AWS Certified Cloud Practitioner（試験コード CLF-C02。以下 CLF）では、EC2 のアプリケーションに、アクセスキーを置かずに権限を与える方法を選ぶ問題が出ます。通信の許可と操作の権限の違い、ルートユーザーや IAM ユーザーのアクセスキーがなぜ避けられるかが、選択肢の誤りの論点になります。

この記事は、CLF の練習問題を1問ずつ解説する連載の第29問です。問題は筆者が試験の範囲に合わせて作ったもので、実際の試験の問題ではありません。まず自分で答えを選んでから、解説を読んでください。

▶ この回の内容は、YouTube の動画（約5分）でも見られます（記事の最後にも埋め込んであります）。

問題

ある企業は、Amazon EC2 インスタンスで動くアプリケーションから、Amazon DynamoDB のテーブルにデータを書き込みます。長期間使えるアクセスキーをインスタンスに置かずに、必要な権限だけを与えたいと考えています。最も適切な方法はどれですか。

• A. セキュリティグループのアウトバウンドルールで、DynamoDB への通信を許可する
• B. AWS アカウントのルートユーザーのアクセスキーを、インスタンスの環境変数に設定する
• C. DynamoDB のテーブルへの書き込みだけを許可した IAM ロールを作り、インスタンスにアタッチする
• D. IAM ユーザーを作ってアクセスキーを発行し、アプリケーションの設定ファイルに書く

答えを決めたら、下を開いてください。

正解は C

正解は C です。

書き込みだけを許可した IAM ロールを、インスタンスにアタッチします。アプリケーションは、一時的な認証情報を自動で受け取るので、アクセスキーを置かずに済みます。ここから、選択肢を1つずつ見ていきます。

選択肢ごとの解説

A：通信の許可は権限ではない（誤り）

セキュリティグループは、通信を通すかどうかを決める、ネットワークの門です。DynamoDB にデータを書き込むには、通信が通ることに加えて、IAM の権限が要ります。

図のように、アウトバウンドルールで通信を許可しても、IAM の権限が無ければ、書き込みは拒否されます。通信の許可と、操作の権限は、別のものです。

B：ルートユーザーのキーは使わない（誤り）

ルートユーザーは、AWS アカウントのすべてを操作できる、特別なユーザーです。図のように、そのアクセスキーを使うと、アプリケーションはテーブルの削除や、アカウントの閉鎖まで、何でもできてしまいます。必要な権限だけ、という要件に反します。

ルートユーザーのアクセスキーは、作らないのが原則です。長期間使えるキーなので、漏れるとアカウントのすべてが危険になります。

C：IAM ロールをアタッチする（正解）

書き込みだけを許可した IAM ロールを、インスタンスにアタッチします。インスタンスプロファイルという仕組みです。

アプリケーションは、インスタンスメタデータから、一時的な認証情報を受け取ります。AWS SDK や CLI は、これを自動で使います。一時的な認証情報は、AWS が自動でローテーションします。ロールのポリシーを変えると、新しい権限の認証情報が自動で渡されます。

アクセスキーを置かずに済み、必要な権限だけにもなります。

D：長期のアクセスキーは置かない（誤り）

IAM ユーザーのアクセスキーは、長期間使える認証情報です。削除や無効化をするまで使い続けられます。

設定ファイルに書くと、図のように、コードの公開やバックアップから漏れたとき、第三者に悪用されるおそれがあります。そもそも、長期間使えるアクセスキーを置かない、という要件に反します。EC2 のアプリケーションには、IAM ロールを使います。

長期の認証情報と一時的な認証情報

長期の認証情報と一時的な認証情報の違いを、表で整理します。大きな違いは、置く必要があるかどうかと、ローテーションをだれが行うかです。

ポイント

• EC2 のアプリケーションに権限を与える ＝ IAM ロール をアタッチ
• 一時的な認証情報が 自動で渡され、自動でローテーション
• アクセスキーを 設定ファイル・環境変数に置かない
• セキュリティグループは 通信の許可。操作の権限は IAM

IAM ロールの仕組みと、ルートユーザーのアクセスキーを作らない理由は、講座の記事で詳しく解説しています。

• 講座の第10回⑤「IAM と最小権限」の「IAM ロール」の節（連載の入口のページから）
• 講座の第10回④「AWS アカウントとルートユーザー」の「ルートユーザーの守り方」の節（連載の入口のページから）

講座の全14回は、連載の入口のページから順に読めます。

動画で見る

この回の内容を、YouTube の動画（約5分）でも解説しています。

連載の全回は、YouTube の再生リスト「CLF-C02 試験対策問題」にまとめています。

連載「CLF-C02 試験対策問題」

全回の目次と、読む順番・目的別の読み方は、CLF-C02 試験対策問題の入口のページにまとめています。

1. 第1問 初期費用をかけずに始めるコストの利点（従量課金・規模の経済）
2. 第2問 数分でグローバルに展開（世界同時公開と低い遅延）
3. 第3問 高可用性（EC2 の複数 AZ 配置と RDS マルチ AZ）
4. 第4問 クラウドの俊敏性（数分で作成・すぐに削除）
5. 第5問 責任共有モデル（EC2 へのリホストで AWS に任せられること）
6. 第6問 数時間だけのアクセスのピークに備える（EC2 Auto Scaling・オンデマンド）
7. 第7問 Well-Architected の6つの柱（信頼性・パフォーマンス効率）
8. 第8問 信頼性の柱の設計原則（自動で復旧・水平方向のスケール）
9. 第9問 持続可能性の柱の設計原則（使用率の最大化・マネージドサービス）
10. 第10問 AWS CAF の変革ジャーニーのフェーズ（構想・連携・ローンチ・スケール）
11. 第11問 AWS CAF のパースペクティブ（構成管理・パッチ管理はオペレーション）
12. 第12問 移行のビジネスケース（Migration Evaluator）
13. 第13問 AWS CAF のパースペクティブ（役割と組織の変化は人材）
14. 第14問 サーバーをそのまま EC2 に移す（AWS Transform MGN）
15. 第15問 ファイルの移行（AWS DataSync）
16. 第16問 移行戦略の7つの R（リパーチェス・SaaS への乗り換え）
17. 第17問 適切なサイズ設定（CPU は余り、メモリが不足）
18. 第18問 責任共有モデル（Lambda と RDS）
19. 第19問 最小権限の原則（IAM のポリシーと SCP）
20. 第20問 責任共有モデル（EC2 と S3、AWS の責任）
21. 第21問 共有統制の例（責任共有モデルの IT 統制）
22. 第22問 コンプライアンスの資料と契約（AWS Artifact）
23. 第23問 脅威の検出（Amazon GuardDuty）
24. 第24問 脆弱性の継続的なスキャン（Amazon Inspector）
25. 第25問 S3 の機密データの検出（Amazon Macie）
26. 第26問 S3 の保管時の暗号化とキーの管理
27. 第27問 だれが操作したかを調べる（AWS CloudTrail）
28. 第28問 IAM ユーザーの認証情報の一覧（認証情報レポート）
29. 第29問 EC2 のアプリケーションに権限を与える（IAM ロール）（この記事）
30. 第30問 データベースのパスワードの自動ローテーション（AWS Secrets Manager）
31. 第31問 社員に一時的な認証情報を発行するサービス（AWS STS）
32. 第32問 ルートユーザーでなければできない作業（アカウントの閉鎖・メールアドレスの変更）
33. 第33問 アプリの会員のサインインとソーシャルログイン（Amazon Cognito）
34. 第34問 同じ IP からの大量のリクエストを止める（AWS WAF のレートベースのルール）
35. 第35問 追加料金なしの DDoS 保護（AWS Shield Standard）
36. 第36問 他社のソフトウェアを AMI で使う（AWS Marketplace）
37. 第37問 インストールなしでブラウザから AWS CLI を使う（AWS CloudShell）
38. 第38問 同じ構成の環境をコードで何度でも作る（CloudFormation・CDK）
39. 第39問 工場の中で AWS のサービスを動かすには（AWS Outposts）
40. 第40問 世界の利用者の近くでキャッシュして配信（Amazon CloudFront）
41. 第41問 コードを上げるだけで Web アプリを動かすサービス（AWS Elastic Beanstalk）
42. 第42問 サーバーを管理せずにコンテナを動かす（AWS Fargate）
43. 第43問 URL のパスで振り分けるロードバランサー（Application Load Balancer）
44. 第44問 つながりを何段もたどるグラフデータベース（Amazon Neptune）
45. 第45問 RDS の自動フェイルオーバーと読み取りの分離（マルチ AZ・リードレプリカ）
46. 第46問 サーバーの管理なしにアクセスの増減に合わせるデータベース（Amazon DynamoDB）
47. 第47問 セキュリティグループの特徴（ステートフル・インスタンス単位）
48. 第48問 障害のときだけ別のリージョンへ DNS で切り替え（Route 53 のフェイルオーバールーティング）
49. 第49問 今あるインターネット回線で、すぐに暗号化してつなぐ（AWS Site-to-Site VPN）
50. 第50問 一部の管理者だけは解除できる削除の保護（S3 オブジェクトロックのガバナンスモード）
51. 第51問 めったに見ないがミリ秒で開く画像の保管（S3 Glacier Instant Retrieval）
52. 第52問 Windows のファイルサーバーを移す（Amazon FSx for Windows File Server）
53. 第53問 案内文を翻訳して音声で読み上げる（Amazon Translate と Amazon Polly）
54. 第54問 S3 のデータをカタログにして SQL で照会（AWS Glue と Amazon Athena）
55. 第55問 依頼をためて、受け付けた順に1回だけ処理（Amazon SQS の FIFO キュー）
56. 第56問 設備を買わずに電話とチャットの窓口を作る（Amazon Connect）
57. 第57問 EC2 と自社のサーバーに少しずつ配置し、失敗したら戻す（AWS CodeDeploy）
58. 第58問 アプリだけをブラウザに配信（WorkSpaces Applications・旧 AppStream 2.0）
59. 第59問 コア単位のライセンスを持ち込み、同じ物理サーバーで動かす（EC2 の専有ホスト）
60. 第60問 EC2・Fargate・Lambda と夜間のバッチのコスト削減（Compute Savings Plans・スポット）
61. 第61問 管理者も外せないリージョンの制限と、請求書の一本化（AWS Organizations の SCP）
62. 第62問 1つのアカウントの料金をプロジェクトごとに分ける（コスト配分タグ）
63. 第63問 料金のグラフと予算超えの通知（Cost Explorer・Budgets）
64. 第64問 アカウントを作る前に料金を見積もる（AWS Pricing Calculator）
65. 第65問 ベストプラクティスに合わない所を自動で見つける（AWS Trusted Advisor）
66. 第66問 AWS 側の保守の予定を前もって知る（AWS Health Dashboard）
67. 第67問 アクセスに合わせて台数を自動で増減する（Amazon EC2 Auto Scaling）
68. 第68問 パフォーマンス効率の柱の設計原則（高度なテクノロジー・グローバル展開）
69. 第69問 移行戦略の7つの R（リタイア・使われていないアプリを停止）
70. 第70問 AWS CAF のパースペクティブ（支出とデータの統制はガバナンス）
71. 第71問 ライセンスを持たずに SQL Server を使う（RDS のライセンス込み）
72. 第72問 EC2 と自社のサーバーのパッチを自動で当てる（AWS Systems Manager Patch Manager）
73. 第73問 障害の教訓を共有し、運用の手順を見直す（運用上の優秀性の設計原則）
74. 第74問 設定の履歴を記録し、社内ルールに合わないリソースを「非準拠」にする（AWS Config）
75. 第75問 S3 へのアップロードごとに短い処理をサーバーレスで動かす（AWS Lambda）
76. 第76問 12のアカウントと SaaS に1回でサインイン（AWS IAM Identity Center）
77. 第77問 インターネットを通らずに、帯域とレイテンシーを安定させる（AWS Direct Connect）
78. 第78問 途中でファミリーを変え、前払いできない RI の選び方（コンバーティブル・前払いなし）
79. 第79問 セキュリティの検出結果を集めて設定もチェック（AWS Security Hub CSPM）
80. 第80問 AWS CAF のパースペクティブ（イノベーションとデータの収益化はビジネス）
81. 第81問 特定の IP アドレスの範囲を、サブネットの入り口で拒否する（ネットワーク ACL）
82. 第82問 組織の外と共有・一般に公開されているリソースを一覧にする（IAM Access Analyzer）
83. 第83問 複数の AZ の EC2 から NFS で同じファイルを共有する（Amazon EFS）
84. 第84問 ルートユーザーの守り方と日常の作業（MFA・IAM Identity Center）
85. 第85問 一括請求の料金の利点（ボリューム料金の階層・リザーブドインスタンスの割引の共有）
86. 第86問 数ペタバイトの販売データをまとめて毎日集計する（Amazon Redshift）
87. 第87問 OS のパッチを自社で当てなくてよい移行先（Amazon RDS・AWS Lambda）
88. 第88問 移行戦略の7つの R（リプラットフォーム・VM をコンテナにして ECS と Fargate へ）
89. 第89問 GPU の学習と CPU のバッチ処理に合うインスタンスファミリー（高速コンピューティング・コンピューティング最適化）
90. 第90問 アプリのエラーの件数と CPU 使用率をしきい値で見張り、E メールで知らせる（Amazon CloudWatch）
91. 第91問 1回の発行で SQS・Lambda・E メールに届ける（Amazon SNS のトピック）
92. 第92問 部署の人の権限を追加料金なしでまとめて管理（IAM ユーザーグループ）
93. 第93問 最も詳しいコストのデータを S3 へ（AWS Data Exports の CUR 2.0）
94. 第94問 視聴履歴とクリックから利用者ごとの動画のおすすめ（Amazon Personalize）
95. 第95問 攻撃中の専門チームの支援と DDoS のコスト保護（AWS Shield Advanced）
96. 第96問 AWS CAF のトランスフォーメーションの分野（業務のデジタル化はプロセス）
97. 第97問 パブリックとプライベートのサブネットに必要な部品（インターネットゲートウェイ・NAT ゲートウェイ）
98. 第98問 SSH・コンソール・CLI の認証情報の使い分け（キーペアとアクセスキー）
99. 第99問 よくある質問の解決の記事を読む（AWS re:Post のナレッジセンター）
100. 第100問 設定値を階層でまとめて追加料金なしで保管（Parameter Store）

