループに所属可能
  → ポリシーの一括管理に使用

利用例:
  → Developersグループ: EC2・RDS読み書き権限
  → DBAdminsグループ: RDS管理権限
  → Auditorsグループ: 読み取り専用権限

③ IAMロール（IAM Role）

定義: AWSサービスや外部ユーザーが一時的に引き受ける（Assume）権限セット。
     長期的な認証情報を持たず、一時的なセキュリティトークンを使用。

主な用途:
  1. EC2インスタンスにロールを付与
     → EC2上のアプリがS3やDynamoDBにアクセスキーなしでアクセス
  
  2. Lambda関数のロール
     → Lambdaが他のAWSサービスを呼び出す際の権限
  
  3. クロスアカウントアクセス
     → アカウントAのユーザーがアカウントBのリソースにアクセス
  
  4. フェデレーション（外部IDプロバイダー）
     → Active Directory・Google等のユーザーにAWSアクセスを付与

なぜアクセスキーよりロールが安全か:
  → アクセスキーは永続的（漏洩リスク大）
  → ロールは一時的トークン（自動的に期限切れ）
  → ロールは自動ローテーション不要

④ IAMポリシー（IAM Policy）

定義: 「何に対して何ができるか（または何ができないか）」をJSON形式で定義する文書

構成要素:
  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",          // Allow（許可）またはDeny（拒否）
        "Action": "s3:GetObject",   // 操作（サービス:アクション）
        "Resource": "arn:aws:s3:::my-bucket/*"  // 対象リソース
      }
    ]
  }

ポリシーの種類:
  AWS管理ポリシー: AWSが作成・管理する定義済みポリシー
    例: AdministratorAccess・ReadOnlyAccess・AmazonS3FullAccess
  
  カスタマー管理ポリシー: お客様が作成・管理するポリシー
  
  インラインポリシー: 特定のユーザー/グループ/ロールに直接埋め込む
    → 再利用不可。一般的にはカスタマー管理ポリシーを推奨

権限評価の順序（重要）:
  1. 明示的なDenyがあれば → 必ず拒否（最優先）
  2. 明示的なAllowがあれば → 許可
  3. どちらもなければ → 暗黙のDeny（デフォルト拒否）

ルートユーザーの管理（試験頻出）

AWSルートユーザー:
  → アカウント作成時に生成される最高権限のユーザー
  → メールアドレス + パスワードでログイン
  → 全AWSサービスへの無制限アクセス

ルートユーザーでしかできない操作:
  → AWSアカウントの閉鎖
  → IAM権限の制限を解除する特定の操作
  → AWS Marketplaceの出品者登録
  → 請求情報へのIAMアクセス設定
  → Route 53 ドメインの移管

ルートユーザーのベストプラクティス:
  ✅ MFA（多要素認証）を必ず設定
  ✅ アクセスキーは作成しない（または作成後即削除）
  ✅ 日常的な操作には使用しない（IAMユーザーを使用）
  ✅ メールアドレスとパスワードを安全に管理

MFA（多要素認証）

定義: パスワード（知識要素）に加えて、追加の認証要素を要求する仕組み

認証要素の種類:
  知識要素: パスワード・PINコード（知っていること）
  所持要素: スマートフォンアプリ・ハードウェアトークン（持っているもの）
  生体要素: 指紋・顔認識（本人であること）

MFAで使えるデバイス（AWS）:
  → Virtual MFA（Google Authenticator等のアプリ）
  → U2F / FIDO セキュリティキー（YubiKey等）
  → ハードウェアOTPトークン（RSA SecurID等）
  → SMS テキストメッセージ（ルートユーザーは非推奨）

設定すべきアカウント:
  → ルートユーザー（必須）
  → 管理者権限を持つIAMユーザー（強く推奨）
  → 全IAMユーザー（ベストプラクティス）

IAMベストプラクティス一覧（試験頻出）

2-3. AWS Organizations と SCP

AWS Organizations

定義: 複数のAWSアカウントを組織として一元管理するサービス

主な機能:
  一括請求（Consolidated Billing）:
    → 全アカウントの利用料を1枚の請求書にまとめる
    → 全アカウントの利用量を合算 → ボリュームディスカウント適用
    → リザーブドインスタンスを組織内で共有

  SCP（サービスコントロールポリシー）:
    → OU・アカウント単位で「使えるサービス・操作の上限」を制限

  組織単位（OU: Organizational Unit）:
    → アカウントをグループ化する論理的な単位
    → 例: 本番OU・開発OU・テストOU

組織構造:
  ルート（Root）
    └── 管理アカウント（Management Account）
         ├── OU: Production
         │    ├── AWSアカウント（Webアプリ本番）
         │    └── AWSアカウント（DB本番）
         ├── OU: Development
         │    └── AWSアカウント（開発環境）
         └── AWSアカウント（監査用）

SCP（サービスコントロールポリシー）

定義: OU・アカウントに適用する「最大権限の上限」を設定するポリシー
     IAMポリシーより上位の制御で、全IAMユーザー/ロールに強制適用

重要な特性:
  → 管理アカウント（ルート）自身には適用されない
  → SCPでAllowしても、IAMポリシーがなければアクセスできない
    （SCPはAllowの「最大範囲」を決めるだけ）
  → SCPでDenyすると、IAMポリシーのAllowを上書きして必ず拒否

用途例:
  → 特定リージョン以外でのリソース作成を禁止
    { "Effect": "Deny", "Action": "*",
      "Resource": "*",
      "Condition": {"StringNotEquals": {"aws:RequestedRegion": "ap-northeast-1"}} }
  → EC2のPublicIP自動割り当てを禁止
  → S3バケットのパブリックアクセスを禁止
  → 本番環境でのEC2削除を制限

IAMポリシー vs SCP（試験頻出の比較）:
  IAMポリシー: 単一アカウント内のユーザー/ロールへの権限付与
  SCP: 組織全体・OU・アカウント単位への制限（上限の設定）

2-4. セキュリティサービス詳解

AWS KMS（Key Management Service）

役割: 暗号化キーの作成・管理・使用の制御

主な概念:
  CMK（Customer Master Key）/ KMSキー:
    → AWSが管理するキー（AWS managed key）: 無料・自動ローテーション
    → お客様が管理するキー（Customer managed key）: より細かい制御が可能
    → AWS所有のキー（AWS owned key）: 複数アカウントで共有

  データキー（Data Key）:
    → 実際のデータ暗号化に使うキー
    → CMKで暗号化されたデータキーをデータと一緒に保存（エンベロープ暗号化）

連携サービス:
  → S3（SSE-KMS）
  → EBS（ボリューム暗号化）
  → RDS（データベース暗号化）
  → Lambda（環境変数暗号化）
  → Systems Manager Parameter Store（SecureString）

試験での問い方:
  → 「暗号化キーの管理・制御」→ KMS
  → 「誰がいつキーを使ったかの監査」→ CloudTrail + KMS

AWS CloudTrail

役割: AWSアカウント内の全API呼び出しを記録・監査するサービス

記録する情報:
  → 誰が（IAMユーザー/ロール/AWSサービス）
  → 何を（どのAPIコール）
  → いつ（タイムスタンプ）
  → どこから（ソースIPアドレス）
  → 成功/失敗したか

デフォルト動作:
  → アカウント作成時から自動的に管理イベントを記録
  → ただしデフォルトでは90日間保存（S3に保存すれば長期保持）

イベントタイプ:
  管理イベント（Management Events）:
    → AWSリソースの作成・変更・削除（EC2起動、IAMポリシー変更等）
    → デフォルトで記録（無料枠あり）
  
  データイベント（Data Events）:
    → S3オブジェクトの読み書き、Lambda関数の呼び出し等
    → デフォルトでは無効（有料・量が多い）
  
  インサイトイベント（Insights Events）:
    → 異常なAPI呼び出しパターンの自動検出

証跡（Trail）:
  → ログをS3バケットに長期保存するための設定
  → CloudWatch Logsと連携してリアルタイム分析も可能

試験での問い方:
  → 「誰がいつS3バケットを削除したか調査したい」→ CloudTrail
  → 「APIコールの監査ログ」→ CloudTrail
  → 「セキュリティ調査のためのログ記録」→ CloudTrail

AWS Config

役割: AWSリソースの設定状態を継続的に記録・評価するサービス

何ができるか:
  → リソースの設定変更履歴を記録（「いつ何が変わったか」）
  → コンプライアンスルールに対するリソースの準拠状況を評価
  → 設定変更時に自動通知・自動修復

CloudTrailとの違い:
  CloudTrail: 「誰がそのAPIを呼んだか」（アクション記録）
  AWS Config: 「リソースの設定がどう変わったか」（設定状態記録）

Config ルールの例（試験頻出）:
  → s3-bucket-public-read-prohibited: S3のパブリック読み取りを禁止
  → encrypted-volumes: EBSボリュームが暗号化されているか確認
  → mfa-enabled-for-iam-console-access: IAMユーザーのMFA有効確認
  → restricted-ssh: セキュリティグループがSSH(22)を全公開していないか
  → root-account-mfa-enabled: ルートアカウントのMFA有効確認

自動修復（Remediation）:
  → 非準拠を検知した際に Systems Manager Automation で自動修正

試験での問い方:
  → 「リソースの設定変更の履歴を確認」→ Config
  → 「セキュリティグループが意図せず変更されたことを検知」→ Config
  → 「コンプライアンス評価の自動化」→ Config

Amazon GuardDuty

役割: 機械学習とインテリジェンスを使った脅威検知サービス
     有効化するだけで自動的に監視を開始（エージェント不要）

分析するデータソース:
  → VPC フローログ（ネットワーク通信）
  → CloudTrailログ（APIコール）
  → DNSログ（ドメイン解決）
  → S3データイベント
  → EKS監査ログ

