【CLF-C02 試験対策問題 第20問】責任共有モデル（EC2 と S3、AWS の責任）

「責任共有モデルの問題は、AWS の責任と利用者の責任のどちらを聞かれているのか、読み違えてしまいます」
「S3 のように AWS が多くを管理するサービスなら、データの分類やバケットの公開設定も AWS が見てくれるのでは、と迷います」

AWS Certified Cloud Practitioner（試験コード CLF-C02。以下 CLF）では、EC2 と S3 を使う場面で、AWS が責任を負う項目（クラウド「の」セキュリティ）を見分ける問題がよく出ます。物理的な機器とネットワークは AWS、データと権限の設定は利用者、という境目が決め手です。

この記事は、CLF の練習問題を1問ずつ解説する連載の第20問です。問題は筆者が試験の範囲に合わせて作ったもので、実際の試験の問題ではありません。まず自分で答えを選んでから、解説を読んでください。

▶ この回の内容は、YouTube の動画（約5分）でも見られます（記事の最後にも埋め込んであります）。

---

問題

ある企業は、Amazon EC2 インスタンスでウェブアプリケーションを動かし、利用者がアップロードした画像を Amazon S3 に保存しています。AWS 責任共有モデルにおいて、AWS が責任を負う項目はどれですか。（2つ選択）

• A. EC2 インスタンスが動く物理サーバーの、故障した部品の交換
• B. S3 に保存する画像のうち、個人情報を含むものの分類
• C. EC2 インスタンスで動くウェブサーバーのソフトウェアの更新
• D. アベイラビリティーゾーンの間を結ぶネットワーク機器の運用
• E. S3 バケットへのパブリックアクセスをブロックする設定

答えを2つ決めたら、下を開いてください。

正解を見る（クリックで開きます）

正解：A と D

物理サーバーの部品の交換と、アベイラビリティーゾーンを結ぶネットワーク機器の運用は、どちらもサービスを動かすインフラ（クラウド「の」セキュリティ）で、AWS の責任です。データの分類・ソフトウェアの更新・公開の設定は、利用者の責任です。

---

正解は A と D

正解は A と D です。

• A：物理サーバーは、AWS のサービスを動かすインフラ
• D：アベイラビリティーゾーンを結ぶネットワークも、AWS のサービスを動かすインフラ

インフラを守るのは、AWS の責任です。ほかの3つは、データの分類、ソフトウェアの更新、アクセス権限の設定で、利用者の責任です。ここから、選択肢を1つずつ見ていきます。

---

選択肢ごとの解説

A：物理サーバーの保守は AWS（正解）

図の左は、EC2 と S3 の責任の分かれ目を、層に分けた図です。青が利用者、橙が AWS の責任です。

EC2 インスタンスが動く物理サーバーは、AWS のデータセンターにあるハードウェアです。故障した部品の交換などの保守は、AWS が行います。ハードウェアは、クラウド「の」セキュリティで、AWS の責任です。利用者は、物理サーバーに触れることができません。

B：データの分類は利用者（誤り）

S3 に保存する画像のうち、どれが個人情報を含むかは、利用者にしか分かりません。保存するデータの分類は、利用者の責任です。S3 のように、AWS が多くを管理するサービスでも、データの管理は利用者が行います。

C：EC2 のソフトの更新は利用者（誤り）

EC2 では、ゲスト OS と、利用者が入れたアプリケーションは、利用者が管理します。ウェブサーバーのソフトウェアの更新や、パッチの適用も、利用者が行います。

一方、図の S3 の列では、OS やプラットフォームも AWS が管理します。責任の分かれ目は、サービスによって変わります。

D：AZ を結ぶネットワークは AWS（正解）

図の右のように、リージョンの中には、複数のアベイラビリティーゾーンがあり、ネットワークで結ばれています。このネットワークは、AWS のサービスを動かすインフラの一部です。