AWS Certified Cloud Practitioner（試験コード CLF-C02。以下 CLF）では、IAM の点検に使う道具を、目的で見分ける問題が出ます。今回のように「すべての IAM ユーザーの MFA とアクセスキーの状態を一覧で」という目的から、どの道具が答えかを選びます。

この記事は、CLF の練習問題を1問ずつ解説する連載の第28問です。問題は筆者が試験の範囲に合わせて作ったもので、実際の試験の問題ではありません。まず自分で答えを選んでから、解説を読んでください。

▶ この回の内容は、YouTube の動画（約5分）でも見られます（記事の最後にも埋め込んであります）。

問題

ある企業は、外部の監査人から、AWS アカウントのすべての IAM ユーザーについて、MFA が有効かどうかと、アクセスキーを最後にローテーションした日を、一覧の資料で出すように求められました。最も手間の少ない方法はどれですか。

• A. IAM の最終アクセス情報（アクセスアドバイザー）を、ユーザーごとに確認する
• B. IAM の認証情報レポートを生成し、CSV ファイルをダウンロードする
• C. AWS Artifact から、コンプライアンスのレポートをダウンロードする
• D. AWS CloudTrail のイベント履歴から、ユーザーごとの操作を探す

答えを決めたら、下を開いてください。

正解は B

正解は B の IAM の認証情報レポートです。

認証情報レポートは、アカウントのすべての IAM ユーザーの、パスワード・アクセスキー・MFA の状態を、1つの CSV ファイルの一覧にします。そのまま監査人に渡せるので、最も手間の少ない方法です。ここから、選択肢を1つずつ見ていきます。

選択肢ごとの解説

A：最終アクセス情報は権限の見直し（誤り）

最終アクセス情報は、アクセスアドバイザーとも呼ばれます。図のように、1人のユーザーが、許可されたサービスに最後にアクセスした日時を示します。

長い間アクセスしていないサービスの権限を見つけて削り、最小権限に近づけるために使います。MFA やアクセスキーのローテーションの状態の一覧ではありません。ユーザーごとに見るので、手間もかかります。

B：認証情報レポートは CSV の一覧（正解）

IAM の認証情報レポートは、アカウントのすべての IAM ユーザーと、ルートユーザーの認証情報の状態を、CSV ファイルにまとめたものです。

図のように、MFA が有効か、アクセスキーを最後にローテーションした日、パスワードを最後に使った日などが、列に並びます。MFA が無効のユーザーも、すぐに分かります。レポートは4時間に1回生成でき、そのまま監査人に渡せます。

C：Artifact は AWS 自身のレポート（誤り）

AWS Artifact で入手できるのは、AWS 自身のコンプライアンスのレポートです。SOC や PCI のレポートなどです。

監査やレポートという言葉は合っていますが、中身は AWS の環境についての資料です。利用者のアカウントの中の、IAM ユーザーの状態は分かりません。

D：CloudTrail は操作の記録（誤り）

CloudTrail のイベント履歴は、だれが、いつ、どの操作をしたかの記録です。図のように、操作が時刻の順に並びます。

この中から、ユーザーごとに操作を探すのは、手間がかかります。しかも、操作の記録をたどっても、MFA が今有効かどうかの一覧にはなりません。

IAM の点検の道具

IAM の点検に使う道具を、目的で整理します。目的に合わせて使い分けましょう。

ポイント

• 全 IAM ユーザーの MFA・アクセスキー・パスワード の状態 → 認証情報レポート（CSV）
• 使っていない権限を見つける → 最終アクセス情報
• AWS 自身の監査のレポート → Artifact
• 操作の記録 → CloudTrail

認証情報レポートと最終アクセス情報、最小権限の原則は、講座の記事で詳しく解説しています。

• 講座の第10回⑤「IAM と最小権限」の「最小権限の原則とアクセスレポート」の節（連載の入口のページから）
• 講座の第10回⑨「コンプライアンスと情報源」の「AWS Artifact」の節（連載の入口のページから）