検知できる脅威の例:
  → 侵害されたEC2インスタンス（C&Cサーバーへの通信）
  → 不正なクレデンシャル使用（Tor経由のAPIコール）
  → 仮想通貨マイニング（CryptoCurrency Mining）
  → データ流出の試み
  → ポートスキャン

コスト:
  → 30日間の無料トライアル
  → 分析データ量に基づく従量課金

試験での問い方:
  → 「不正なアクティビティを自動検知」→ GuardDuty
  → 「EC2が仮想通貨マイニングに使われていないか」→ GuardDuty
  → 「脅威インテリジェンスに基づく脅威検知」→ GuardDuty

Amazon Inspector

役割: EC2インスタンス・コンテナ・Lambda関数の脆弱性を自動スキャンするサービス

スキャン対象:
  → EC2インスタンスのOS・ソフトウェアの既知CVE（脆弱性）
  → Amazon ECRのコンテナイメージの脆弱性
  → Lambda関数のコードとパッケージの脆弱性

自動化:
  → EC2起動・ECRへのプッシュ・Lambda更新時に自動スキャン
  → 新しいCVEが発表されると既存リソースを再評価
  → Security HubやEventBridgeとの連携でアラート自動化

CVSSスコア:
  → Common Vulnerability Scoring System（共通脆弱性評価システム）
  → Inspector は独自のリスクスコアも算出

試験での問い方:
  → 「EC2の脆弱性（CVE）を自動スキャン」→ Inspector
  → 「コンテナイメージのセキュリティ評価」→ Inspector
  → 「ソフトウェアの既知の脆弱性を検出」→ Inspector

Amazon Macie

役割: S3バケット内の機密データ（個人情報等）を機械学習で自動検出するサービス

検出できるデータ種別:
  個人識別情報（PII）:
    → 氏名・住所・電話番号・メールアドレス
    → クレジットカード番号・マイナンバー・パスポート番号
    → ユーザー名・パスワード
  
  医療情報・財務情報・法的文書

検出方法:
  → 機械学習とパターンマッチングの組み合わせ
  → S3オブジェクトの内容を分析
  → バケット設定の評価（パブリックアクセス等）

試験での問い方:
  → 「S3に個人情報（PII）が含まれていないか確認」→ Macie
  → 「機密データの検出と分類」→ Macie
  → 「GDPRやHIPAAコンプライアンスのためのデータ発見」→ Macie

AWS Shield

役割: DDoS（分散型サービス拒否）攻撃からAWSリソースを保護するサービス

2種類のプラン:

  AWS Shield Standard（スタンダード）:
    → 全AWSユーザーに無料で自動適用
    → L3/L4レベルのDDoS攻撃（SYNフラッド・UDPリフレクション等）を常時防御
    → CloudFront・Route 53・ELBに自動適用

  AWS Shield Advanced（アドバンスド）:
    → 月額$3,000〜（年間コミット）
    → より高度なL3/L4/L7 DDoS攻撃への対応
    → AWS DDoS Response Team（DRT）への24/7アクセス
    → DDoS攻撃によるコスト増分の払い戻し保証
    → リアルタイムの攻撃診断・詳細レポート
    → EC2・ELB・CloudFront・Global Accelerator・Route 53 をカバー

試験での問い方:
  → 「DDoS攻撃からの保護」→ Shield
  → 「無料のDDoS基本保護」→ Shield Standard
  → 「高度なDDoS対策・DRTのサポートが必要」→ Shield Advanced

AWS WAF（Web Application Firewall）

役割: Webアプリケーションへの悪意ある攻撃をL7（アプリケーション層）でフィルタリング

保護できる攻撃:
  → SQLインジェクション（DBへの不正アクセス）
  → クロスサイトスクリプティング（XSS）
  → 悪意ある Bot からの保護
  → レートベースルール（特定IPからの過剰リクエストをブロック）
  → 地理的制限（特定国からのアクセスをブロック）

適用できるAWSリソース:
  → Amazon CloudFront
  → Application Load Balancer（ALB）
  → Amazon API Gateway
  → AWS AppSync

Web ACL（アクセスコントロールリスト）:
  → ルールのセット。「許可」「ブロック」「カウント」のいずれかを設定

AWS Managed Rules:
  → AWSが管理する一般的な脅威に対するルールセット（すぐに使える）
  → OWASP Top 10、Botコントロール、AWSの脅威インテリジェンス

Shield vs WAF（試験で混同しやすい）:
  Shield:  DDoS攻撃（大量トラフィックによるサービス停止）
  WAF:     Webアプリへの不正アクセス（SQLi・XSS等のアプリ攻撃）

試験での問い方:
  → 「SQLインジェクション対策」→ WAF
  → 「Webアプリへの不正アクセスを防ぐ」→ WAF
  → 「特定の国からのアクセスを遮断」→ WAF（地理的制限）

AWS Secrets Manager

役割: データベースパスワード・APIキー・OAuth トークン等のシークレット情報を
     安全に保存・管理・自動ローテーションするサービス

主な機能:
  シークレットの保存: KMSで暗号化して安全に保存
  自動ローテーション: スケジュールに基づいてパスワードを自動更新
                      RDS・Redshift・DocumentDB と直接統合
  アクセス制御: IAMポリシーでシークレットへのアクセスを細かく制御
  監査: CloudTrailでシークレットへのアクセスを記録

比較: Systems Manager Parameter Store
  Parameter Store（StandardTier）: 無料・シンプルな設定値の保存
  Secrets Manager: 有料・自動ローテーション機能あり（パスワード管理に最適）

試験での問い方:
  → 「データベースパスワードを安全に管理し自動更新したい」→ Secrets Manager
  → 「APIキーを安全に保存してアプリから取得」→ Secrets Manager
  → 「コードにパスワードをハードコードしたくない」→ Secrets Manager

AWS Artifact

役割: AWSのコンプライアンス文書・認証レポートをオンデマンドで取得できるポータル
     AWSサービス自体は無料

提供されるドキュメント:
  → SOC 1/2/3 レポート（内部統制の監査報告書）
  → PCI DSS 認定書（クレジットカード情報保護）
  → ISO 27001/27017/27018 認定証
  → FedRAMP 認可書類
  → HIPAA BAA（ビジネスアソシエイト契約）

用途:
  → 自社の監査対応・規制機関への提出
  → AWSのセキュリティ体制の確認
  → サプライヤー評価

試験での問い方:
  → 「AWSのISO認定証を取得したい」→ Artifact
  → 「コンプライアンスレポートのダウンロード」→ Artifact

Amazon Cognito

役割: Webアプリ・モバイルアプリへのユーザー認証・認可を管理するサービス

主な機能:
  User Pool（ユーザープール）:
    → アプリのユーザー管理（サインアップ・サインイン）
    → MFA・パスワードポリシー・メール確認
    → Google・Facebook・Apple等のSNSログインとの連携

  Identity Pool（IDプール）:
    → 認証済みユーザーにAWSリソースへの一時的アクセス権限を付与
    → 「Googleでログイン → S3にファイルアップロード」等を実現

試験での問い方:
  → 「モバイルアプリのユーザー認証基盤」→ Cognito
  → 「SNSログインとAWSリソースアクセスを連携」→ Cognito

2-5. 暗号化とデータ保護

保管中のデータの暗号化（Encryption at Rest）

保管中の暗号化: ストレージに保存されているデータを暗号化する

S3 の暗号化方式（試験頻出）:
  SSE-S3（サーバーサイド暗号化・S3管理キー）:
    → S3がキーを完全管理（AES-256）
    → 最もシンプル・追加コストなし
    → デフォルトで新しいバケットに自動適用

  SSE-KMS（サーバーサイド暗号化・KMS管理キー）:
    → AWS KMSがキーを管理
    → CloudTrailでキー使用を監査可能
    → より細かいアクセス制御が可能
    → KMS API呼び出し料金が発生

  SSE-C（サーバーサイド暗号化・お客様管理キー）:
    → お客様が暗号化キーを保持・管理
    → リクエストのたびにキーをS3に送信
    → AWSはキーを保存しない

  クライアントサイド暗号化:
    → S3にアップロードする前にアプリケーション側で暗号化
    → AWSはデータの平文を見られない（最高レベルの保護）

EBS 暗号化:
  → ボリューム作成時に暗号化を有効化
  → KMSキーを使用（デフォルトキーまたはカスタムキー）
  → スナップショット・復元データも暗号化される
  → OS・アプリからは透過的（暗号化を意識しなくてよい）

RDS 暗号化:
  → インスタンス作成時に設定（後から変更不可）
  → KMSキーを使用
  → データ・バックアップ・リードレプリカ・スナップショットも暗号化

転送中のデータの暗号化（Encryption in Transit）

定義: ネットワーク上を移動しているデータを暗号化する

主な方法:
  TLS（Transport Layer Security）/HTTPS:
    → WebブラウザとWebサーバー間の通信を暗号化
    → 証明書: AWS Certificate Manager（ACM）で無料発行・管理

  VPN:
    → オンプレミスとAWS間の通信を暗号化するトンネル
    → インターネット経由でも安全に通信可能

  AWS Direct Connect + MACsec:
    → 専用線接続の物理層での暗号化

AWS Certificate Manager（ACM）:
  → SSL/TLS 証明書の無料発行・自動更新
  → CloudFront・ALB・API Gatewayと統合
  → 証明書の更新を自動化（有効期限切れを防ぐ）

2-6. ネットワークセキュリティ

セキュリティグループ（Security Group）

役割: EC2インスタンスへのネットワークトラフィックを制御する仮想ファイアウォール

特性:
  ステートフル（Stateful）:
    → インバウンドを許可すると、対応するアウトバウンドは自動的に許可
    → ルールはAllowのみ（Denyは設定できない）
    → デフォルト: 全インバウンドDeny、全アウトバウンドAllow

  適用対象: EC2インスタンス（ENI：ネットワークインターフェース）

設定例:
  インバウンドルール:
    TCP:80 (HTTP) → ソース: 0.0.0.0/0（全インターネット）
    TCP:443 (HTTPS) → ソース: 0.0.0.0/0
    TCP:22 (SSH) → ソース: 203.0.113.5/32（特定のIPのみ）