ネットワーク機器の運用は、AWS が行います。利用者が機器に触れることはありません。

E：公開の設定は利用者（誤り）

S3 バケットを公開するかどうかは、利用者が決めることです。パブリックアクセスをブロックする機能は AWS が用意しますが、設定するのは利用者です。これは、アクセス権限の設定で、利用者の責任です。

---

AWS と利用者の責任

AWS の責任は、クラウド「の」セキュリティです。サービスを動かすインフラ、つまり、ハードウェア・ソフトウェア・ネットワーキング・施設を守ります。ここでのソフトウェアは、AWS のサービスを動かすソフトウェアのことです。

利用者の責任は、クラウド「における」セキュリティです。データ、アクセス権限、そして EC2 では、ゲスト OS とアプリケーションです。

責任	範囲	この問題の例
AWS の責任 クラウド「の」セキュリティ	サービスを動かすインフラ（ハードウェア・ソフトウェア・ネットワーキング・施設）	物理サーバーの部品の交換／AZ の間のネットワーク機器
利用者の責任 クラウド「における」セキュリティ	データ・アクセス権限／ゲスト OS とアプリ（EC2）	画像の分類／パブリックアクセスのブロック／ウェブサーバーのソフトの更新

---

ポイント

• 物理サーバー・AZ を結ぶネットワーク・施設は クラウド「の」セキュリティ＝AWS
• データの分類・バケットの公開設定は どのサービスでも利用者
• EC2 の ゲスト OS とアプリは利用者。S3 は OS・プラットフォームも AWS

