AWS認定ソリューションアーキテクトアソシエイト　⑤ アイデンティティとセキュリティ

利用者とロール、ポリシーによる権限設計、多要素認証、鍵の管理、通信中および保管中のデータの暗号化までを扱います。長期的なアクセスキーを配るのではなくロールを引き受けさせる、権限は最小限から始めて必要な分だけ足す、という原則が繰り返し問われる分野です。責任共有モデルにおいてどこまでが利用者側の責任なのかを線引きできるかも頻出で、暗記よりも「設計としてどちらが正しいか」を選ぶ視点が要求されます。

この分野の問題85問を、選択肢・正解・解説つきで掲載しています。まず自分で解答を考えてから「正解と解説を見る」を開いて答え合わせをしてください。

クイズモードで挑戦 →

第379問AWSへサインアップする際に作成される、すべてのサービスを利用可能なアカウントはどれか。

AAWSアカウント
BIAMユーザー
CIAMグループ
DIAMロール

正解と解説を見る

正解：A．AWSアカウント

AWSアカウントはサインアップ時に作成され、すべてのサービスを利用可能なルートユーザーとも呼ばれます。

AWS認定ソリューションアーキテクト アソシエイト ⑤ アイデンティティとセキュリティ

第379問AWSへサインアップする際に作成される、すべてのサービスを利用可能なアカウントはどれか。

第380問IAMユーザーの初期状態に関する記述として正しいものはどれか。

第381問EC2インスタンスの起動と停止のみを許可し、終了は許可しない設計にしたい。どの機能を使用すべきか。

第382問ルートユーザーのセキュリティ対策として誤っているものはどれか。

第383問ネットワークに関する権限のみを持つ管理用アカウントを作成したい。最適な方法はどれか。

第384問複数のAWSアカウントをグループ化し、アカウント群の管理を一元的に行うサービスはどれか。

第385問AWS Organizationsの階層構造において、論理グループを作るための単位はどれか。

第386問複数アカウントで段階的な課金テーブルを持つS3を利用している。コストを削減するための最適な方法はどれか。

第387問サービスコントロールポリシー（SCP）で制限された機能は、対象アカウントのルートユーザーであれば実行可能か。

第388問組織内の特定のOUに所属したタイミングで、セキュリティ設定を自動的に適用したい。どの機能の連携が最適か。

第389問IAMがアクセス制御を行うための3つの大きなルールはどれか。

第390問特定のユーザーに一時的に個別の権限を付与する場合、どのポリシーを利用するのが適切か。

第391問IAMの管理ポリシーに関する記述のうち、誤っているものはどれか。

第392問IAMユーザーがCLIやAPIからAWSのリソースにアクセスする際に使用する認証情報はどれか。

第393問IAMグループに関する記述として正しいものはどれか。

第394問EC2インスタンス上で稼働するアプリケーションに、S3へのアクセス権限を安全に付与したい。最適な設計はどれか。

第395問社内のActive Directoryサーバーに登録されているアカウントを使用してAWSリソースにアクセスしたい。どの機能を利用すべきか。

第396問IAMアイデンティティセンターの主な目的はどれか。

第397問IAMアイデンティティセンターで選択できるIDソースに含まれないものはどれか。

第398問IAMアイデンティティセンターにおいて、IAMロールの雛形となる仕組みを何と呼ぶか。

第399問フル機能のMicrosoft Active Directoryを提供するマネージドサービスはどれか。

第400問既存のオンプレミスADをAWSクラウドに連携させたいが、信頼関係は結ばずに手軽に使いたい。どのサービスが候補となるか。

第401問AWSの責任共有モデルにおいて、AWS側が責任を持つ範囲はどれか。

第402問AWSの責任共有モデルにおいて、利用者側が責任を持つ範囲はどれか。

第403問情報セキュリティの3要素のうち、可用性の説明として正しいものはどれか。

第404問CloudHSMとKMSの違いについて、正しい記述はどれか。

第405問秒間100を超える暗号化リクエストがあり、公開鍵暗号化を使用する必要がある。どちらのサービスを選択すべきか。

第406問KMSにおいて、データキーを保護するためにKMSキーで暗号化する手法を何と呼ぶか。

第407問KMSでデータの復号を行うためのAPIはどれか。

第408問データの暗号化に関して、KMSのデータキーの扱いとして適切な運用はどれか。

第409問経路の安全性が保障されない環境で、データを安全にS3に送信したい。どの暗号化方式が適切か。

第410問社内ポリシーにより、AWS上のストレージはすべて暗号化が義務付けられている。KMSを用いて暗号化できないデータ保存領域はどれか。

第411問AWS Certificate Manager（ACM）が発行する証明書の有効期限はどれか。

第412問ACMが提供する証明書の認証レベルはどれか。

第413問ACMを利用する際のコストに関する記述として正しいものはどれか。

第414問ACMの証明書を直接設定することがサポートされていないサービスはどれか。