NACL（ネットワークACL）

役割: VPCサブネットレベルでのトラフィック制御

特性:
  ステートレス（Stateless）:
    → インバウンドとアウトバウンドを独立して設定する必要がある
    → AllowとDenyの両方が設定可能
    → ルールはルール番号順に評価され、最初にマッチしたルールが適用

  適用対象: サブネット全体（そのサブネット内の全インスタンスに影響）

セキュリティグループ vs NACL（試験頻出）:
  
  | 項目 | セキュリティグループ | NACL |
  |------|------------|------|
  | 適用対象 | インスタンス（ENI） | サブネット |
  | ステート | ステートフル | ステートレス |
  | ルール種別 | Allowのみ | Allow/Deny両方 |
  | 評価方法 | 全ルールを評価 | 番号順・最初のマッチ |
  | デフォルト | 全インバウンドDeny | 全Allow |
  | 使用場面 | 個別インスタンスの保護 | サブネット全体の保護 |

2-7. コンプライアンスプログラムと規制

AWSの主要コンプライアンスプログラム

AWS Artifact でこれらのレポートをダウンロード可能。

責任共有モデルとコンプライアンス

AWSの責任（コンプライアンスの観点）:
  → インフラ（データセンター・ハードウェア・ネットワーク）のコンプライアンス維持
  → 上記の認証・認定を取得してお客様に証明書を提供
  → AWS Artifact でレポートを提供

お客様の責任:
  → 自社アプリケーション・データのコンプライアンス
  → HIPAA: PHI（医療情報）の適切な取り扱い設定はお客様が実施
  → PCI DSS: カード決済アプリのコンプライアンス実装はお客様が実施
  → アクセス制御・暗号化の適切な設定

重要な考え方:
  「AWSがHIPAA準拠だからといって、そのAWS上のシステムが
   自動的にHIPAA準拠になるわけではない」
  お客様はAWSの認証を活用しつつ、自社のコンプライアンス要件を独自に満たす必要がある

2-8. セキュリティに関連するその他のサービス

Amazon Detective

役割: セキュリティインシデントの調査・根本原因分析を自動化するサービス

GuardDutyとの関係:
  GuardDuty: 脅威を「検知」する（SIEM的な役割）
  Detective: 検知した脅威を「調査」する（フォレンジック的な役割）

機能:
  → GuardDuty・Security Hub・CloudTrailのデータを自動収集・分析
  → グラフ機械学習で関連する活動を可視化
  → 「このIPは過去どのEC2と通信したか」「このユーザーの行動パターン」等を分析

AWS Security Hub

役割: 複数のセキュリティサービスからの検知を一元集約し、
     コンプライアンス状態を可視化するサービス（CSPM）

収集元:
  → Amazon GuardDuty
  → Amazon Inspector
  → Amazon Macie
  → AWS Config
  → AWS Firewall Manager
  → サードパーティ製品

機能:
  → セキュリティスコアの算出
  → CIS AWS Foundations Benchmark等のコンプライアンス評価
  → 優先度付きの改善推奨事項

試験での問い方:
  → 「複数のセキュリティサービスの検知を一箇所で確認」→ Security Hub
  → 「セキュリティ態勢の全体像の把握」→ Security Hub

AWS Trusted Advisor（セキュリティ観点）

Trusted Advisorのセキュリティチェック項目（試験頻出）:
  → セキュリティグループ: ポート22/3389が全公開になっていないか
  → IAM: ルートアカウントへのMFA設定確認
  → S3: バケットがパブリックアクセス可能になっていないか
  → MFAによるルートアカウント保護
  → IAMアクセスキーのローテーション確認
  → CloudTrailのログ記録確認

利用可能なプラン:
  → Basic/Developer: セキュリティ（一部）とサービス制限のチェックのみ
  → Business/Enterprise: 全カテゴリのチェックが利用可能

Domain 2 模擬問題（15問）

問題 2-1

Amazon RDS に関する AWS の責任共有モデルにおいて、お客様の責任はどれですか？

• A. データベースエンジンのパッチ適用
• B. RDS が動作するサーバーの物理的なセキュリティ
• C. データベース内に保存されるデータの暗号化設定
• D. RDS が稼働するホスト OS の管理

問題 2-2

複数のIAMユーザーに同じ権限を効率的に管理する方法として最もベストプラクティスに沿っているのはどれですか？

• A. 各ユーザーに同一のカスタムポリシーを個別にアタッチする
• B. IAMグループを作成してポリシーをアタッチし、ユーザーをグループに追加する
• C. 全員に AdministratorAccess ポリシーをアタッチして管理を簡略化する
• D. ルートアカウントのアクセスキーを全員で共有する

問題 2-3

EC2 インスタンス上で動作するアプリケーションが AWS S3 にアクセスする必要があります。最もセキュアな方法はどれですか？

• A. アプリケーションのソースコードにアクセスキーをハードコードする
• B. EC2インスタンスに適切な権限を持つIAMロールをアタッチする
• C. アクセスキーをEC2インスタンスの環境変数に設定する
• D. 全てのEC2インスタンスに AdministratorAccess ポリシーを付与する

問題 2-4

AWSアカウントで「誰が何時にどのAPIを呼び出したか」を追跡・記録するサービスはどれですか？

• A. Amazon CloudWatch
• B. AWS Config
• C. AWS CloudTrail
• D. Amazon Inspector

問題 2-5

AWS Organizations の SCP（サービスコントロールポリシー）について正しい説明はどれですか？

• A. SCPは特定のIAMユーザーにのみ適用できる
• B. SCPはOU（組織単位）配下の全アカウントへの最大権限の上限を設定する
• C. SCPでAllowを設定すれば、IAMポリシーなしでもアクセスできる
• D. SCPは管理アカウント（ルートアカウント）にも自動的に適用される

問題 2-6

EC2インスタンスが仮想通貨のマイニングに不正利用されていることを自動的に検知できるサービスはどれですか？

• A. Amazon Inspector
• B. AWS Config
• C. Amazon GuardDuty
• D. AWS Trusted Advisor

問題 2-7

S3に保存される機密ファイルを、最もシンプルな方法でサーバーサイド暗号化したい。追加コストをかけたくない場合、最適な方法はどれですか？

• A. SSE-KMS（AWS KMS管理キーによる暗号化）
• B. SSE-S3（S3管理キーによる暗号化）
• C. SSE-C（お客様管理キーによる暗号化）
• D. クライアントサイド暗号化

問題 2-8

AWSのコンプライアンスレポート（SOC 2レポートやISO 27001認定証等）を取得できるサービスはどれですか？

• A. AWS Trusted Advisor
• B. AWS Config
• C. AWS Artifact
• D. AWS Security Hub

問題 2-9

SQLインジェクション攻撃やクロスサイトスクリプティング（XSS）からWebアプリケーションを保護するAWSサービスはどれですか？

• A. AWS Shield
• B. AWS WAF
• C. Amazon GuardDuty
• D. Amazon Inspector

問題 2-10

セキュリティグループとネットワークACL（NACL）を比較したとき、正しい説明はどれですか？

• A. セキュリティグループはサブネットレベルで適用され、NACLはインスタンスレベルで適用される
• B. NACLはステートフルで、セキュリティグループはステートレスである
• C. セキュリティグループはAllowルールのみ設定できる。NACLはAllow/Deny両方設定できる
• D. セキュリティグループは複数のサブネットに同時に適用できる

問題 2-11

AWS の責任共有モデルにおいて、Lambda 関数のセキュリティに関してお客様が責任を持つのはどれですか？（2つ選択）

• A. Lambda が動作するサーバーのOS管理
• B. Lambda 関数のコードのセキュリティ
• C. Lambda を実行するハイパーバイザーの管理
• D. Lambda 関数に付与するIAMロールの権限設定
• E. Lambda のネットワークインフラの管理

問題 2-12

IAMポリシーの評価ロジックについて正しい説明はどれですか？

• A. 明示的なAllowがあれば、Denyがあっても許可される
• B. 明示的なDenyがあれば、Allowがあっても必ず拒否される
• C. ポリシーが何もない場合、デフォルトでAllowになる
• D. InlineポリシーはManaged Policyより優先される

問題 2-13

S3バケット内に保存された個人情報（PII）を自動的に検出・分類するサービスはどれですか？

• A. Amazon GuardDuty
• B. Amazon Inspector
• C. Amazon Macie
• D. AWS Config

問題 2-14

DDoS攻撃に対するAWSの保護として、全てのAWSユーザーに無料で自動的に提供されるサービスはどれですか？

• A. AWS Shield Advanced
• B. AWS WAF
• C. AWS Shield Standard
• D. Amazon GuardDuty

問題 2-15

ある会社が、データベースへの接続パスワードをアプリケーションから安全に取得し、90日ごとに自動的にローテーションさせたいと考えています。最も適切なAWSサービスはどれですか？

• A. AWS KMS
• B. AWS Systems Manager Parameter Store（Standard Tier）
• C. AWS Secrets Manager
• D. AWS Certificate Manager

Domain 2 完了。次: Domain 3（クラウドテクノロジーとサービス）

Domain 3: クラウドテクノロジーとサービス（34%）

このドメインは試験の最大セクション（34%）。AWS の主要サービスを「何ができるか・いつ使うか・他との違いは何か」の観点で理解する。

3-1. コンピューティングサービス

Amazon EC2（Elastic Compute Cloud）

EC2は「クラウド上の仮想サーバー」。物理サーバーを自分で管理する代わりに、数分で起動・停止・変更できる。

インスタンスタイプ（用途別分類）

購入オプション（コスト最適化の核心）

試験ポイント: 「コスト削減かつ中断を許容できる」→ スポット。「1年以上安定稼働する本番DB」→ RI or Savings Plans。「Windowsライセンスを持ち込みたい」→ Dedicated Host。