講座の全14回は、連載の入口のページから順に読めます。

動画で見る

この回の内容を、YouTube の動画（約5分）でも解説しています。

連載の全回は、YouTube の再生リスト「CLF-C02 試験対策問題」にまとめています。

連載「CLF-C02 試験対策問題」

全回の目次と、読む順番・目的別の読み方は、CLF-C02 試験対策問題の入口のページにまとめています。

1. 第1問 初期費用をかけずに始めるコストの利点（従量課金・規模の経済）
2. 第2問 数分でグローバルに展開（世界同時公開と低い遅延）
3. 第3問 高可用性（EC2 の複数 AZ 配置と RDS マルチ AZ）
4. 第4問 クラウドの俊敏性（数分で作成・すぐに削除）
5. 第5問 責任共有モデル（EC2 へのリホストで AWS に任せられること）
6. 第6問 数時間だけのアクセスのピークに備える（EC2 Auto Scaling・オンデマンド）
7. 第7問 Well-Architected の6つの柱（信頼性・パフォーマンス効率）
8. 第8問 信頼性の柱の設計原則（自動で復旧・水平方向のスケール）
9. 第9問 持続可能性の柱の設計原則（使用率の最大化・マネージドサービス）
10. 第10問 AWS CAF の変革ジャーニーのフェーズ（構想・連携・ローンチ・スケール）
11. 第11問 AWS CAF のパースペクティブ（構成管理・パッチ管理はオペレーション）
12. 第12問 移行のビジネスケース（Migration Evaluator）
13. 第13問 AWS CAF のパースペクティブ（役割と組織の変化は人材）
14. 第14問 サーバーをそのまま EC2 に移す（AWS Transform MGN）
15. 第15問 ファイルの移行（AWS DataSync）
16. 第16問 移行戦略の7つの R（リパーチェス・SaaS への乗り換え）
17. 第17問 適切なサイズ設定（CPU は余り、メモリが不足）
18. 第18問 責任共有モデル（Lambda と RDS）
19. 第19問 最小権限の原則（IAM のポリシーと SCP）
20. 第20問 責任共有モデル（EC2 と S3、AWS の責任）
21. 第21問 共有統制の例（責任共有モデルの IT 統制）
22. 第22問 コンプライアンスの資料と契約（AWS Artifact）
23. 第23問 脅威の検出（Amazon GuardDuty）
24. 第24問 脆弱性の継続的なスキャン（Amazon Inspector）
25. 第25問 S3 の機密データの検出（Amazon Macie）
26. 第26問 S3 の保管時の暗号化とキーの管理
27. 第27問 だれが操作したかを調べる（AWS CloudTrail）
28. 第28問 IAM ユーザーの認証情報の一覧（認証情報レポート）（この記事）
29. 第29問 EC2 のアプリケーションに権限を与える（IAM ロール）
30. 第30問 データベースのパスワードの自動ローテーション（AWS Secrets Manager）
31. 第31問 社員に一時的な認証情報を発行するサービス（AWS STS）
32. 第32問 ルートユーザーでなければできない作業（アカウントの閉鎖・メールアドレスの変更）
33. 第33問 アプリの会員のサインインとソーシャルログイン（Amazon Cognito）
34. 第34問 同じ IP からの大量のリクエストを止める（AWS WAF のレートベースのルール）
35. 第35問 追加料金なしの DDoS 保護（AWS Shield Standard）
36. 第36問 他社のソフトウェアを AMI で使う（AWS Marketplace）
37. 第37問 インストールなしでブラウザから AWS CLI を使う（AWS CloudShell）
38. 第38問 同じ構成の環境をコードで何度でも作る（CloudFormation・CDK）
39. 第39問 工場の中で AWS のサービスを動かすには（AWS Outposts）
40. 第40問 世界の利用者の近くでキャッシュして配信（Amazon CloudFront）
41. 第41問 コードを上げるだけで Web アプリを動かすサービス（AWS Elastic Beanstalk）
42. 第42問 サーバーを管理せずにコンテナを動かす（AWS Fargate）
43. 第43問 URL のパスで振り分けるロードバランサー（Application Load Balancer）
44. 第44問 つながりを何段もたどるグラフデータベース（Amazon Neptune）
45. 第45問 RDS の自動フェイルオーバーと読み取りの分離（マルチ AZ・リードレプリカ）
46. 第46問 サーバーの管理なしにアクセスの増減に合わせるデータベース（Amazon DynamoDB）
47. 第47問 セキュリティグループの特徴（ステートフル・インスタンス単位）
48. 第48問 障害のときだけ別のリージョンへ DNS で切り替え（Route 53 のフェイルオーバールーティング）
49. 第49問 今あるインターネット回線で、すぐに暗号化してつなぐ（AWS Site-to-Site VPN）
50. 第50問 一部の管理者だけは解除できる削除の保護（S3 オブジェクトロックのガバナンスモード）
51. 第51問 めったに見ないがミリ秒で開く画像の保管（S3 Glacier Instant Retrieval）
52. 第52問 Windows のファイルサーバーを移す（Amazon FSx for Windows File Server）
53. 第53問 案内文を翻訳して音声で読み上げる（Amazon Translate と Amazon Polly）
54. 第54問 S3 のデータをカタログにして SQL で照会（AWS Glue と Amazon Athena）
55. 第55問 依頼をためて、受け付けた順に1回だけ処理（Amazon SQS の FIFO キュー）
56. 第56問 設備を買わずに電話とチャットの窓口を作る（Amazon Connect）
57. 第57問 EC2 と自社のサーバーに少しずつ配置し、失敗したら戻す（AWS CodeDeploy）
58. 第58問 アプリだけをブラウザに配信（WorkSpaces Applications・旧 AppStream 2.0）
59. 第59問 コア単位のライセンスを持ち込み、同じ物理サーバーで動かす（EC2 の専有ホスト）
60. 第60問 EC2・Fargate・Lambda と夜間のバッチのコスト削減（Compute Savings Plans・スポット）
61. 第61問 管理者も外せないリージョンの制限と、請求書の一本化（AWS Organizations の SCP）
62. 第62問 1つのアカウントの料金をプロジェクトごとに分ける（コスト配分タグ）
63. 第63問 料金のグラフと予算超えの通知（Cost Explorer・Budgets）
64. 第64問 アカウントを作る前に料金を見積もる（AWS Pricing Calculator）
65. 第65問 ベストプラクティスに合わない所を自動で見つける（AWS Trusted Advisor）
66. 第66問 AWS 側の保守の予定を前もって知る（AWS Health Dashboard）
67. 第67問 アクセスに合わせて台数を自動で増減する（Amazon EC2 Auto Scaling）
68. 第68問 パフォーマンス効率の柱の設計原則（高度なテクノロジー・グローバル展開）
69. 第69問 移行戦略の7つの R（リタイア・使われていないアプリを停止）
70. 第70問 AWS CAF のパースペクティブ（支出とデータの統制はガバナンス）
71. 第71問 ライセンスを持たずに SQL Server を使う（RDS のライセンス込み）
72. 第72問 EC2 と自社のサーバーのパッチを自動で当てる（AWS Systems Manager Patch Manager）
73. 第73問 障害の教訓を共有し、運用の手順を見直す（運用上の優秀性の設計原則）
74. 第74問 設定の履歴を記録し、社内ルールに合わないリソースを「非準拠」にする（AWS Config）
75. 第75問 S3 へのアップロードごとに短い処理をサーバーレスで動かす（AWS Lambda）
76. 第76問 12のアカウントと SaaS に1回でサインイン（AWS IAM Identity Center）
77. 第77問 インターネットを通らずに、帯域とレイテンシーを安定させる（AWS Direct Connect）
78. 第78問 途中でファミリーを変え、前払いできない RI の選び方（コンバーティブル・前払いなし）
79. 第79問 セキュリティの検出結果を集めて設定もチェック（AWS Security Hub CSPM）
80. 第80問 AWS CAF のパースペクティブ（イノベーションとデータの収益化はビジネス）
81. 第81問 特定の IP アドレスの範囲を、サブネットの入り口で拒否する（ネットワーク ACL）
82. 第82問 組織の外と共有・一般に公開されているリソースを一覧にする（IAM Access Analyzer）
83. 第83問 複数の AZ の EC2 から NFS で同じファイルを共有する（Amazon EFS）
84. 第84問 ルートユーザーの守り方と日常の作業（MFA・IAM Identity Center）
85. 第85問 一括請求の料金の利点（ボリューム料金の階層・リザーブドインスタンスの割引の共有）
86. 第86問 数ペタバイトの販売データをまとめて毎日集計する（Amazon Redshift）
87. 第87問 OS のパッチを自社で当てなくてよい移行先（Amazon RDS・AWS Lambda）
88. 第88問 移行戦略の7つの R（リプラットフォーム・VM をコンテナにして ECS と Fargate へ）
89. 第89問 GPU の学習と CPU のバッチ処理に合うインスタンスファミリー（高速コンピューティング・コンピューティング最適化）
90. 第90問 アプリのエラーの件数と CPU 使用率をしきい値で見張り、E メールで知らせる（Amazon CloudWatch）
91. 第91問 1回の発行で SQS・Lambda・E メールに届ける（Amazon SNS のトピック）
92. 第92問 部署の人の権限を追加料金なしでまとめて管理（IAM ユーザーグループ）
93. 第93問 最も詳しいコストのデータを S3 へ（AWS Data Exports の CUR 2.0）
94. 第94問 視聴履歴とクリックから利用者ごとの動画のおすすめ（Amazon Personalize）
95. 第95問 攻撃中の専門チームの支援と DDoS のコスト保護（AWS Shield Advanced）
96. 第96問 AWS CAF のトランスフォーメーションの分野（業務のデジタル化はプロセス）
97. 第97問 パブリックとプライベートのサブネットに必要な部品（インターネットゲートウェイ・NAT ゲートウェイ）
98. 第98問 SSH・コンソール・CLI の認証情報の使い分け（キーペアとアクセスキー）
99. 第99問 よくある質問の解決の記事を読む（AWS re:Post のナレッジセンター）
100. 第100問 設定値を階層でまとめて追加料金なしで保管（Parameter Store）

どちらも、第04回を読み終えた人が、いちばん最初につまずくところです。1つ目は、サービスの名前を覚えるだけでなく、「問題文の手がかりの言葉」とセットで覚える と解決しやすくなります。2つ目は、この記事の最後に 持ち帰ってほしい3点 にまとめました。

この記事は、AWS クラウドプラクティショナー試験対策講座（AWS Certified Cloud Practitioner、試験コード CLF-C02。以下 CLF）の第04回⑥で、第04回の まとめ です。第04回①〜⑤で出てきた似たサービスを、3つの表で見分けます。そのあと、この回の要点、参考資料、次の回の予告を載せます。冒頭の1つ目の相談には3つの表の節、2つ目の相談には「まとめ（持ち帰ってほしい3点）」の節で答えます。

なお、この連載は AWS の公式の資料ではありません。試験の情報は2026年10月26日時点のもので、変わることがあるので、受験の前に AWS の公式ページで確かめてください。