責任共有モデルの境目と、AZ とリージョンの関係は、講座の記事で詳しく解説しています。

• 講座の第10回②「責任の分かれ方」（連載の入口のページから）
• 【AWS クラウドプラクティショナー試験対策講座 第03回②】グローバルインフラ

講座の全14回は、連載の入口のページから順に読めます。

---

動画で見る

この回の内容を、YouTube の動画（約5分）でも解説しています。

連載の全回は、YouTube の再生リスト「CLF-C02 試験対策問題」にまとめています。

連載「CLF-C02 試験対策問題」

全回の目次と、読む順番・目的別の読み方は、CLF-C02 試験対策問題の入口のページにまとめています。

1. 第1問 初期費用をかけずに始めるコストの利点（従量課金・規模の経済）
2. 第2問 数分でグローバルに展開（世界同時公開と低い遅延）
3. 第3問 高可用性（EC2 の複数 AZ 配置と RDS マルチ AZ）
4. 第4問 クラウドの俊敏性（数分で作成・すぐに削除）
5. 第5問 責任共有モデル（EC2 へのリホストで AWS に任せられること）
6. 第6問 数時間だけのアクセスのピークに備える（EC2 Auto Scaling・オンデマンド）
7. 第7問 Well-Architected の6つの柱（信頼性・パフォーマンス効率）
8. 第8問 信頼性の柱の設計原則（自動で復旧・水平方向のスケール）
9. 第9問 持続可能性の柱の設計原則（使用率の最大化・マネージドサービス）
10. 第10問 AWS CAF の変革ジャーニーのフェーズ（構想・連携・ローンチ・スケール）
11. 第11問 AWS CAF のパースペクティブ（構成管理・パッチ管理はオペレーション）
12. 第12問 移行のビジネスケース（Migration Evaluator）
13. 第13問 AWS CAF のパースペクティブ（役割と組織の変化は人材）
14. 第14問 サーバーをそのまま EC2 に移す（AWS Transform MGN）
15. 第15問 ファイルの移行（AWS DataSync）
16. 第16問 移行戦略の7つの R（リパーチェス・SaaS への乗り換え）
17. 第17問 適切なサイズ設定（CPU は余り、メモリが不足）
18. 第18問 責任共有モデル（Lambda と RDS）
19. 第19問 最小権限の原則（IAM のポリシーと SCP）
20. 第20問 責任共有モデル（EC2 と S3、AWS の責任）（この記事）
21. 第21問 共有統制の例（責任共有モデルの IT 統制）
22. 第22問 コンプライアンスの資料と契約（AWS Artifact）
23. 第23問 脅威の検出（Amazon GuardDuty）
24. 第24問 脆弱性の継続的なスキャン（Amazon Inspector）
25. 第25問 S3 の機密データの検出（Amazon Macie）
26. 第26問 S3 の保管時の暗号化とキーの管理
27. 第27問 だれが操作したかを調べる（AWS CloudTrail）
28. 第28問 IAM ユーザーの認証情報の一覧（認証情報レポート）
29. 第29問 EC2 のアプリケーションに権限を与える（IAM ロール）
30. 第30問 データベースのパスワードの自動ローテーション（AWS Secrets Manager）
31. 第31問 社員に一時的な認証情報を発行するサービス（AWS STS）
32. 第32問 ルートユーザーでなければできない作業（アカウントの閉鎖・メールアドレスの変更）
33. 第33問 アプリの会員のサインインとソーシャルログイン（Amazon Cognito）
34. 第34問 同じ IP からの大量のリクエストを止める（AWS WAF のレートベースのルール）
35. 第35問 追加料金なしの DDoS 保護（AWS Shield Standard）
36. 第36問 他社のソフトウェアを AMI で使う（AWS Marketplace）
37. 第37問 インストールなしでブラウザから AWS CLI を使う（AWS CloudShell）
38. 第38問 同じ構成の環境をコードで何度でも作る（CloudFormation・CDK）
39. 第39問 工場の中で AWS のサービスを動かすには（AWS Outposts）
40. 第40問 世界の利用者の近くでキャッシュして配信（Amazon CloudFront）
41. 第41問 コードを上げるだけで Web アプリを動かすサービス（AWS Elastic Beanstalk）
42. 第42問 サーバーを管理せずにコンテナを動かす（AWS Fargate）
43. 第43問 URL のパスで振り分けるロードバランサー（Application Load Balancer）
44. 第44問 つながりを何段もたどるグラフデータベース（Amazon Neptune）
45. 第45問 RDS の自動フェイルオーバーと読み取りの分離（マルチ AZ・リードレプリカ）
46. 第46問 サーバーの管理なしにアクセスの増減に合わせるデータベース（Amazon DynamoDB）
47. 第47問 セキュリティグループの特徴（ステートフル・インスタンス単位）
48. 第48問 障害のときだけ別のリージョンへ DNS で切り替え（Route 53 のフェイルオーバールーティング）
49. 第49問 今あるインターネット回線で、すぐに暗号化してつなぐ（AWS Site-to-Site VPN）
50. 第50問 一部の管理者だけは解除できる削除の保護（S3 オブジェクトロックのガバナンスモード）
51. 第51問 めったに見ないがミリ秒で開く画像の保管（S3 Glacier Instant Retrieval）
52. 第52問 Windows のファイルサーバーを移す（Amazon FSx for Windows File Server）