EC2 Auto Scaling

• スケールアウト: 需要増加時にインスタンスを追加
• スケールイン: 需要減少時にインスタンスを削除
• ポリシー種別:
  • ターゲット追跡（CPU使用率50%以下を維持）
  • ステップスケーリング（しきい値に応じた段階的調整）
  • スケジュール（曜日・時刻指定）
  • 予測スケーリング（MLによる事前スケール）

Elastic Load Balancing（ELB）

複数のEC2インスタンスにトラフィックを分散。Auto Scalingと組み合わせて高可用性を実現。

AWS Lambda

「コードだけ書けば動く」サーバーレスコンピューティング。サーバーの管理不要、実行時間（100ms単位）と呼び出し回数だけ課金。

特徴

• イベント駆動型（S3アップロード、APIGateway呼び出し、DynamoDB変更等がトリガー）
• 最大実行時間: 15分
• メモリ: 128MB〜10GB（CPUは比例して増加）
• 同時実行数の制限あり（デフォルト1,000）
• コールドスタート問題（初回起動に数百ms〜数秒のレイテンシ。Provisioned Concurrencyで解消可能）

向いているユースケース

• ファイル変換・サムネイル生成（S3トリガー）
• APIバックエンド（API Gateway + Lambda）
• 定期バッチ処理（EventBridge Scheduler）
• リアルタイムデータ処理（Kinesis/DynamoDB Streams）

向いていないユースケース

• 15分以上の長時間処理（→ ECS Fargate, Batch）
• 常時稼働が必要なWebサーバー（→ EC2）
• 大量の状態管理が必要なアプリ（→ EC2/ECS）

コンテナサービス

コンテナとは「アプリとその依存関係をパッケージ化したもの」。Docker が代表的な実装。

Amazon ECS（Elastic Container Service） AWS独自のコンテナオーケストレーター。Dockerコンテナを管理・実行する。

Amazon EKS（Elastic Kubernetes Service） Kubernetesのマネージドサービス。K8s の知識がある場合や、マルチクラウド対応が必要な場合に選択。

AWS Fargate ECSやEKSの「サーバーレス実行環境」。EC2インスタンス（ワーカーノード）を自分で管理せずにコンテナを実行できる。インフラ管理を最小化したい場合に推奨。

Amazon ECR（Elastic Container Registry） Dockerイメージを保存するプライベートレジストリ。DockerHubのAWS版。

その他のコンピューティングサービス

AWS Elastic Beanstalk アプリコードをアップロードするだけで、EC2・ELB・Auto Scaling・RDS等を自動でプロビジョニング・管理。PaaSに近い体験。コード以外のインフラ設定を最小化したい場合（特に中小規模Webアプリ）。

Amazon Lightsail シンプルなVPS（仮想プライベートサーバー）サービス。定額料金、簡単設定。小規模Webサイト・ブログ（WordPress等）向け。EC2の複雑さが不要な場合。

AWS Batch 大規模バッチジョブを管理。ジョブキューへの送信→自動でEC2/Fargate上で実行→完了通知。15分を超えるバッチ処理はLambdaではなくBatchを使用。

AWS Outposts AWSのハードウェアをオンプレミスに設置するサービス。AWSのAPIとサービスをデータセンター内で使用可能。低レイテンシ要件や規制でクラウド移行できないデータがある場合。

AWS Local Zones 特定の都市圏に近いAWSインフラ。ミリ秒単位の低レイテンシが必要なリアルタイムアプリ（ゲーム、動画ストリーミング、AR/VR）向け。

AWS Wavelength 5G通信事業者のネットワーク内にAWSコンピューティングを配置。モバイルエッジコンピューティング。

3-2. ストレージサービス

Amazon S3（Simple Storage Service）

オブジェクトストレージの代表格。「ファイルをバケットに保存する」。容量無制限、高耐久性（99.999999999%、イレブンナイン）。

S3の基本概念

• バケット: オブジェクトのコンテナ（グローバルで一意の名前が必要）
• オブジェクト: ファイル本体（最大5TB）+ メタデータ
• キー: オブジェクトの識別子（パス名に似た概念）
• バージョニング: 有効化すると過去バージョンを保持・復元可能
• 静的ウェブサイトホスティング: S3だけでHTMLサイトを公開可能

S3ストレージクラス（コスト最適化の重要テーマ）

試験ポイント: 「数ミリ秒でアクセスできるアーカイブ」→ Glacier Instant Retrieval。「コスト最安でOK・取り出し12時間で可」→ Glacier Deep Archive。「アクセス頻度が予測できない」→ Intelligent-Tiering。

S3 ライフサイクルポリシー 時間経過に応じてストレージクラスを自動移行・削除。例：作成後30日でIA→90日でGlacier→1年後に削除。

S3セキュリティ

• デフォルトで全バケット・オブジェクトは非公開
• Block Public Access: バケットレベルで公開設定をブロック（デフォルトON）
• バケットポリシー: JSONポリシーでIPアドレスやIAMロールによるアクセス制御
• S3 ACL: 旧来の粒度の粗いアクセス制御（バケットポリシー推奨）
• MFA Delete: バージョン削除にMFAを要求

Amazon EBS（Elastic Block Store）

EC2インスタンスにアタッチする「仮想ハードディスク」。1つのEBSは基本的に1つのEC2インスタンスに接続（io1/io2はマルチアタッチ可）。

EBSボリュームタイプ

EBSの重要特性

• スナップショット: S3にバックアップ保存。増分バックアップ（差分のみ）。スナップショットから別リージョン・AZにボリューム復元可能
• 暗号化: AES-256。KMSキーを使用。スナップショットも自動暗号化
• EC2終了時: デフォルトでルートボリュームは削除。データボリュームは保持

Amazon EFS（Elastic File System）

共有ファイルシステム。複数のEC2インスタンスが同時にアクセス可能（NFS v4.1/v4.2）。EBSと異なり、複数インスタンスから同時マウント可能。

• 自動スケール（使用量に応じて拡縮）
• マルチAZ対応
• LinuxのみサポートしOSX/Windowsは非対応（WindowsはFSx for Windows File Serverを使用）
• EFS Infrequent Access（IA）: 低頻度アクセスファイルを自動的に低コスト層に移動

Amazon FSx マネージド型ファイルシステム。

AWS Snow ファミリー

大量データをオフラインで転送するための物理デバイス。ネットワーク転送が遅すぎる・コストがかかりすぎる場合に使用。

試験ポイント: 「データセンター全体をAWSに移行」「100PBのデータ」→ Snowmobile。「オフライン環境でのデータ収集」「低帯域」→ Snowcone/Snowball。

AWS Storage Gateway オンプレミスとAWS S3/EBSの間のハイブリッドストレージゲートウェイ。クラウド移行の橋渡し役。

3-3. データベースサービス

Amazon RDS（Relational Database Service）

リレーショナルDBのマネージドサービス。OS・DBエンジンのパッチ適用、バックアップ、フェイルオーバーをAWSが管理。

対応DBエンジン: MySQL、PostgreSQL、MariaDB、Oracle、SQL Server、Amazon Aurora

RDSの主要機能

• マルチAZ配置: プライマリ・スタンバイを別AZに配置。フェイルオーバー自動（通常1〜2分）。高可用性のためのもので読み取り性能向上は目的外
• リードレプリカ: 読み取り専用コピーを最大5つ作成。読み取りスケールアウト。非同期レプリケーション
• 自動バックアップ: 1〜35日間保持。特定時刻へのポイントインタイムリカバリ可能
• 暗号化: 保存時（KMS）・転送時（SSL/TLS）

試験ポイント: 「RDSの高可用性」→ マルチAZ。「読み取り負荷分散」→ リードレプリカ。両者は目的が異なる。

Amazon Aurora

MySQLとPostgreSQL互換のAWS独自エンジン。一般的なMySQLの最大5倍のスループット。

Auroraの特徴

• ストレージは3AZに6コピー自動レプリケーション（高耐久性）
• 最大15個のリードレプリカ（フェイルオーバーも30秒以内と高速）
• Aurora Serverless: キャパシティが自動でスケール。散発的・予測困難なワークロードに最適
• Aurora Global Database: マルチリージョンレプリケーション。リージョン障害からの復旧が1分以内

Amazon DynamoDB

フルマネージドなNoSQL（Key-Value・ドキュメント型）データベース。

DynamoDBの特徴

• スキーマレス（テーブルに固定スキーマ不要）
• シングルミリ秒レイテンシ
• ペタバイトスケール
• サーバーレス（プロビジョニング不要、自動スケール）
• プライマリキー: パーティションキー単体、またはパーティションキー + ソートキーの複合

重要機能

• DynamoDB Accelerator（DAX）: インメモリキャッシュ。マイクロ秒レベルの応答時間
• DynamoDB Streams: テーブル変更のリアルタイムストリーム（Lambdaのトリガーに使用）
• グローバルテーブル: マルチリージョンレプリケーション。双方向書き込み可能
• オンデマンドモード vs プロビジョニングモード: オンデマンドは予測困難なトラフィックに最適

試験ポイント: 「スキーマレス・高速・大規模なNoSQL」→ DynamoDB。「ミリ秒未満のレイテンシが必要」→ DAX追加。

Amazon ElastiCache

インメモリキャッシュサービス。頻繁にアクセスされるデータをメモリに保持し、DBへのクエリを削減。

試験ポイント: 「DBの読み取り負荷を軽減したい」「セッション管理」→ ElastiCache。本番環境ではRedisが一般的。

Amazon Redshift

クラウドデータウェアハウス。PB規模のデータ分析。OLAPワークロード向け（OLTP＝トランザクション処理向けではない）。

• 列指向ストレージ（分析クエリに最適）
• PostgreSQL互換SQL
• Redshift Serverless: ウェアハウス管理不要でクエリを実行
• Redshift Spectrum: S3のデータを直接クエリ（ウェアハウスにロード不要）