この回の見分け方①：処理を動かす場所

まず、処理を動かすサービスの見分けです。第04回①の「AWS のコンピューティングの全体像」の節で見た、処理を動かす方法の4つの分け方（借りる・増やして支える・管理を任せる・コンテナーと手軽なサービス）のうち、動かす場所になるサービスと、API の入口を、1つの表にしました。

補足：手がかりの言葉は、見分けるための目安で、試験の問題文そのものではありません。似たサービスの見分け方は、第14回（総まとめ）でほかの回の分と合わせて振り返ります（この回の組は、第14回③の「分野 3 ①：インフラと処理の場所」の節）。

1行ずつ読み直します。

• Amazon EC2：仮想サーバーを借りるサービスで、OS から上は利用者が扱います。「OS を自由に設定したい」「長く動かし続ける」が手がかりです
• AWS Lambda：きっかけがあったときに動く短い処理で、サーバーの管理は要りません。「サーバーを管理せず、きっかけで動かす」が手がかりです
• AWS Fargate：コンテナーを動かす、サーバーレスの場所です。「コンテナーを、サーバーを管理せずに動かす」が手がかりです
• AWS Elastic Beanstalk：コードを渡すと、環境を用意してくれます。「コードを渡すだけで公開したい」が手がかりです
• Amazon Lightsail：手軽な月額のサーバーです。「手軽に」「定額で」「小さな Web サイト」が手がかりです
• AWS Batch：大量の仕事をまとめて処理します。「大量のバッチ処理」「夜にまとめて集計」が手がかりです
• Amazon API Gateway：API の入口を受け持ちます。「外から呼ばれる窓口を作る」が手がかりです

EC2 と Lambda の違いは第04回④の「EC2 と Lambda の違い」の節、Fargate・Elastic Beanstalk・Lightsail・Batch は第04回⑤のそれぞれの節、API Gateway は第04回④の「Amazon API Gateway とは」の節に載せています。

この回の見分け方②：コンテナーのサービス

次に、コンテナーを動かす5つのサービスの見分けです。第04回⑤の「コンテナーを動かす3つの役割」の節の「置く」「管理する」「動かす」の役割ごとに、並べています。

補足：「置く」「管理する」「動かす」の3つの役割は、第04回⑤の「コンテナーを動かす3つの役割」の節と同じです。Fargate は ECS・EKS の代わりではありません。

• 置く：ECR。イメージを保管して配るだけで、コンテナーは動かしません
• 管理する：ECS と EKS。AWS が作った仕組みなら ECS、Kubernetes なら EKS です
• 動かす：Fargate と EC2。サーバーの管理を AWS に任せるなら Fargate、利用者が管理するなら EC2 です
• Fargate は、ECS と EKS の両方で使える「動かす場所」で、ECS・EKS の代わりではありません

この回の見分け方③：増やす・振り分ける・選ぶ

最後に、台数を増やして支える仕組みと、型の選び方の見分けです。第04回②の「インスタンスタイプのファミリー」の節と、第04回③の「垂直スケーリングと水平スケーリング」「Elastic Load Balancing（ELB）とは」「Auto Scaling とは」の節を、1つの表にしました。

補足：ELB は振り分け、Auto Scaling は台数の増減で、組み合わせて使います。ファミリーの一覧は変わることがあります（2026年10月26日時点）。

• 垂直スケーリング／水平スケーリング：垂直は 1台を大きくする、水平は 台数を増やす（減らす） です。「性能の高いサーバーに替える」なら垂直、「サーバーの台数を増やして対応する」なら水平と見分けます
• ELB／Auto Scaling：ELB は 振り分け、Auto Scaling は 台数の増減 です。「入口を1つにする」「正常なサーバーにだけ送る」なら ELB、「需要に応じて自動で台数を調整する」なら Auto Scaling と見分けます。Auto Scaling の台数は、最小・希望・最大で決めます
• ファミリー：インスタンスタイプを 用途から選ぶ 型の分類です。「計算・メモリ・読み書き・機械学習など」、処理の種類に合う型を選びます

この回の要点

この回では、処理を動かす場所を用途で選ぶ見方を学びました。

Amazon EC2 は仮想サーバーを借りるサービスで、OS から上は利用者が扱います。型は、用途に合うファミリーから選びます。台数で支えるときは、ELB が要求を振り分け、Auto Scaling が台数を増減します。組み合わせると、第02回②の「伸縮性」の節で見た伸縮性を実現でき、複数の AZ に置けば、第03回③の「複数 AZ に分けて置く」の節で見た高可用性にもつながります。

AWS Lambda と AWS Fargate は、サーバーの管理が要らないサーバーレスで、API の入口は Amazon API Gateway が受け持ちます。コンテナーは ECR に置き、ECS か EKS で管理し、EC2 か Fargate で動かします。

• EC2 は仮想サーバー。OS から上は利用者
• ELB は振り分け、Auto Scaling は台数の増減
• Lambda と Fargate はサーバーの管理が要らない

参考資料

この回で使った公式のページです。まず、EC2 と負荷分散の資料です。

試験ガイドは全体の入口で、分野 3 のページ（タスク 3.3 の対象知識・スキル）へ進めます。サービス一覧は試験ガイドの対象のサービスの一覧です。EC2・ELB（Elastic Load Balancing）・Auto Scaling（Amazon EC2 Auto Scaling）は、それぞれのドキュメントの「とは」のページです。インスタンスタイプの一覧のドキュメントは、第04回②の「インスタンスタイプのファミリー」の節の補足にあります。URL は 2026年10月26日に開けることを確かめました。

次に、サーバーレスとコンテナーの資料です。

AWS Lambda・Amazon API Gateway・Amazon ECS は、それぞれのドキュメントの「とは」のページです。ECR・EKS・Fargate・Elastic Beanstalk・Lightsail・Batch などは、ドキュメントの入口からサービス名で探せます。URL は 2026年10月26日に開けることを確かめました。内容は変わることがあるため、受験の前に公式のページで確かめてください。

考えてみよう

1. 冒頭の1つ目の相談に答えてみてください。「コードを渡すだけで公開したい」「手軽に、定額で、小さな Web サイト」「大量のバッチ処理、夜にまとめて集計」の3つの手がかりは、それぞれどのサービスを指すか、「この回の見分け方①」の表を使って説明してください
2. 「ECR・ECS・EKS・Fargate・EC2」の5つを、「置く」「管理する」「動かす」の3つの役割に分けて説明してみてください。Fargate が ECS・EKS の代わりではない理由も添えてください
3. 「性能の高いサーバーに替える」と「サーバーの台数を増やして対応する」の違いを、垂直スケーリングと水平スケーリングの言葉を使って説明してみてください。ELB と Auto Scaling は、それぞれ何を担うのかも添えてください

ヒント：1 は「この回の見分け方①：処理を動かす場所」、2 は「この回の見分け方②：コンテナーのサービス」、3 は「この回の見分け方③：増やす・振り分ける・選ぶ」を見直してください。

まとめ（持ち帰ってほしい3点）

第04回の持ち帰りは、次の3点です。

• EC2 は仮想サーバー、OS から上は利用者
• ELB は振り分け、Auto Scaling は台数の増減
• Lambda と Fargate はサーバーの管理が要らない

1つ目は、第04回②の「Amazon EC2 とは」「EC2 でお客様が扱う範囲」の節の内容です。EC2 は仮想サーバーを借りるサービスで、AWS が扱うのは建物・物理サーバー・仮想化まで、OS から上は利用者が扱います。型は、用途に合うファミリーから選びます。

2つ目は、第04回③の「ELB と Auto Scaling を組み合わせる」の節の内容です。ELB は要求を複数のサーバー（ターゲット）に振り分け、Auto Scaling は最小・希望・最大の台数に合わせて増減します。組み合わせて使います。

3つ目は、第04回④の「サーバーレスとは」の節と、第04回⑤の「AWS Fargate」の節の内容です。AWS Lambda と AWS Fargate は、サーバーの用意や管理を AWS に任せるサーバーレスです。試験ガイドの対象のサービス一覧の分け方でも、「サーバーレス」は Lambda と Fargate です（2026年10月26日時点）。

次の回の予告

• 次の回：第05回 ストレージ
• 扱うこと：ストレージの種類、EBS とインスタンスストア、S3 とストレージクラス、EFS・FSx・Storage Gateway、バックアップと災害対策
• 試験との対応：分野 3 クラウドテクノロジーとサービス（34%）のタスク 3.6「AWS ストレージサービスを特定する」
• この回から持ち込むもの：EC2 のデータの置き場所という見方（第04回②の「EC2 を起動するときに選ぶもの」の節のストレージ）
• 準備：特に無い。EC2 が仮想サーバーであることを思い出しておく

補足：第05回では、この回で名前だけ出てきた EBS を「EC2 のディスク」として説明します。第05回の記事は、第05回①「ストレージの種類」から第05回⑦「第05回のまとめ」までの7本です（EBS は第05回②）。