第415問CloudTrailやVPCフローログ、DNSログを分析し、脅威検出と継続的なモニタリングを行うサービスはどれか。

第416問複数のAWSアカウントのセキュリティリスクとコンプライアンス状況を一括してモニタリングするサービスはどれか。

第417問Amazon Macieの主な役割はどれか。

第418問S3バケット内に個人情報などの機密データが誤って保存されていないか自動的に検知したい。最適なサービスはどれか。

第419問Amazon Inspectorの主な機能はどれか。

第420問組織内のEC2インスタンスが増加したため、手作業での脆弱性診断が困難になった。継続的に脆弱性を診断する最適なサービスはどれか。

第421問データベースの認証情報やAPIキーを安全に保存し、定期的なローテーションも自動で行いたい。最適なサービスはどれか。

第422問AWS Systems Manager Parameter StoreとAWS Secrets Managerの違いについて正しい記述はどれか。

第423問AWS上で提供される、DDoS攻撃からシステムを保護するフルマネージドサービスはどれか。

第424問AWS Shield Standardに関する記述として正しいものはどれか。

第425問より広範なDDoS対策と、攻撃の費用緩和、DDoS対策専門家によるサポートが必要な場合、どのサービスを利用すべきか。

第426問Webアプリケーションに対するクロスサイトスクリプティングやSQLインジェクションを防ぐためのサービスはどれか。

第427問AWS WAFにおいて、適用する防御のルールやアクセスルールを何と呼ぶか。

第428問AWS WAFが統合して利用できるサービスとして誤っているものはどれか。

第429問公開しているWebサーバーが、国外の特定の国からアプリケーションレイヤーへの攻撃を受けている。最適な防御方法はどれか。

第430問複数のAWSアカウントにまたがるWAFやShield、セキュリティグループのルールを一元管理し、自動適用したい。最適なサービスはどれか。

第431問GuardDutyが脅威検出のために分析するデータソースに含まれないものはどれか。

第432問AWS Organizationsで請求をまとめた場合のメリットとして最も適切なものはどれか。

第433問AWS CloudFormation StackSetsを利用する前提となるサービスはどれか。

第434問カスタマー管理ポリシーが持つ、インラインポリシーにはない特徴はどれか。

第435問Webコンソールにログインする際のセキュリティを高めるために、パスワードと組み合わせて設定が強く推奨されるものはどれか。

第436問1人のIAMユーザーが所属できるIAMグループの数に関する記述として正しいものはどれか。

第437問FacebookやGoogleのアカウントを使用してAWSリソースにアクセスする仕組みを何と呼ぶか。

第438問EC2インスタンス上のアプリケーションからSESを使ってメール送信する際、最もセキュアな権限付与の方法はどれか。

第439問IAMアイデンティティセンターの導入によって不要になる管理作業はどれか。

第440問AWS Directory Serviceの機能のうち、小規模な環境や簡単なディレクトリニーズに適したスタンドアロンのサービスはどれか。

第441問AWS Managed Microsoft ADの特徴として正しいものはどれか。

第442問AWS Directory Serviceにおいて、ハイスケールで高性能なディレクトリデータを保存しクエリできるサービスはどれか。

第443問責任共有モデルにおいて、利用者が設定と管理の責任を負うものはどれか。

第444問AWSのセキュリティサービス群の中心となる、暗号化鍵の管理サービスはどれか。

第445問CloudHSMがサポートしている暗号化方式はどれか。

第446問KMSがサポートしている暗号化方式はどれか。

第447問KMSのAPIのうち、暗号化と復号に利用するためのデータキーを生成するものはどれか。

第448問KMSを利用する際の料金体系について正しいものはどれか。

第449問ACMの初期設定時に行われるドメイン所有の確認方法として利用されるものはどれか。

第450問Network Load BalancerでACMの証明書を使用する場合に必要なリスナーの設定はどれか。

第451問AWS環境でのセキュリティとコンプライアンス評価を目的とし、サードパーティ製製品とも連携できるサービスはどれか。

第452問Amazon Inspectorの診断結果を通知するために連携できるサービスはどれか。

第453問AWS Shieldの保護対象となるリソースに含まれないものはどれか。

第454問AWS Shield Standardが対象とする攻撃の例として正しいものはどれか。

第455問既存のEC2とALBの構成に最小限のコストでSSL/TLS対応を行いたい。最適な方法はどれか。

第456問AWS IAMのインラインポリシーについて正しい記述はどれか。

第457問AWS上のシステムに不正ネットワークアクセスが発生した際、ネットワーク層の防御を担う機能として該当しないものはどれか。

AWS認定ソリューションアーキテクトアソシエイト　⑤ アイデンティティとセキュリティ