その他のデータベースサービス

3-4. ネットワーキングサービス

Amazon VPC（Virtual Private Cloud）

AWS内に作る「プライベートなネットワーク空間」。EC2等のリソースをここに配置。

VPCの主要コンポーネント

VPC Peering 2つのVPC間をプライベート接続。異なるアカウント・リージョン間も可能。ただしトランジティブルーティング不可（A-B-C接続でAからCは到達不可）。

AWS Transit Gateway 複数のVPCとオンプレミスネットワークをハブ・スポーク型で接続。VPC Peeringのスケーリング問題を解決。

VPN接続

• AWS Site-to-Site VPN: オンプレミスとVPCをインターネット経由の暗号化トンネルで接続。設定が数分で完了
• AWS Direct Connect: 専用回線でオンプレミスとAWSを接続。安定した帯域幅・低レイテンシ。ただし開通に数週間〜数ヶ月必要

試験ポイント: 「即座にオンプレとVPCを接続」→ VPN。「安定した専用帯域が必要」「高スループット・低レイテンシ」→ Direct Connect。

Amazon Route 53

AWS のDNSサービス + ドメイン登録サービス。

ルーティングポリシー

Route 53 ヘルスチェック エンドポイントを定期的に監視。障害時にDNSフェイルオーバーを自動実行。

Amazon CloudFront

CDN（コンテンツデリバリーネットワーク）。世界中のエッジロケーション（450拠点以上）にコンテンツをキャッシュし、ユーザーに最も近い場所から配信。

• オリジン: S3バケット、ALB、EC2、カスタムHTTPサーバー等
• ディストリビューション: CloudFrontの設定単位
• エッジロケーション: キャッシュを保持するPOPサーバー
• TTL（Time to Live）: キャッシュの有効期限
• キャッシュ無効化（Invalidation）: キャッシュを手動でクリア（課金あり）

CloudFrontのセキュリティ

• HTTPS対応（ACM証明書）
• 署名付きURL/Cookie: 限定コンテンツ（プレミアム動画等）のアクセス制御
• AWS WAF統合: SQLインジェクション・XSS等を遮断
• Shield統合: DDoS防御

試験ポイント: 「グローバルユーザーに静的コンテンツを高速配信」「S3の直接公開をやめて安全に配信」→ CloudFront。

AWS Global Accelerator

CloudFrontとよく混同されるサービス。CloudFrontとの違いは以下の通り。

Amazon API Gateway

REST API・WebSocket APIのマネージドサービス。Lambda等のバックエンドへのAPIエンドポイントを作成・管理。

• サーバーレスアーキテクチャの定番（API Gateway + Lambda + DynamoDB）
• 認証（IAM、Cognito、Lambda Authorizer）
• スロットリング・クォータ設定でバックエンドを保護
• API Keyによるアクセス制御

3-5. 分析・AIサービス

分析サービス

AI/ML サービス概要

CLF試験では各サービスの概要と用途を把握すれば十分。

ビジョン

言語・音声

MLプラットフォーム

3-6. 管理・ガバナンスサービス

Amazon CloudWatch

統合モニタリングサービス。メトリクス収集・ログ管理・アラーム・ダッシュボード。

主要コンポーネント

• CloudWatch Metrics: CPU使用率・ネットワーク・ディスクI/OなどのAWSサービスメトリクス
• CloudWatch Logs: アプリログ・VPCフローログ・CloudTrailログの収集・分析
• CloudWatch Alarms: メトリクスが閾値を超えたらSNS通知・Auto Scaling実行
• CloudWatch Events / EventBridge: AWSイベントに基づくルーティング（「EC2が停止したらLambdaを実行」等）
• CloudWatch Dashboards: カスタムダッシュボード
• CloudWatch Container Insights: ECS/EKSのコンテナモニタリング
• CloudWatch Application Insights: アプリケーション異常の自動検出

標準メトリクス vs カスタムメトリクス

• EC2の標準メトリクス（CPU・ネットワーク等）はAWSが自動収集
• メモリ使用率・ディスク使用率はCloudWatch Agentをインストールしてカスタムメトリクスとして送信が必要

AWS CloudTrail

AWS APIコールの監査ログ。誰が・いつ・何のAPIを呼んだかを記録。

• デフォルトで全リージョンのAPIコール履歴を90日間保持（無料）
• **証跡（Trail）**を作成するとS3に無期限保存可能
• CloudTrail Insights: 異常なAPIアクティビティを自動検出
• ユースケース: セキュリティ調査、コンプライアンス証明、変更管理

CloudWatch vs CloudTrail: CloudWatchは「パフォーマンス・動作のモニタリング」、CloudTrailは「API操作の監査」。

AWS Config

AWS リソースの構成管理・コンプライアンス評価。リソースの設定変更履歴を記録し、コンプライアンスルールへの適合を継続的に評価。

• 「このS3バケットが公開設定になっているか」「MFAが有効か」などのルールを定義
• 非準拠時にSSM Automation等で自動修復可能
• 構成スナップショット: ある時点でのAWSリソース構成一覧を取得

AWS Systems Manager（SSM）

AWSリソース（EC2など）の運用管理を一元化するサービス群。

AWS CloudFormation

Infrastructure as Code（IaC）。JSONまたはYAMLテンプレートでAWSインフラを定義→自動プロビジョニング。

• スタック: CloudFormationの管理単位（テンプレートから作成されるリソース群）
• 変更セット: スタック更新前に影響範囲を確認
• ドリフト検出: テンプレートと実際のリソース状態の差分を検出
• テンプレートを再利用でき、環境複製（開発・ステージング・本番）が容易

CDK（Cloud Development Kit） PythonやTypeScriptなどのプログラミング言語でCloudFormationテンプレートを生成。開発者フレンドリー。

AWS Trusted Advisor

AWSアカウントのベストプラクティス準拠チェックツール。5カテゴリにわたるチェックを実施。

提供チェック数はサポートプランに依存: Basic/Developer は限定チェックのみ、Business/Enterprise は全チェック利用可能。

AWS Organizations と関連サービス（再掲・補足）

Domain 2 で説明した Organizations に加えて、管理系サービスを補足。

AWS Control Tower 複数アカウントのAWS環境をセキュリティベストプラクティスに準拠した形で自動構築するサービス。Landing Zone（安全なマルチアカウント環境の雛形）を自動設定。ガードレール（必須・強く推奨）でポリシーを適用。

AWS Service Catalog 組織内の承認済みAWSサービス・製品カタログを定義。開発者はカタログ内の製品のみデプロイ可能。ガバナンスを保ちつつセルフサービスを実現。

3-7. デベロッパーツール

CLF試験での出題は概要レベル。

3-8. アプリケーション統合サービス

SNS vs SQS の違い

• SNS: プッシュ型。1つのメッセージを複数の宛先（サブスクライバー）に配信
• SQS: プル型。メッセージをキューに蓄積。コンシューマーが取得。メッセージの保持・再試行が可能

Domain 3 演習問題

問題1 EC2インスタンスを1年間継続的に使用する予定で、最大の割引を得たい場合に最適な購入オプションはどれか？

A. オンデマンドインスタンス
B. スポットインスタンス
C. リザーブドインスタンス（1年・全額前払い）
D. Dedicated Host

問題2 複数のEC2インスタンスが同じファイルシステムに同時にアクセスする必要がある場合、どのストレージサービスが最適か？

A. Amazon EBS
B. Amazon S3
C. Amazon EFS
D. AWS Storage Gateway

問題3 企業が10PBのオンプレミスデータをAWSに移行したい。ネットワーク帯域幅が限られており、転送には数年かかる見込みだ。最も適切な方法はどれか？

A. AWS Direct Connect で専用線を引いてデータ転送
B. AWS Snowmobile を使用してオフライン転送
C. S3 Transfer Acceleration を使用
D. AWS DataSync を使用してネットワーク転送を最適化

問題4 EC2インスタンスで稼働するWebアプリケーションのメモリ使用率をCloudWatchで監視したい。どのような設定が必要か？

A. EC2のデフォルトメトリクスに含まれるため、追加設定不要
B. CloudWatch Agent をインストールしてカスタムメトリクスを送信する
C. CloudTrail を有効化する
D. AWS Config ルールを設定する

問題5 ユーザーのリクエストを最も近いリージョンのEC2インスタンスに振り分け、低レイテンシを実現するRoute 53のルーティングポリシーはどれか？

A. 加重ルーティング
B. フェイルオーバールーティング
C. レイテンシーベースルーティング
D. 位置情報ルーティング

問題6 Webアプリケーションの画像・動画ファイルをS3に保存し、世界中のユーザーに低レイテンシで配信したい。最適な構成はどれか？

A. S3の静的ウェブサイトホスティング機能を使用
B. S3 + CloudFront を組み合わせる
C. S3 + Global Accelerator を組み合わせる
D. EC2にNginxをインストールして配信

問題7 Lambda関数とDynamoDBを組み合わせたサーバーレスAPIを構築する際に、API公開のエンドポイントとして使用するサービスはどれか？

A. Amazon ELB
B. AWS Direct Connect
C. Amazon API Gateway
D. Amazon Route 53

問題8 RDSデータベースの読み取りパフォーマンスが限界に達している。読み取り性能を向上させるための最適な方法はどれか？

A. マルチAZ配置を有効化する
B. RDSインスタンスをより大きなサイズに変更する（スケールアップ）
C. リードレプリカを作成し、読み取りクエリを振り分ける
D. RDSのバックアップ頻度を下げる

問題9 SQSとSNSの違いについて正しい説明はどれか？

A. SNSはプル型、SQSはプッシュ型
B. SNSはプッシュ型で複数のサブスクライバーに配信、SQSはキュー型で1対1処理
C. SQSはメッセージを複数の宛先に同時配信できる
D. SNSとSQSは同じ機能を持つ代替サービスである

問題10 AWSインフラをコードで定義・管理（Infrastructure as Code）するサービスはどれか？

A. AWS Systems Manager
B. AWS CloudFormation
C. AWS Config
D. AWS CloudTrail

問題11 スポットインスタンスが最も適しているユースケースはどれか？

A. 24時間365日稼働するデータベースサーバー
B. 本番環境のWebアプリケーションサーバー
C. 中断しても再実行可能なゲノムデータ解析バッチ処理
D. 金融取引を処理するAPIサーバー

問題12 DynamoDB の「DAX（DynamoDB Accelerator）」の主な目的はどれか？

A. DynamoDBのストレージ容量を増加させる
B. DynamoDBの書き込みパフォーマンスを向上させる
C. DynamoDBの読み取りレイテンシをミリ秒からマイクロ秒に短縮する
D. DynamoDBをマルチリージョンに複製する

問題13 AWSのCloudFrontとAWS Global Acceleratorの違いについて最も正確に説明しているものはどれか？

A. CloudFrontはDDoS防御に使用し、Global AcceleratorはCDNに使用する
B. CloudFrontはコンテンツキャッシュによる静的・動的コンテンツ配信に最適で、Global AcceleratorはTCP/UDPアプリの静的IP提供と低レイテンシルーティングに使用する
C. 両サービスは同一の機能を持つ
D. Global Acceleratorはアジアリージョンのみで利用可能