連載「AWS クラウドプラクティショナー試験対策講座」

全回の目次と、読む順番・目的別の読み方は、AWS クラウドプラクティショナー試験対策講座の入口のページにまとめています。

1. 第01回① CLF はどんな資格か（AWS 認定のレベル・CLF の位置づけ・誰向けか・問われること／問われないこと・身につくもの）
2. 第01回② 試験の形式と合格基準（試験の基本情報・2種類の設問・採点される50問・換算スコアと合格点・補整型・結果・受験の流れ・再受験と有効期間）
3. 第01回③ 出題の範囲と配点（4つの分野と配点・試験ガイドの組み立て・分野ごとのタスク・配点と学ぶ量・対象外のサービス）
4. 第01回④ 講座の進め方と学び方（全14回の地図・深さの印・学び方の輪・公式の学習リソース・AWS を触るときの注意・問題文の読み方・早見表）
5. 第02回① クラウドとは（3つの特徴・オンプレミスとの違い・使い始めるまでの速さ・IaaS／PaaS／SaaS・デプロイモデルと選び方）
6. 第02回② AWS クラウドの利点（価値提案・6つのメリット・高可用性・伸縮性・俊敏性・例で見分ける）
7. 第02回③ クラウドエコノミクス（固定費と変動費・オンプレミスのコスト・総保有コスト・規模の経済・適切なサイジング・BYOL・オートメーション）
8. 第02回④ 第02回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
9. 第03回① サービスの全体像（この回のねらい・この講座について・前の回の振り返り・サービスの集まり・カテゴリ・カテゴリと講座の回）
10. 第03回② グローバルインフラ（リージョン・AZ・エッジロケーション・3つの関係と比較・Local Zones・Outposts）
11. 第03回③ 高可用性と複数リージョン（単一障害点・複数 AZ・サービスごとの AZ・複数リージョンの理由・リージョンの選び方）
12. 第03回④ AWS へのアクセス方法（API・コンソール・CLI・SDK・IaC・CloudFormation・1回限りと繰り返す作業）
13. 第03回⑤ 第03回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
14. 第04回① サーバーと仮想マシン（この回のねらい・この講座について・前の回の振り返り・コンピューティングとサーバー・仮想マシン・コンピューティングの全体像）
15. 第04回② Amazon EC2（EC2 とは・ユースケース・お客様が扱う範囲・インスタンスタイプ・ファミリーと選び方・起動するときに選ぶもの）
16. 第04回③ ELB と Auto Scaling（1台のサーバーの限界・垂直と水平のスケーリング・ロードバランサーの目的・ELB とその種類・Auto Scaling・組み合わせ）
17. 第04回④ サーバーレス（サーバーレスとは・AWS Lambda とその特徴・ユースケース・Amazon API Gateway・EC2 と Lambda の違い）
18. 第04回⑤ コンテナーとほかの選択肢（コンテナーとは・3つの役割・ECR・ECS と EKS・Fargate・Elastic Beanstalk・Lightsail・Batch）
19. 第04回⑥ 第04回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）（この記事）
20. 第05回① ストレージの種類（この回のねらい・この講座について・前の回の振り返り・ストレージとは・ブロック・ファイル・オブジェクト・3つの種類の比べ方・AWS のストレージの地図）
21. 第05回② EBS とインスタンスストア（Amazon EBS・AZ の中でのレプリケート・スナップショット・EBS の暗号化・インスタンスストア・2つの違い）
22. 第05回③ Amazon S3 とストレージクラス（S3 とは・S3 の特徴・ユースケース・ストレージクラスの考え方・ストレージクラスの一覧）
23. 第05回④ Glacier とライフサイクル（S3 Glacier のクラス・クラスの選び方・ライフサイクルポリシー・ライフサイクルのユースケース・S3 のセキュリティ）
24. 第05回⑤ ファイルとハイブリッド（Amazon EFS・Amazon FSx・ハイブリッドクラウドとストレージ・AWS Storage Gateway・Storage Gateway の種類）
25. 第05回⑥ バックアップと災害対策（バックアップと災害対策の違い・AWS Backup・ユースケース・AWS Elastic Disaster Recovery・データを守る仕組みの重ね方）
26. 第05回⑦ 第05回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
27. 第06回① ネットワークの基本（この回のねらい・この講座について・前の回の振り返り・IP アドレスとネットワークの範囲・ルーティングとゲートウェイ・ポートとプロトコル・この回のサービスの地図）
28. 第06回② VPC とサブネット（Amazon VPC とは・サブネット・パブリックサブネットとプライベートサブネット・インターネットゲートウェイ・NAT ゲートウェイ・ルートテーブル）
29. 第06回③ セキュリティグループとネットワーク ACL（セキュリティグループ・ネットワーク ACL・2つの違い・VPC フローログ・VPC の全体を見る）
30. 第06回④ VPC の外とつなぐ（つなぐ先は3つ・AWS Transit Gateway・AWS PrivateLink・オンプレミスとつなぐ方法）
31. 第06回⑤ VPN と Direct Connect（AWS Site-to-Site VPN・AWS Client VPN・AWS Direct Connect・VPN と Direct Connect の比べ方）
32. 第06回⑥ DNS と Route 53（DNS とドメイン名・Amazon Route 53・Route 53 のルーティングの方法）
33. 第06回⑦ CloudFront と Global Accelerator（エッジロケーションとキャッシュ・Amazon CloudFront・CloudFront の使いどころ・AWS Global Accelerator・CloudFront と Global Accelerator の違い）
34. 第06回⑧ 第06回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
35. 第07回① データベースとは（この回のねらい・この講座について・前の回の振り返り・データベースとは・テーブル・行・列・SQL とは）
36. 第07回② データベースの種類（リレーショナルデータベース・NoSQL データベース・インメモリデータベース・3つの種類の比べ方・EC サイトで使い分けると）
37. 第07回③ 自分で運用か任せるか（データベースを動かすのに要る作業・EC2 上のデータベース・マネージドデータベース・作業の分担の比べ方・使い分けの考え方）
38. 第07回④ RDS とマルチ AZ 配置（Amazon RDS とは・RDS で選べるエンジン・RDS で AWS が引き受けること・マルチ AZ 配置・フェイルオーバー）
39. 第07回⑤ リードレプリカと Aurora（リードレプリカ・マルチ AZ 配置とリードレプリカの違い・Amazon Aurora・RDS と Aurora の関係）
40. 第07回⑥ Amazon DynamoDB（DynamoDB とは・DynamoDB の特長・DynamoDB のテーブル・DynamoDB と RDS の違い）
41. 第07回⑦ ElastiCache・DocumentDB・Neptune（Amazon ElastiCache・キャッシュの置き方・Amazon DocumentDB・Amazon Neptune・ほかの回で扱う DB の話題）
42. 第07回⑧ 第07回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
43. 第08回① 疎結合とつなぎ方の言葉（この回のねらい・この講座について・前の回の振り返り・疎結合とは・つなぎ方の言葉）
44. 第08回② SQS と SNS（Amazon SQS の仕組み・SQS の使いどころ・Amazon SNS の仕組み・SNS の使いどころ）
45. 第08回③ EventBridge と Step Functions（Amazon EventBridge の仕組み・EventBridge の使いどころ・AWS Step Functions の仕組み・Step Functions の使いどころ・SNS・SQS・EventBridge の使い分け・メッセージと通知のサービスを選ぶ）
46. 第08回④ AI と機械学習のサービス（AI と機械学習の言葉・AI/ML のサービスの全体像・画像・文書・文章のサービス・音声と会話のサービス・生成 AI のサービス）
47. 第08回⑤ データ分析のサービス（データ分析の流れ・集める・加工するサービス・分析・見える化のサービス・Athena・Redshift・EMR の違い）
48. 第08回⑥ 業務と開発のサービス（ビジネスアプリケーション・エンドユーザーコンピューティング・開発者ツール・CI/CD の流れ・フロントエンドと IoT）
49. 第08回⑦ 第08回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
50. 第09回① 監視の基本と CloudWatch（この回のねらい・この講座について・前の回の振り返り・3つの困りごとと3つのサービス・Amazon CloudWatch・CloudWatch のアラーム・CloudWatch Logs と標準で取れないもの）
51. 第09回② AWS CloudTrail（AWS CloudTrail・CloudTrail の記録の残し方・CloudTrail の使いどころ）
52. 第09回③ AWS Config と3つの使い分け（AWS Config・Config ルールと準拠の確認・CloudTrail と Config の違い・3つの使い分け・3つを組み合わせる流れ）
53. 第09回④ Trusted Advisor と AWS Health（AWS Trusted Advisor・Trusted Advisor のチェックのカテゴリ・サポートプランと使えるチェック・AWS Health Dashboard・AWS Health API・Trusted Advisor・Health・CloudWatch の違い）
54. 第09回⑤ 運用管理の道具（AWS Systems Manager・AWS Compute Optimizer・Service Quotas と License Manager・運用管理の使い分け）
55. 第09回⑥ Organizations と SCP（なぜアカウントを分けるのか・AWS Organizations・Organizations でできること・サービスコントロールポリシー（SCP）・SCP と IAM の関係）
56. 第09回⑦ Control Tower・Service Catalog・RAM（AWS Control Tower・AWS Service Catalog・AWS RAM）
57. 第09回⑧ 第09回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
58. 第10回① クラウドで守る利点と責任共有モデル（この回のねらい・この講座について・前の回の振り返り・クラウドで守る利点・責任共有モデルとは）
59. 第10回② 責任の分かれ方（AWS の責任（クラウドのセキュリティ）・お客様の責任（クラウド内のセキュリティ）・共有する管理・サービスで変わる責任）
60. 第10回③ 暗号化と KMS・CloudHSM・ACM（転送時と保管時の暗号化・AWS KMS・AWS CloudHSM・AWS Certificate Manager（ACM））
61. 第10回④ AWS アカウントとルートユーザー（AWS アカウントとルートユーザー・ルートユーザーだけができる作業・ルートユーザーの守り方）
62. 第10回⑤ IAM と最小権限（IAM の全体像・IAM ユーザーとグループ・IAM ロール・ポリシーの種類・最小権限の原則とアクセスレポート）
63. 第10回⑥ MFA・フェデレーション・認証情報の保管（パスワード・MFA・アクセスキー・クロスアカウントの IAM ロール・フェデレーションと IAM アイデンティティセンター・Directory Service と Cognito・認証情報の保管）
64. 第10回⑦ Shield・WAF・Firewall Manager（守りの層・AWS Shield・AWS WAF・AWS Firewall Manager・Shield・WAF・Firewall Manager の使い分け）
65. 第10回⑧ 検出と調査のサービス（Amazon GuardDuty・Amazon Inspector・Amazon Macie・Amazon Detective・AWS Security Hub・検出と調査の使い分け）
66. 第10回⑨ コンプライアンスと情報源（コンプライアンスの考え方・第三者認証と地域・業界・AWS Artifact・監査に使うログ・AWS Marketplace のセキュリティ製品・セキュリティ情報の入手先）
67. 第10回⑩ 第10回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
68. 第11回① Well-Architected フレームワークと6つの柱（この回のねらい・この講座について・前の回の振り返り・この回の役割・Well-Architected フレームワークとは・6つの柱の全体像）
69. 第11回② 柱の問いと Well-Architected Tool（柱が答える問い・一般的な設計原則・柱どうしのトレードオフ・Well-Architected Tool）
70. 第11回③ 6つの柱（運用上の優秀性・セキュリティ・信頼性・パフォーマンス効率・コスト最適化・持続可能性・柱と回の対応）
71. 第11回④ 柱どうしの見分け方（信頼性とパフォーマンス効率・コスト最適化と持続可能性・運用上の優秀性と信頼性・セキュリティの柱と第10回）
72. 第11回⑤ 問題文と事例で柱を選ぶ（問題文の言葉から柱を選ぶ・ある EC サイトの会社の構成・柱の目で見直す）
73. 第11回⑥ 故障に備えた設計と疎結合（4つの原則の全体像・故障に備えた設計・コンポーネントの分離（疎結合））
74. 第11回⑦ 伸縮性・並列化と4つの原則（伸縮性の活用・並列化を考慮する・4つの原則と柱）
75. 第11回⑧ 第11回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
76. 第12回① 移行とは何か（この回のねらい・この講座について・前の回の振り返り・移行とは何か・この回の例の会社）
77. 第12回② 移行の流れと利点（移行の大まかな流れ・移行の利点・移行を支えるリソース）
78. 第12回③ AWS CAF の6つの観点（AWS CAF とは・6つの観点・ビジネス寄りの3つの観点・技術寄りの3つの観点・期待できる成果・CAF と Well-Architected の違い）
79. 第12回④ 7つの R と移し方（7つの R とは・そのまま移す：リホストとリロケート・少し手を加える：リプラットフォーム・作り直す：リファクタリング（リアーキテクト）・4つの R を並べて見分ける）
80. 第12回⑤ 買い替える・移さない戦略（買い替える：リパーチェス・移さない：リテインとリタイア・例の会社に当てはめる）
81. 第12回⑥ 評価のサービスと AWS MGN（移行のサービスの地図・費用を見積もる：Migration Evaluator・環境を調べる：Application Discovery Service・進み具合を1か所で見る：Migration Hub・サーバーを移す：AWS MGN）
82. 第12回⑦ データベースの移行：DMS と SCT（データベースの移行とは・AWS DMS・止めずに移す：データベースのレプリケーション・設計を変換する：AWS SCT・DMS と SCT の組み合わせ）
83. 第12回⑧ Snow ファミリーと例の会社の移行（大容量データを運ぶ：Snow ファミリー・例の会社の移行を通して見る）
84. 第12回⑨ 第12回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
85. 第13回① 従量課金と料金の決まり方（この回のねらい・この講座について・前の回の振り返り・従量課金と料金の決まり方）
86. 第13回② データ転送とストレージの料金（データ転送：受信と送信・データ転送：リージョン内とリージョン間・ストレージの料金）
87. 第13回③ サービスごとの料金と無料利用枠（安いクラスを選ぶときの注意・サービスごとの料金の決まり方・AWS 無料利用枠）
88. 第13回④ オンデマンドとリザーブドインスタンス（購入オプションの全体像・オンデマンドインスタンス・リザーブドインスタンス（RI）・RI の柔軟性・Organizations での割引の共有）
89. 第13回⑤ Savings Plans・スポットと使い分け（Savings Plans・RI と Savings Plans の違い・スポットインスタンス・専有ホストとハードウェア専有インスタンス・キャパシティーの予約・購入オプションの使い分け）
90. 第13回⑥ 見積り・予算・分析の道具（コスト管理の道具の全体像・AWS 料金見積りツール・AWS Budgets・AWS Cost Explorer・AWS Cost and Usage Report）
91. 第13回⑦ タグ・一括請求とコスト改善（コスト配分タグ・AWS Organizations の一括請求・請求と料金の情報・コスト改善の考え方）
92. 第13回⑧ 困ったときの窓口とサポートプラン（困ったときの窓口の全体像・サポートプランの比較・サポートプランと Trusted Advisor のチェック・AWS サポートセンター）
93. 第13回⑨ Trust & Safety・パートナー・Marketplace（AWS Trust & Safety チーム・技術リソース・AWS パートナーネットワーク（APN）・AWS Marketplace・技術支援）
94. 第13回⑩ 第13回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
95. 第14回① 見分け方の表と分野 1（この回のねらい・この講座について・前の回の振り返り・見分け方の表の読み方・分野 1 ①：クラウドの性質と費用・分野 1 ②：設計と移行の考え方）
96. 第14回② 分野 2 の見分け方（分野 2 ①：責任共有モデル・分野 2 ②：アクセスと鍵の管理・分野 2 ③：攻撃からの守りと検出・分野 2 ④：記録・監査・統制）
97. 第14回③ 分野 3 の見分け方（分野 3 ①：インフラと処理の場所・分野 3 ②：ストレージ・データベース・移行・分野 3 ③：ネットワーク・分野 3 ④：連携・分析・AI）
98. 第14回④ 分野 4 の見分け方と5つの問い（分野 4 ①：料金と購入オプション・分野 4 ②：コスト管理とサポート・見分けの5つの問い）
99. 第14回⑤ 条件の言葉と主語（基本から一歩進める・条件の言葉①：運用と費用・条件の言葉②：可用性と性能・条件の言葉③：守りと統制・主語を見る：AWS かお客様か）
100. 第14回⑥ 似た言葉と問題文を読む順（似た言葉の取り違え・名前が似ているサービス・時間の配分と見直し・問題文を読む順）
101. 第14回⑦ 受験の申し込みと本人確認（申し込みから結果までの流れ・テストセンターとオンライン・申し込みの手順・本人確認と身分証明書・持ち物と持ち込めないもの）
102. 第14回⑧ オンライン受験の環境と当日（オンライン受験の環境・予約の変更と取り消し・当日の流れと遅刻・試験の後）
103. 第14回⑨ 第14回のまとめ（各回の見分け方の一覧・この回の要点・全14回を終えたら・参考資料）