53. 第53問 案内文を翻訳して音声で読み上げる（Amazon Translate と Amazon Polly）
54. 第54問 S3 のデータをカタログにして SQL で照会（AWS Glue と Amazon Athena）
55. 第55問 依頼をためて、受け付けた順に1回だけ処理（Amazon SQS の FIFO キュー）
56. 第56問 設備を買わずに電話とチャットの窓口を作る（Amazon Connect）
57. 第57問 EC2 と自社のサーバーに少しずつ配置し、失敗したら戻す（AWS CodeDeploy）
58. 第58問 アプリだけをブラウザに配信（WorkSpaces Applications・旧 AppStream 2.0）
59. 第59問 コア単位のライセンスを持ち込み、同じ物理サーバーで動かす（EC2 の専有ホスト）
60. 第60問 EC2・Fargate・Lambda と夜間のバッチのコスト削減（Compute Savings Plans・スポット）
61. 第61問 管理者も外せないリージョンの制限と、請求書の一本化（AWS Organizations の SCP）
62. 第62問 1つのアカウントの料金をプロジェクトごとに分ける（コスト配分タグ）
63. 第63問 料金のグラフと予算超えの通知（Cost Explorer・Budgets）
64. 第64問 アカウントを作る前に料金を見積もる（AWS Pricing Calculator）
65. 第65問 ベストプラクティスに合わない所を自動で見つける（AWS Trusted Advisor）
66. 第66問 AWS 側の保守の予定を前もって知る（AWS Health Dashboard）
67. 第67問 アクセスに合わせて台数を自動で増減する（Amazon EC2 Auto Scaling）
68. 第68問 パフォーマンス効率の柱の設計原則（高度なテクノロジー・グローバル展開）
69. 第69問 移行戦略の7つの R（リタイア・使われていないアプリを停止）
70. 第70問 AWS CAF のパースペクティブ（支出とデータの統制はガバナンス）
71. 第71問 ライセンスを持たずに SQL Server を使う（RDS のライセンス込み）
72. 第72問 EC2 と自社のサーバーのパッチを自動で当てる（AWS Systems Manager Patch Manager）
73. 第73問 障害の教訓を共有し、運用の手順を見直す（運用上の優秀性の設計原則）
74. 第74問 設定の履歴を記録し、社内ルールに合わないリソースを「非準拠」にする（AWS Config）
75. 第75問 S3 へのアップロードごとに短い処理をサーバーレスで動かす（AWS Lambda）
76. 第76問 12のアカウントと SaaS に1回でサインイン（AWS IAM Identity Center）
77. 第77問 インターネットを通らずに、帯域とレイテンシーを安定させる（AWS Direct Connect）
78. 第78問 途中でファミリーを変え、前払いできない RI の選び方（コンバーティブル・前払いなし）
79. 第79問 セキュリティの検出結果を集めて設定もチェック（AWS Security Hub CSPM）
80. 第80問 AWS CAF のパースペクティブ（イノベーションとデータの収益化はビジネス）
81. 第81問 特定の IP アドレスの範囲を、サブネットの入り口で拒否する（ネットワーク ACL）
82. 第82問 組織の外と共有・一般に公開されているリソースを一覧にする（IAM Access Analyzer）
83. 第83問 複数の AZ の EC2 から NFS で同じファイルを共有する（Amazon EFS）
84. 第84問 ルートユーザーの守り方と日常の作業（MFA・IAM Identity Center）
85. 第85問 一括請求の料金の利点（ボリューム料金の階層・リザーブドインスタンスの割引の共有）
86. 第86問 数ペタバイトの販売データをまとめて毎日集計する（Amazon Redshift）
87. 第87問 OS のパッチを自社で当てなくてよい移行先（Amazon RDS・AWS Lambda）
88. 第88問 移行戦略の7つの R（リプラットフォーム・VM をコンテナにして ECS と Fargate へ）
89. 第89問 GPU の学習と CPU のバッチ処理に合うインスタンスファミリー（高速コンピューティング・コンピューティング最適化）
90. 第90問 アプリのエラーの件数と CPU 使用率をしきい値で見張り、E メールで知らせる（Amazon CloudWatch）
91. 第91問 1回の発行で SQS・Lambda・E メールに届ける（Amazon SNS のトピック）
92. 第92問 部署の人の権限を追加料金なしでまとめて管理（IAM ユーザーグループ）
93. 第93問 最も詳しいコストのデータを S3 へ（AWS Data Exports の CUR 2.0）
94. 第94問 視聴履歴とクリックから利用者ごとの動画のおすすめ（Amazon Personalize）
95. 第95問 攻撃中の専門チームの支援と DDoS のコスト保護（AWS Shield Advanced）
96. 第96問 AWS CAF のトランスフォーメーションの分野（業務のデジタル化はプロセス）
97. 第97問 パブリックとプライベートのサブネットに必要な部品（インターネットゲートウェイ・NAT ゲートウェイ）
98. 第98問 SSH・コンソール・CLI の認証情報の使い分け（キーペアとアクセスキー）
99. 第99問 よくある質問の解決の記事を読む（AWS re:Post のナレッジセンター）
100. 第100問 設定値を階層でまとめて追加料金なしで保管（Parameter Store）