問題14 AWS Trusted Advisor の「セキュリティ」チェックで検出されるものとして正しいものはどれか？

A. EC2インスタンスのCPU使用率が高い
B. S3バケットが公開設定になっている
C. CloudFrontのキャッシュヒット率が低い
D. Lambda関数のコールドスタート時間が長い

問題15 「アプリケーションコードをアップロードするだけで、EC2・ELB・Auto Scalingなどのインフラを自動的にプロビジョニングして管理してくれる」AWS サービスはどれか？

A. AWS CloudFormation
B. AWS Elastic Beanstalk
C. Amazon ECS
D. AWS Lambda

問題16 S3のストレージクラスについて、「アクセス頻度が月に1回程度で、取り出しは数ミリ秒以内に応答が必要。できるだけコストを削減したい」場合に最適なストレージクラスはどれか？

A. S3 Standard
B. S3 Standard-IA
C. S3 Glacier Flexible Retrieval
D. S3 Glacier Deep Archive

問題17 AWS Lambda が「向いていない」ユースケースはどれか？

A. S3にファイルがアップロードされた際にサムネイルを自動生成する
B. 毎朝9時にレポートメールを送信する定期処理
C. 一度に20時間かかるデータ変換バッチを実行する
D. APIGatewayからのHTTPリクエストに応じてDynamoDBにデータを保存する

Domain 3 完了。次: Domain 4（請求・料金・サポート、12%）

Domain 4: 請求・料金・サポート（12%）

4-1. AWS の料金モデル

基本的な課金原則

AWSは「使った分だけ払う（Pay-as-you-go）」モデルが基本。オンプレミスのように前払いで大量のサーバーを購入する必要がない。

3つの基本料金原則

1. コンピューティング: 実際に使用した時間（秒〜時間単位）に対して課金
2. ストレージ: 保存したデータ量（GB単位）に対して課金
3. データ転送: AWS からインターネットへのアウトバウンド転送に課金（インバウンドは基本無料）

コスト削減の仕組み

• リザーブドインスタンス / Savings Plans: 使用量を事前コミットすることで最大72%割引
• スポットインスタンス: 未使用のEC2容量を最大90%割引で利用
• ボリューム割引: 使用量が増えるほど単価が下がる（S3等）
• 無料枠（AWS Free Tier）: 新規アカウントの最初12ヶ月間や、一部サービスの常時無料枠

AWS Free Tier（無料枠）の種類

無料枠を超過すると課金が発生するため、Billing Alerts（請求アラート）の設定を推奨。

主要サービスの課金モデル

Amazon EC2

• オンデマンド: 秒単位（最低60秒）で課金
• 停止中: ストレージ（EBS）のみ課金、コンピューティング課金なし
• Elastic IP: 実行中インスタンスに付与の場合無料。使っていないElastic IPは課金

Amazon S3

• 保存データ量（GB/月）
• リクエスト数（PUT・GET等）
• データ取り出し（Glacier系は取り出し課金あり）
• アウトバウンドデータ転送
• リージョン間データ転送

Amazon RDS

• DBインスタンスの稼働時間
• ストレージ（プロビジョニング済みGB/月）
• I/Oリクエスト（一部エンジン）
• バックアップストレージ（DBインスタンスストレージを超えた分）
• マルチAZは約2倍のコスト（2インスタンス分）

AWS Lambda

• リクエスト数（最初の100万リクエストは無料）
• 実行時間（GB・秒単位、実行メモリ×実行時間）

Amazon CloudFront

• HTTPリクエスト数
• アウトバウンドデータ転送（オリジン→エッジ間、エッジ→インターネット間）

データ転送コストの注意点

無料のデータ転送

• インターネット → AWS（インバウンド）: 無料
• 同一リージョン・同一AZ内のEC2間（プライベートIP使用）: 無料
• S3 → CloudFront: 無料

課金されるデータ転送

• AWS → インターネット（アウトバウンド）: 課金（最初の1GB/月は無料）
• リージョン間転送: 課金
• 同一リージョン内の異なるAZ間: 課金（0.01$/GB程度）

設計ポイント: 同一AZ内にEC2とRDSを配置することでデータ転送コストを削減できる。ただし可用性とのトレードオフあり。

4-2. コスト管理ツール

AWS Billing Console（請求コンソール）

月次請求書の確認、請求書の詳細、支払い方法の管理を行う画面。

AWS Cost Explorer

コストと使用量の可視化・分析ツール。

• 過去13ヶ月のコストデータを確認
• サービス別・リージョン別・タグ別にコストを分類
• コスト予測: 今後12ヶ月のコスト予測
• リザーブドインスタンス推奨: 使用パターンを分析し最適なRIを提案
• Savings Plans推奨: コミットメントの最適な金額を提案

AWS Budgets

予算アラートの設定。コストや使用量が設定した閾値を超えた（または超えそうな）場合に通知。

アクションを設定してIAMポリシーの適用やEC2/RDSの停止を自動実行することも可能（Budgets Actions）。

AWS Cost and Usage Report（CUR）

最も詳細なコストデータ。CSV形式でS3に保存。サードパーティBIツールやAthenaでの分析向け。

AWS Pricing Calculator

事前のコスト見積もりツール（旧称: Simple Monthly Calculator）。

• 構成するAWSサービスと設定を入力してコストを試算
• TCO（総所有コスト）の試算にも活用

コスト配分タグ

EC2・S3等のリソースにタグ（例: Project: ProjectA）を付与し、タグ別にコストを分類。Cost Explorerと組み合わせてプロジェクト別・部署別のコストを管理。

管理アカウント（一括請求） AWS Organizations で複数アカウントの請求を一本化（コンソリデーテッドビリング）。

4-3. 一括請求（コンソリデーテッドビリング）

AWS Organizations の請求統合機能。

メリット

1. ボリューム割引の統合: 複数アカウントの使用量を合算してボリューム割引を適用（S3等）
2. 支払いの一本化: 複数アカウントの請求を管理アカウントで一括払い
3. コストの一元管理: 全アカウントのコストを1画面で把握

注意点

• 管理アカウント（Payer account）が支払いの責任を持つ
• 個々のメンバーアカウントのコストは引き続き追跡可能

試験ポイント: 「コストを削減するためにOrganizationsを使う理由」→ ボリューム割引の統合と一括請求管理。

4-4. AWS サポートプラン

AWSには5段階のサポートプランがある。試験ではプランごとの違いを把握することが重要。

サポートプラン比較

各プランの詳細

Basic（無料）

• すべてのAWSアカウントに自動で付与
• AWSドキュメント・フォーラム・ホワイトペーパーへのアクセス
• AWS Health Dashboard（サービス障害の確認）
• Trusted Advisor の基本7項目チェック
• テクニカルサポートなし（請求サポートのみ）

Developer

• 個人開発者・評価環境向け
• メールによるサポート（ビジネス時間内）
• 一般ガイダンス: 24時間以内
• システム障害: 12時間以内

Business

• 本番環境を持つビジネス向け
• 24時間365日の電話・チャット・メールサポート
• 本番システム障害: 1時間以内
• Trusted Advisor 全チェック解放
• AWS Support APIへのアクセス

Enterprise On-Ramp

• 本番環境を重視する成長企業向け
• ビジネスクリティカル障害: 30分以内
• プール型TAM（複数アカウントで共有）
• コンシェルジュサポート（請求・アカウント管理）

Enterprise

• ミッションクリティカルなエンタープライズ向け
• ビジネスクリティカル障害: 15分以内
• 専任TAM（テクニカルアカウントマネージャー）
• 年次ビジネスレビュー、プロアクティブなアドバイス

試験ポイント: 「本番環境で1時間以内のサポートが必要」→ Businessプラン以上。「TAMが必要」→ Enterprise On-Ramp or Enterprise。「24時間365日サポート」→ Business以上。

AWS Support に関連するサービス

AWS Health Dashboard（Personal Health Dashboard）

• 自分のAWSアカウントに影響する可能性のあるイベントやメンテナンス情報を表示
• Service Health Dashboard: 全リージョンのAWSサービスの稼働状況を公開（パブリック）
• Personal Health Dashboard: 自分のリソースに影響するイベントのみフィルタリング

AWS IQ AWSの認定パートナー・フリーランスの専門家にプロジェクト単位で依頼できるマーケットプレイス。

AWS re:Post AWSの公式QAコミュニティ（旧AWS Forums）。

AWS Managed Services（AMS） AWS環境の運用管理をAWSに委託するサービス。インフラの監視・パッチ適用・バックアップ等を代行。

4-5. AWS Marketplace

サードパーティソフトウェア・サービスのオンラインストア。

• EC2 AMI（機械学習プラットフォーム・セキュリティツール等）をワンクリックでデプロイ
• SaaSサービスをAWSアカウントに紐付けて利用
• ライセンス管理・請求をAWSに統合
• 製品のサブスクリプション契約・解約が容易