AWS Certified Cloud Practitioner（試験コード CLF-C02。以下 CLF）では、何を記録するサービスかで、操作・設定・通信・数値を見分ける問題がよく出ます。「だれが・いつ・どこから」のような問いの言葉から、どのサービスの記録かを選びます。

この記事は、CLF の練習問題を1問ずつ解説する連載の第27問です。問題は筆者が試験の範囲に合わせて作ったもので、実際の試験の問題ではありません。まず自分で答えを選んでから、解説を読んでください。

▶ この回の内容は、YouTube の動画（約4分）でも見られます（記事の最後にも埋め込んであります）。

問題

ある企業で、本番環境のセキュリティグループに、すべての IP アドレス（0.0.0.0/0）からSSH の接続を許可するルールが、いつの間にか追加されていました。この変更を、だれが、いつ、どこの IP アドレスから行ったかを調べたいと考えています。どの AWS サービスを使いますか。

• A. VPC フローログ
• B. Amazon CloudWatch のメトリクス
• C. AWS Config
• D. AWS CloudTrail

答えを決めたら、下を開いてください。

正解は D

正解は D です。

AWS CloudTrail は、API の呼び出し、つまり AWS の操作を記録するサービスです。だれが、いつ、どこの IP アドレスから、何をしたかが分かります。ここから、選択肢を1つずつ見ていきます。

選択肢ごとの解説

A：フローログは通信の記録（誤り）

VPC フローログは、ネットワークインターフェイスを出入りする、通信の情報を記録します。図の中央のように、送信元と送信先の IP アドレス、ポート、許可されたかどうか、などです。

記録するのは通信です。セキュリティグループを変えた操作は、記録しません。

B：メトリクスは数値の記録（誤り）

Amazon CloudWatch のメトリクスは、CPU の使用率などの数値を、時間を追って記録するものです。図の中央のようにグラフにして、リソースの状態を監視するのに使います。

数値の記録なので、だれが操作したかは分かりません。

C：Config は設定の変化の記録（誤り）

AWS Config は、リソースの設定がどう変わったかを、変更前と変更後で記録します。図の中央のように、SSH を許可するルールが増えたことは分かります。

ただし、だれが API を呼んだかの記録は、CloudTrail にあります。だれが変えたかは、CloudTrail の記録と結び付けて調べます。

D：CloudTrail が操作を記録（正解）

AWS CloudTrail は、コンソール、CLI、SDK からの、API の呼び出しを記録します。図の右のように、だれが・いつ・どこから・何をしたかが、操作1件ごとに残ります。今回は、セキュリティグループにルールを追加した操作の記録を探します。

CloudTrail は、何も設定しなくても有効です。イベント履歴で、過去90日の管理イベントを、無料で見られます。90日より長く残すには、証跡を作って、S3 に保存します。

記録するもので選ぶ

4つのサービスを、記録するもので整理します。試験では、操作・設定・通信・数値という言葉で見分けましょう。

ポイント

• だれが・いつ・どこから 操作 したか ＝ AWS CloudTrail
• 何も設定しなくても有効。イベント履歴 で過去 90日 の管理イベントを見られる
• 設定の変化 ＝ Config、通信 ＝ VPC フローログ、数値の監視 ＝ CloudWatch

CloudTrail の記録の残し方と、CloudTrail・Config・CloudWatch の使い分けは、講座の記事で詳しく解説しています。

• 講座の第09回②「AWS CloudTrail」（連載の入口のページから）
• 講座の第09回③「AWS Config と3つの使い分け」の「CloudTrail と Config の違い」の節（連載の入口のページから）

講座の全14回は、連載の入口のページから順に読めます。

動画で見る

この回の内容を、YouTube の動画（約4分）でも解説しています。

連載の全回は、YouTube の再生リスト「CLF-C02 試験対策問題」にまとめています。

連載「CLF-C02 試験対策問題」

全回の目次と、読む順番・目的別の読み方は、CLF-C02 試験対策問題の入口のページにまとめています。

1. 第1問 初期費用をかけずに始めるコストの利点（従量課金・規模の経済）
2. 第2問 数分でグローバルに展開（世界同時公開と低い遅延）
3. 第3問 高可用性（EC2 の複数 AZ 配置と RDS マルチ AZ）
4. 第4問 クラウドの俊敏性（数分で作成・すぐに削除）
5. 第5問 責任共有モデル（EC2 へのリホストで AWS に任せられること）
6. 第6問 数時間だけのアクセスのピークに備える（EC2 Auto Scaling・オンデマンド）
7. 第7問 Well-Architected の6つの柱（信頼性・パフォーマンス効率）
8. 第8問 信頼性の柱の設計原則（自動で復旧・水平方向のスケール）
9. 第9問 持続可能性の柱の設計原則（使用率の最大化・マネージドサービス）
10. 第10問 AWS CAF の変革ジャーニーのフェーズ（構想・連携・ローンチ・スケール）
11. 第11問 AWS CAF のパースペクティブ（構成管理・パッチ管理はオペレーション）
12. 第12問 移行のビジネスケース（Migration Evaluator）
13. 第13問 AWS CAF のパースペクティブ（役割と組織の変化は人材）
14. 第14問 サーバーをそのまま EC2 に移す（AWS Transform MGN）
15. 第15問 ファイルの移行（AWS DataSync）
16. 第16問 移行戦略の7つの R（リパーチェス・SaaS への乗り換え）
17. 第17問 適切なサイズ設定（CPU は余り、メモリが不足）
18. 第18問 責任共有モデル（Lambda と RDS）
19. 第19問 最小権限の原則（IAM のポリシーと SCP）
20. 第20問 責任共有モデル（EC2 と S3、AWS の責任）
21. 第21問 共有統制の例（責任共有モデルの IT 統制）
22. 第22問 コンプライアンスの資料と契約（AWS Artifact）
23. 第23問 脅威の検出（Amazon GuardDuty）
24. 第24問 脆弱性の継続的なスキャン（Amazon Inspector）
25. 第25問 S3 の機密データの検出（Amazon Macie）
26. 第26問 S3 の保管時の暗号化とキーの管理
27. 第27問 だれが操作したかを調べる（AWS CloudTrail）（この記事）
28. 第28問 IAM ユーザーの認証情報の一覧（認証情報レポート）
29. 第29問 EC2 のアプリケーションに権限を与える（IAM ロール）
30. 第30問 データベースのパスワードの自動ローテーション（AWS Secrets Manager）
31. 第31問 社員に一時的な認証情報を発行するサービス（AWS STS）
32. 第32問 ルートユーザーでなければできない作業（アカウントの閉鎖・メールアドレスの変更）
33. 第33問 アプリの会員のサインインとソーシャルログイン（Amazon Cognito）
34. 第34問 同じ IP からの大量のリクエストを止める（AWS WAF のレートベースのルール）
35. 第35問 追加料金なしの DDoS 保護（AWS Shield Standard）
36. 第36問 他社のソフトウェアを AMI で使う（AWS Marketplace）
37. 第37問 インストールなしでブラウザから AWS CLI を使う（AWS CloudShell）
38. 第38問 同じ構成の環境をコードで何度でも作る（CloudFormation・CDK）
39. 第39問 工場の中で AWS のサービスを動かすには（AWS Outposts）
40. 第40問 世界の利用者の近くでキャッシュして配信（Amazon CloudFront）
41. 第41問 コードを上げるだけで Web アプリを動かすサービス（AWS Elastic Beanstalk）
42. 第42問 サーバーを管理せずにコンテナを動かす（AWS Fargate）
43. 第43問 URL のパスで振り分けるロードバランサー（Application Load Balancer）
44. 第44問 つながりを何段もたどるグラフデータベース（Amazon Neptune）
45. 第45問 RDS の自動フェイルオーバーと読み取りの分離（マルチ AZ・リードレプリカ）
46. 第46問 サーバーの管理なしにアクセスの増減に合わせるデータベース（Amazon DynamoDB）
47. 第47問 セキュリティグループの特徴（ステートフル・インスタンス単位）
48. 第48問 障害のときだけ別のリージョンへ DNS で切り替え（Route 53 のフェイルオーバールーティング）
49. 第49問 今あるインターネット回線で、すぐに暗号化してつなぐ（AWS Site-to-Site VPN）
50. 第50問 一部の管理者だけは解除できる削除の保護（S3 オブジェクトロックのガバナンスモード）
51. 第51問 めったに見ないがミリ秒で開く画像の保管（S3 Glacier Instant Retrieval）
52. 第52問 Windows のファイルサーバーを移す（Amazon FSx for Windows File Server）
53. 第53問 案内文を翻訳して音声で読み上げる（Amazon Translate と Amazon Polly）
54. 第54問 S3 のデータをカタログにして SQL で照会（AWS Glue と Amazon Athena）
55. 第55問 依頼をためて、受け付けた順に1回だけ処理（Amazon SQS の FIFO キュー）
56. 第56問 設備を買わずに電話とチャットの窓口を作る（Amazon Connect）
57. 第57問 EC2 と自社のサーバーに少しずつ配置し、失敗したら戻す（AWS CodeDeploy）
58. 第58問 アプリだけをブラウザに配信（WorkSpaces Applications・旧 AppStream 2.0）
59. 第59問 コア単位のライセンスを持ち込み、同じ物理サーバーで動かす（EC2 の専有ホスト）
60. 第60問 EC2・Fargate・Lambda と夜間のバッチのコスト削減（Compute Savings Plans・スポット）
61. 第61問 管理者も外せないリージョンの制限と、請求書の一本化（AWS Organizations の SCP）
62. 第62問 1つのアカウントの料金をプロジェクトごとに分ける（コスト配分タグ）
63. 第63問 料金のグラフと予算超えの通知（Cost Explorer・Budgets）
64. 第64問 アカウントを作る前に料金を見積もる（AWS Pricing Calculator）
65. 第65問 ベストプラクティスに合わない所を自動で見つける（AWS Trusted Advisor）
66. 第66問 AWS 側の保守の予定を前もって知る（AWS Health Dashboard）
67. 第67問 アクセスに合わせて台数を自動で増減する（Amazon EC2 Auto Scaling）
68. 第68問 パフォーマンス効率の柱の設計原則（高度なテクノロジー・グローバル展開）
69. 第69問 移行戦略の7つの R（リタイア・使われていないアプリを停止）
70. 第70問 AWS CAF のパースペクティブ（支出とデータの統制はガバナンス）
71. 第71問 ライセンスを持たずに SQL Server を使う（RDS のライセンス込み）
72. 第72問 EC2 と自社のサーバーのパッチを自動で当てる（AWS Systems Manager Patch Manager）
73. 第73問 障害の教訓を共有し、運用の手順を見直す（運用上の優秀性の設計原則）
74. 第74問 設定の履歴を記録し、社内ルールに合わないリソースを「非準拠」にする（AWS Config）
75. 第75問 S3 へのアップロードごとに短い処理をサーバーレスで動かす（AWS Lambda）
76. 第76問 12のアカウントと SaaS に1回でサインイン（AWS IAM Identity Center）
77. 第77問 インターネットを通らずに、帯域とレイテンシーを安定させる（AWS Direct Connect）
78. 第78問 途中でファミリーを変え、前払いできない RI の選び方（コンバーティブル・前払いなし）
79. 第79問 セキュリティの検出結果を集めて設定もチェック（AWS Security Hub CSPM）
80. 第80問 AWS CAF のパースペクティブ（イノベーションとデータの収益化はビジネス）
81. 第81問 特定の IP アドレスの範囲を、サブネットの入り口で拒否する（ネットワーク ACL）
82. 第82問 組織の外と共有・一般に公開されているリソースを一覧にする（IAM Access Analyzer）
83. 第83問 複数の AZ の EC2 から NFS で同じファイルを共有する（Amazon EFS）
84. 第84問 ルートユーザーの守り方と日常の作業（MFA・IAM Identity Center）
85. 第85問 一括請求の料金の利点（ボリューム料金の階層・リザーブドインスタンスの割引の共有）
86. 第86問 数ペタバイトの販売データをまとめて毎日集計する（Amazon Redshift）
87. 第87問 OS のパッチを自社で当てなくてよい移行先（Amazon RDS・AWS Lambda）
88. 第88問 移行戦略の7つの R（リプラットフォーム・VM をコンテナにして ECS と Fargate へ）
89. 第89問 GPU の学習と CPU のバッチ処理に合うインスタンスファミリー（高速コンピューティング・コンピューティング最適化）
90. 第90問 アプリのエラーの件数と CPU 使用率をしきい値で見張り、E メールで知らせる（Amazon CloudWatch）
91. 第91問 1回の発行で SQS・Lambda・E メールに届ける（Amazon SNS のトピック）
92. 第92問 部署の人の権限を追加料金なしでまとめて管理（IAM ユーザーグループ）
93. 第93問 最も詳しいコストのデータを S3 へ（AWS Data Exports の CUR 2.0）
94. 第94問 視聴履歴とクリックから利用者ごとの動画のおすすめ（Amazon Personalize）
95. 第95問 攻撃中の専門チームの支援と DDoS のコスト保護（AWS Shield Advanced）
96. 第96問 AWS CAF のトランスフォーメーションの分野（業務のデジタル化はプロセス）
97. 第97問 パブリックとプライベートのサブネットに必要な部品（インターネットゲートウェイ・NAT ゲートウェイ）
98. 第98問 SSH・コンソール・CLI の認証情報の使い分け（キーペアとアクセスキー）
99. 第99問 よくある質問の解決の記事を読む（AWS re:Post のナレッジセンター）
100. 第100問 設定値を階層でまとめて追加料金なしで保管（Parameter Store）