4-6. AWS Partner Network（APN）

AWSパートナープログラム。AWSの技術・サービスを活用してビジネスを展開するパートナー企業の認定制度。

Domain 4 演習問題

問題1 AWSアカウントに無料で付属するサポートプランで受けられるサポートとして正しいものはどれか？

A. 24時間365日の電話サポート
B. 専任のテクニカルアカウントマネージャー（TAM）
C. Trusted Advisorの基本的な7項目のセキュリティチェック
D. 本番システム障害への1時間以内の応答

問題2 本番環境のAWSインフラを持つ企業がコスト最適化の推奨事項を確認したい。すべてのTrusted Advisorチェックを利用するために必要な最低限のサポートプランはどれか？

A. Basic
B. Developer
C. Business
D. Enterprise

問題3 AWS OrganizationsのConsolidated Billing（一括請求）を使用するメリットとして正しいものはどれか？（2つ選択）

A. 複数アカウントのリソースを1つのVPCに統合できる
B. 複数アカウントの使用量を合算してボリューム割引を受けられる
C. すべてのアカウントで同じIAMユーザーを共有できる
D. 複数アカウントの請求を1枚の請求書に統合できる
E. 自動的に全アカウントに同一のセキュリティポリシーが適用される

問題4 AWS Cost Explorerの主な機能として正しいものはどれか？

A. AWSサービスのコストを事前に見積もる
B. 過去のAWSコスト・使用量を分析し、将来のコストを予測する
C. EC2インスタンスを自動的に停止してコストを削減する
D. 請求アラートを設定して閾値超過時に通知する

問題5 スタートアップ企業がAWSで新サービスを構築し、3ヶ月間の概算コストを見積もりたい。最適なツールはどれか？

A. AWS Cost Explorer
B. AWS Budgets
C. AWS Pricing Calculator
D. AWS Trusted Advisor

問題6 AWS の「アウトバウンドデータ転送」の課金について正しいものはどれか？

A. すべてのデータ転送は無料
B. インターネットへのアウトバウンド転送は課金される
C. S3からCloudFrontへのデータ転送は課金される
D. インターネットからAWSへのインバウンド転送は課金される

問題7 TAM（テクニカルアカウントマネージャー）の専任担当者とコンシェルジュサポートを利用できる最低限のサポートプランはどれか？

A. Basic
B. Developer
C. Business
D. Enterprise

Domain 4 完了。次: まとめ・学習ガイド・模擬試験

試験合格のための学習戦略

CLF-C02 出題傾向まとめ

よく間違えるポイント 重要比較一覧

セキュリティ系の比較

ストレージ系の比較

コンピューティング系の比較

料金・サポート系の比較

AWS サービス選択フローチャート

「どのコンピューティングを使うべきか？」

コンテナを使いたい？
├─ Yes → Kubernetes必要？
│         ├─ Yes → EKS
│         └─ No  → ECS（+ Fargate でサーバーレス化）
└─ No  → サーバー管理したくない？
          ├─ 15分以内の処理 → Lambda
          ├─ 長時間バッチ   → AWS Batch
          └─ 継続稼働Webアプリ → EC2（またはElastic Beanstalk）

「どのデータベースを使うべきか？」

RDB（SQL）が必要？
├─ Yes → 高性能・大規模？
│         ├─ Yes → Aurora
│         └─ No  → RDS（MySQL/PostgreSQL/etc.）
└─ No  → NoSQLでよい？
          ├─ Key-Value・ドキュメント → DynamoDB
          ├─ キャッシュが欲しい      → ElastiCache（Redis/Memcached）
          ├─ 分析・データウェアハウス → Redshift
          ├─ グラフデータ            → Neptune
          └─ JSON・MongoDB互換      → DocumentDB

「どのストレージを使うべきか？」

ファイルシステムが必要？
├─ Yes → 複数EC2から同時アクセス？
│         ├─ Yes → EFS（Linux）/ FSx for Windows（Windows）
│         └─ No  → EBS（EC2に1対1アタッチ）
└─ No  → オブジェクトストレージ → S3
          │   ├─ 頻繁アクセス    → Standard
          │   ├─ 低頻度・即時    → Standard-IA
          │   ├─ アーカイブ・即時 → Glacier Instant
          │   └─ 長期保存       → Glacier Deep Archive
          └─ 大容量オフライン転送 → Snow Family

頻出用語クイックリファレンス

30日学習プラン

CLF-C02 の推奨学習時間は 40〜60時間（未経験者）。

Week 1（基礎固め）

• Day 1-2: クラウドの基本概念（Domain 1）・AWSグローバルインフラ
• Day 3-4: セキュリティの基礎（IAM・責任共有モデル）
• Day 5-7: セキュリティサービス群（KMS・CloudTrail・Config・GuardDuty等）

Week 2（主要サービス）

• Day 8-9: コンピューティング（EC2購入オプション・Lambda・コンテナ）
• Day 10-11: ストレージ（S3ストレージクラス・EBS・EFS・Snow）
• Day 12-14: データベース（RDS・Aurora・DynamoDB・ElastiCache）

Week 3（ネットワーク・管理）

• Day 15-16: ネットワーキング（VPC・Route 53・CloudFront）
• Day 17-18: 管理ツール（CloudWatch・CloudTrail・Config・SSM）
• Day 19-20: 料金・サポートプラン（Domain 4）
• Day 21: AI/ML・分析サービス概要

Week 4（総仕上げ）

• Day 22-24: 模擬試験（第1回・第2回）
• Day 25-26: 苦手分野の復習
• Day 27-28: 模擬試験（第3回・第4回）
• Day 29: 最終確認（よく間違える問題の見直し）
• Day 30: 試験当日

試験直前チェックリスト

Domain 1（クラウドの概念）

• [ ] クラウドの6つのメリット（スケール・俊敏性・グローバル展開・CapEx→OpEx・ビジネス価値集中・柔軟性）
• [ ] AWSグローバルインフラ（リージョン・AZ・エッジロケーション）の違い
• [ ] Well-Architectedフレームワーク6柱の名前と内容
• [ ] 移行の6R（Retire・Retain・Rehost・Replatform・Refactor・Repurchase）

Domain 2（セキュリティとコンプライアンス）

• [ ] 責任共有モデル（AWSの責任 vs 顧客の責任の境界線）
• [ ] IAM（ユーザー・グループ・ロール・ポリシー）の違い
• [ ] rootアカウントのベストプラクティス（MFA有効化・日常利用しない）
• [ ] SG（ステートフル・Allow only）vs NACL（ステートレス・Allow+Deny）
• [ ] KMS・CloudTrail・Config・GuardDuty・Macie・Inspector・Shieldの用途

Domain 3（クラウドテクノロジーとサービス）

• [ ] EC2の購入オプション（オンデマンド・RI・Savings Plans・スポット・Dedicated Host）の適切な選択
• [ ] S3のストレージクラスと取り出し時間・コストの違い
• [ ] マルチAZ（高可用性）vs リードレプリカ（読み取りスケール）の違い
• [ ] Lambda の制限（最大15分）とユースケース
• [ ] CloudFront vs Global Accelerator の使い分け
• [ ] CloudWatch（モニタリング）vs CloudTrail（監査ログ）の違い
• [ ] SNS（プッシュ・1対多）vs SQS（プル・キュー）の違い

Domain 4（請求・料金・サポート）

• [ ] 無料枠の3種類（12ヶ月・常時無料・試用）
• [ ] Cost Explorer（分析）vs Pricing Calculator（事前見積もり）vs Budgets（アラート）
• [ ] 一括請求のメリット（ボリューム割引・請求一本化）
• [ ] サポートプラン（Basic・Developer・Business・Enterprise On-Ramp・Enterprise）の違い
• [ ] TAMが付くプラン（Enterprise On-Ramp以上）・専任TAMはEnterpriseのみ

模擬試験（本番形式 65問）

以下は本番試験に近い形式の模擬試験です。時間を計って（90分）解いてみましょう。

問題1 AWSクラウドがオンプレミスインフラと比較して提供するメリットはどれか？（2つ選択）

A. 固定の月額コストにより予算管理が容易になる
B. グローバルなデータセンターインフラをすぐに活用できる
C. すべてのコンプライアンス要件がAWSによって満たされる
D. 需要に応じてリソースを素早くスケールできる
E. インターネットへのアウトバウンドデータ転送は常に無料

問題2 ある企業が本番DBに対するすべての変更を追跡し、変更者・変更時刻を特定できるようにしたい。最適なAWSサービスはどれか？

A. Amazon CloudWatch
B. AWS CloudTrail
C. AWS Config
D. Amazon GuardDuty

問題3 新しいWebアプリを開発中のスタートアップが、将来のトラフィック増加に備えてインフラを設計している。Well-Architectedフレームワークの「信頼性」の柱に基づいた最適な設計はどれか？

A. すべてのリソースを1つのAZに集中させてレイテンシを最小化する
B. 複数のAZにリソースを分散し、Auto Scalingを使用する
C. 最大のEC2インスタンスタイプを使用して将来の需要に備える
D. 開発チームのみがアクセスできるプライベートサブネットのみを使用する

問題4 EC2インスタンス上で動作するアプリケーションが S3 バケットにアクセスする必要がある。最もセキュリティのベストプラクティスに沿ったアクセス方法はどれか？

A. アクセスキーとシークレットキーをEC2インスタンスの環境変数に設定する
B. アクセスキーをアプリケーションのコードにハードコードする
C. EC2インスタンスにIAMロールを割り当てる
D. S3バケットをパブリックアクセス設定にする

問題5 ある企業がオンプレミスの Oracle データベースをAWSに移行する際に、可能な限りリファクタリングを避け、同じデータベースエンジンでクラウドに移行したい。この戦略を表す移行の6Rはどれか？

A. Retire（廃止）
B. Rehost（リホスト）
C. Replatform（リプラットフォーム）
D. Refactor（リファクタリング）

問題6 ある企業の開発チームが、コードリポジトリへのプッシュを検知して自動的にビルド・テスト・デプロイするCI/CDパイプラインを構築したい。このパイプラインをオーケストレーションするAWSサービスはどれか？

A. AWS CodeBuild
B. AWS CodeDeploy
C. AWS CodePipeline
D. AWS CodeCommit

問題7 Amazon S3のバケットに保存されているデータの機密情報（クレジットカード番号・個人情報等）を自動検出するサービスはどれか？

A. Amazon GuardDuty
B. Amazon Inspector
C. Amazon Macie
D. AWS Config

問題8 Well-Architectedフレームワークの「コスト最適化」の柱に含まれる実践として正しいものはどれか？

A. 複数のAZにリソースを分散配置する
B. すべてのデータを暗号化する
C. 不要なリソースを停止・削除し、適切なインスタンスサイズを選択する
D. すべてのAPIコールをCloudTrailで記録する

問題9 あるグローバル企業がユーザーの地理的位置に関係なく、同一のAWSリソースに対して2つの固定IPアドレスで接続できるようにしたい。最適なサービスはどれか？

A. Amazon CloudFront
B. AWS Global Accelerator
C. Amazon Route 53（加重ルーティング）
D. Elastic Load Balancing

問題10 Amazonの責任共有モデルにおいて、「顧客が責任を持つ」項目はどれか？

A. 物理的なデータセンターのセキュリティ
B. ハイパーバイザーのパッチ適用
C. EC2インスタンスのOSパッチ適用
D. グローバルネットワークインフラの管理

問題11 Amazon DynamoDB と Amazon RDS の違いとして正しいものはどれか？

A. DynamoDBはSQLをサポートするが、RDSはしない
B. RDSはスキーマレスだが、DynamoDBはスキーマが必要
C. DynamoDBはNoSQLデータベースで、テーブルのスキーマ定義が不要（パーティションキー以外）
D. RDSはサーバーレスであり、DynamoDBはサーバーの管理が必要

問題12 企業がオンプレミスとAWSの間に専用の物理接続が必要で、安定した高帯域幅と低レイテンシを要求している。最適なサービスはどれか？

A. AWS Site-to-Site VPN
B. Amazon CloudFront
C. AWS Direct Connect
D. Amazon VPC Peering

問題13 AWS Organizations のサービスコントロールポリシー（SCP）の説明として正しいものはどれか？

A. SCPはIAMポリシーと同じ機能を持ち、リソースへのアクセス権を直接付与する
B. SCPはメンバーアカウント内のIAMエンティティが使用できるサービス・アクションの最大権限を制限する
C. SCPはrootアカウントのすべての操作を制限できる
D. SCPは管理アカウント自身には適用されない（管理アカウントはSCPの影響を受ける）

問題14 ある小売企業が毎年ブラックフライデーに急増するWebトラフィックに対応したい。普段のトラフィックは低く、年間で数日間だけ100倍のトラフィックが発生する。コスト効率の良い構成はどれか？

A. ピーク時に対応できる大量のEC2インスタンスを年間リザーブドインスタンスで購入する
B. EC2 Auto Scaling グループと ELB を組み合わせ、需要に応じて自動でスケールする
C. Amazon Lightsailの最大インスタンスサイズを使用する
D. すべての処理をLambdaに移行する

問題15 AWS のどのサービスが、異なる AWS アカウント間でリソースを安全に共有するために使用されるか？

A. Amazon VPC Peering
B. AWS Resource Access Manager（RAM）
C. AWS Organizations
D. AWS IAM Cross-Account Role

問題16 Amazon S3のバージョニング機能について正しい説明はどれか？

A. バージョニングを有効にすると、自動的にオブジェクトが別リージョンに複製される
B. バージョニングを有効にすると、オブジェクトを削除した際に以前のバージョンから復元できる
C. バージョニングはS3の全バケットでデフォルトで有効になっている
D. バージョニングを無効にするとすべての旧バージョンが削除される

問題17 ある企業が Amazon Aurora を検討している。Aurora の特徴として正しいものはどれか？

A. Aurora は NoSQL データベースである
B. Aurora のストレージは単一のAZにのみ保存される
C. Aurora は MySQL および PostgreSQL 互換の高性能リレーショナルDBである
D. Aurora はオンデマンドインスタンスのみをサポートし、リザーブドインスタンスは利用不可

問題18 AWS Lambda の特徴として正しいものはどれか？（2つ選択）

A. サーバーのプロビジョニングや管理が不要
B. 実行時間に制限はなく、何日間でも実行できる
C. リクエスト数と実行時間に基づいて課金される
D. 常に1インスタンス以上が稼働しており、レイテンシーゼロで呼び出せる
E. S3・DynamoDB・API Gatewayなど多くのAWSサービスをトリガーとして使用できる

問題19 複数のマイクロサービスが連携するシステムで、あるサービスが処理できない場合でもメッセージを失わないようにしたい。最適なサービスはどれか？

A. Amazon SNS
B. Amazon SQS
C. AWS Step Functions
D. Amazon EventBridge

問題20 AWS のコストを削減するための取り組みとして、Best Practiceに反するものはどれか？

A. 開発・テスト環境のEC2インスタンスを使用しない夜間・週末に自動停止する
B. S3の古いオブジェクトをライフサイクルポリシーでGlacierに自動移行する
C. 本番DBをマルチAZから単一AZに変更してコストを削減する
D. 使用していないEBSボリュームとElastic IPを削除する

問題21 AWSアカウントを作成した直後に行うべきセキュリティのベストプラクティスはどれか？（2つ選択）

A. rootアカウントでAWS CLIアクセスキーを作成する
B. rootアカウントにMFA（多要素認証）を設定する
C. 管理者権限を持つIAMユーザーを作成し、日常業務はそのユーザーで行う
D. S3バケットをすべてパブリックアクセスに設定する
E. Elastic IPアドレスをすべてのEC2インスタンスに割り当てる

問題22 Amazon CloudFront の「オリジン（Origin）」として設定できるものはどれか？（2つ選択）

A. Amazon S3 バケット
B. Amazon DynamoDB テーブル
C. Application Load Balancer (ALB)
D. Amazon Kinesis Data Stream
E. AWS Lambda 関数（直接）

問題23 AWS Shared Responsibility Model（責任共有モデル）において、AWSが責任を持つ項目はどれか？

A. S3バケットのアクセス設定
B. EC2インスタンスのゲストOSへのパッチ適用
C. AWSグローバルネットワークインフラの保護
D. IAMユーザーのパスワードポリシー設定

問題24 複数のAWSアカウントを持つ企業が、S3使用量のボリューム割引を最大化し、全アカウントの請求を一元管理したい。どのAWSサービスを使用すべきか？

A. AWS Cost Explorer
B. AWS Organizations（Consolidated Billing）
C. AWS Budgets
D. AWS Pricing Calculator

問題25 ある企業がAWS上でホストしているWebアプリに対してDDoS攻撃が発生した。AWSが自動的に対処するDDoS防御サービスはどれか？

A. Amazon GuardDuty
B. AWS WAF
C. AWS Shield Standard
D. Amazon Inspector

問題26 次のうち、「Always Free」（常時無料） の AWS Free Tier に該当するものはどれか？

A. EC2 t2.micro インスタンスを月750時間
B. Amazon S3 5GBのストレージ
C. AWS Lambda 月100万リクエストおよび400,000 GB・秒のコンピューティング
D. Amazon RDS 750時間/月の db.t2.micro インスタンス

問題27 AWS Well-Architectedフレームワークの「運用上の優秀性」の柱に含まれる原則はどれか？

A. 最小権限の原則に基づきIAMポリシーを設定する
B. 運用をコードとして定義し、インフラの変更を自動化する
C. 需要の変化に対応してリソースを弾力的にスケールする
D. リザーブドインスタンスを使用して長期コストを削減する

問題28 Amazon Elastic File System（EFS）とAmazon Elastic Block Store（EBS）の違いを正しく説明しているものはどれか？

A. EBSは複数のEC2インスタンスから同時にマウントできるが、EFSは1つのインスタンスのみ
B. EFSは自動的にスケールし複数のEC2インスタンスから同時にアクセスできる共有ファイルシステムで、EBSは1インスタンスにアタッチするブロックストレージ
C. EFSはWindowsのみ対応で、EBSはLinuxのみ対応
D. EBSはオブジェクトストレージで、EFSはブロックストレージ

問題29 ある開発者がLambda関数からAmazon S3に書き込む必要がある。最もセキュリティのベストプラクティスに沿ったアクセス制御方法はどれか？

A. Lambda関数コード内にアクセスキーをハードコードする
B. Lambda関数にIAMロールを割り当て、S3への書き込み権限を付与する
C. Lambda関数の環境変数にアクセスキーとシークレットキーを設定する
D. S3バケットをパブリックに設定してアクセス制御を不要にする

問題30 AWS のどのサービスを使用すると、インフラストラクチャをJSONまたはYAMLテンプレートとして定義し、同じ環境を繰り返し作成・削除できるか？

A. AWS Systems Manager
B. Amazon EC2 Image Builder
C. AWS CloudFormation
D. AWS OpsWorks

付録: 出題頻度が高い AWSサービス一覧

確実に覚えるべき基本サービス（★★★）

出題されることがある中級サービス（★★）

CLF-C02 学習ガイド 完了

最終更新: 2026年4月
対応試験: AWS Certified Cloud Practitioner（CLF-C02）
推奨学習時間: 40〜60時間（未経験者）/ 20〜30時間（IT経験者）
合格ライン: 700 / 1000点