AWS Certified Cloud Practitioner（試験コード CLF-C02。以下 CLF）では、S3 の暗号化で、キーをだれが管理するかを見分ける問題が出ます。転送中と保管時の違い、サーバー側とクライアント側の違い、SSE-S3 と SSE-KMS の違いを、「キーを自社で管理し、だれが使えるかを自社で決める」という要件の言い回しから選びます。

この記事は、CLF の練習問題を1問ずつ解説する連載の第26問です。問題は筆者が試験の範囲に合わせて作ったもので、実際の試験の問題ではありません。まず自分で答えを選んでから、解説を読んでください。

▶ この回の内容は、YouTube の動画（約5分）でも見られます（記事の最後にも埋め込んであります）。

問題

ある企業は、Amazon S3 に保存する契約書のファイルを、保管時に暗号化します。社内の規程で、暗号化に使うキーは自社で管理し、だれがキーを使えるかを自社で決められるようにする必要があります。この要件を満たす方法はどれですか。（2つ選択）

• A. バケットポリシーで、HTTPS の通信だけを許可する
• B. AWS KMS のカスタマーマネージドキーを使い、サーバー側の暗号化（SSE-KMS）でオブジェクトを暗号化する
• C. Amazon S3 マネージドキーによるサーバー側の暗号化（SSE-S3）に任せる
• D. 自社で管理するキーでファイルを暗号化してから、S3 にアップロードする（クライアント側の暗号化）
• E. S3 バケットのバージョニングを有効にする

答えを2つ決めたら、下を開いてください。

正解は B と D

正解は B と D です。

• B：SSE-KMS。カスタマーマネージドキーのキーポリシーで、だれがキーを使えるかを自社で決める
• D：クライアント側の暗号化。暗号化の仕組みとキーを、すべて自社で管理する

ここから、選択肢を1つずつ見ていきます。

選択肢ごとの解説

A：HTTPS は転送中の保護（誤り）

HTTPS（SSL/TLS）は、図の左の、転送中のデータを守るものです。バケットポリシーで HTTPS だけを許可すると、通信の途中での盗み見を防げます。

しかし、S3 に保管したファイルの暗号化や、キーの管理とは別の話です。

B：SSE-KMS はキーを自社で管理（正解）

SSE-KMS は、サーバー側の暗号化の1つです。S3 が、AWS KMS のキーを使って、オブジェクトを暗号化します。

カスタマーマネージドキーは、利用者が作って管理するキーです。キーポリシーで、だれがキーを使えるかを自社で決められます。キーのローテーションも、自社で設定できます。

C：SSE-S3 のキーは S3 が管理（誤り）

SSE-S3 も保管時の暗号化ですが、キーは S3 が管理します。だれがキーを使えるかを、自社で決めることはできません。

なお、S3 では、2023年1月5日から、SSE-S3 が既定になりました。新しくアップロードされるオブジェクトは、何も設定しなくても、追加の費用なしで暗号化されます。

D：クライアント側はすべて自社で管理（正解）

クライアント側の暗号化では、図の右のように、暗号化してからアップロードします。自社でファイルを暗号化し、そのファイルを S3 に送ります。S3 には、暗号化された状態のファイルが届きます。

暗号化の仕組みとキーは、すべて自社で管理します。キーを使える人も、自社で決められます。

E：バージョニングは古い版を残す（誤り）

バージョニングを有効にすると、オブジェクトを上書きしたり削除したりしても、前の版が残ります。誤って上書きしたファイルや、消したファイルを、元に戻すための機能です。

暗号化ではなく、キーの管理とも関係がありません。

暗号化の方法とキーの管理者

保管時の暗号化には、サーバー側とクライアント側があります。キーをだれが管理するかで、方法を見分けます。

ポイント

• 保管時の暗号化は サーバー側（SSE-S3・SSE-KMS）と クライアント側
• キーを自社で管理するなら SSE-KMS（カスタマーマネージドキー） か クライアント側
• SSE-S3 は S3 がキーを管理（2023-01-05 から既定）
• HTTPS は 転送中 の保護

暗号化の考え方と AWS KMS のキーポリシー、S3 の暗号化は、講座の記事で詳しく解説しています。

• 講座の第10回③「暗号化と KMS・CloudHSM・ACM」の「AWS KMS」の節（連載の入口のページから）
• 講座の第05回④「Glacier とライフサイクル」の「S3 のセキュリティ」の節（連載の入口のページから）

講座の全14回は、連載の入口のページから順に読めます。

動画で見る

この回の内容を、YouTube の動画（約5分）でも解説しています。

連載の全回は、YouTube の再生リスト「CLF-C02 試験対策問題」にまとめています。

連載「CLF-C02 試験対策問題」

全回の目次と、読む順番・目的別の読み方は、CLF-C02 試験対策問題の入口のページにまとめています。

1. 第1問 初期費用をかけずに始めるコストの利点（従量課金・規模の経済）
2. 第2問 数分でグローバルに展開（世界同時公開と低い遅延）
3. 第3問 高可用性（EC2 の複数 AZ 配置と RDS マルチ AZ）
4. 第4問 クラウドの俊敏性（数分で作成・すぐに削除）
5. 第5問 責任共有モデル（EC2 へのリホストで AWS に任せられること）
6. 第6問 数時間だけのアクセスのピークに備える（EC2 Auto Scaling・オンデマンド）
7. 第7問 Well-Architected の6つの柱（信頼性・パフォーマンス効率）
8. 第8問 信頼性の柱の設計原則（自動で復旧・水平方向のスケール）
9. 第9問 持続可能性の柱の設計原則（使用率の最大化・マネージドサービス）
10. 第10問 AWS CAF の変革ジャーニーのフェーズ（構想・連携・ローンチ・スケール）
11. 第11問 AWS CAF のパースペクティブ（構成管理・パッチ管理はオペレーション）
12. 第12問 移行のビジネスケース（Migration Evaluator）
13. 第13問 AWS CAF のパースペクティブ（役割と組織の変化は人材）
14. 第14問 サーバーをそのまま EC2 に移す（AWS Transform MGN）
15. 第15問 ファイルの移行（AWS DataSync）
16. 第16問 移行戦略の7つの R（リパーチェス・SaaS への乗り換え）
17. 第17問 適切なサイズ設定（CPU は余り、メモリが不足）
18. 第18問 責任共有モデル（Lambda と RDS）
19. 第19問 最小権限の原則（IAM のポリシーと SCP）
20. 第20問 責任共有モデル（EC2 と S3、AWS の責任）
21. 第21問 共有統制の例（責任共有モデルの IT 統制）
22. 第22問 コンプライアンスの資料と契約（AWS Artifact）
23. 第23問 脅威の検出（Amazon GuardDuty）
24. 第24問 脆弱性の継続的なスキャン（Amazon Inspector）
25. 第25問 S3 の機密データの検出（Amazon Macie）
26. 第26問 S3 の保管時の暗号化とキーの管理（この記事）
27. 第27問 だれが操作したかを調べる（AWS CloudTrail）
28. 第28問 IAM ユーザーの認証情報の一覧（認証情報レポート）
29. 第29問 EC2 のアプリケーションに権限を与える（IAM ロール）
30. 第30問 データベースのパスワードの自動ローテーション（AWS Secrets Manager）
31. 第31問 社員に一時的な認証情報を発行するサービス（AWS STS）
32. 第32問 ルートユーザーでなければできない作業（アカウントの閉鎖・メールアドレスの変更）
33. 第33問 アプリの会員のサインインとソーシャルログイン（Amazon Cognito）
34. 第34問 同じ IP からの大量のリクエストを止める（AWS WAF のレートベースのルール）
35. 第35問 追加料金なしの DDoS 保護（AWS Shield Standard）
36. 第36問 他社のソフトウェアを AMI で使う（AWS Marketplace）
37. 第37問 インストールなしでブラウザから AWS CLI を使う（AWS CloudShell）
38. 第38問 同じ構成の環境をコードで何度でも作る（CloudFormation・CDK）
39. 第39問 工場の中で AWS のサービスを動かすには（AWS Outposts）
40. 第40問 世界の利用者の近くでキャッシュして配信（Amazon CloudFront）
41. 第41問 コードを上げるだけで Web アプリを動かすサービス（AWS Elastic Beanstalk）
42. 第42問 サーバーを管理せずにコンテナを動かす（AWS Fargate）
43. 第43問 URL のパスで振り分けるロードバランサー（Application Load Balancer）
44. 第44問 つながりを何段もたどるグラフデータベース（Amazon Neptune）
45. 第45問 RDS の自動フェイルオーバーと読み取りの分離（マルチ AZ・リードレプリカ）
46. 第46問 サーバーの管理なしにアクセスの増減に合わせるデータベース（Amazon DynamoDB）
47. 第47問 セキュリティグループの特徴（ステートフル・インスタンス単位）
48. 第48問 障害のときだけ別のリージョンへ DNS で切り替え（Route 53 のフェイルオーバールーティング）
49. 第49問 今あるインターネット回線で、すぐに暗号化してつなぐ（AWS Site-to-Site VPN）
50. 第50問 一部の管理者だけは解除できる削除の保護（S3 オブジェクトロックのガバナンスモード）
51. 第51問 めったに見ないがミリ秒で開く画像の保管（S3 Glacier Instant Retrieval）
52. 第52問 Windows のファイルサーバーを移す（Amazon FSx for Windows File Server）
53. 第53問 案内文を翻訳して音声で読み上げる（Amazon Translate と Amazon Polly）
54. 第54問 S3 のデータをカタログにして SQL で照会（AWS Glue と Amazon Athena）
55. 第55問 依頼をためて、受け付けた順に1回だけ処理（Amazon SQS の FIFO キュー）
56. 第56問 設備を買わずに電話とチャットの窓口を作る（Amazon Connect）
57. 第57問 EC2 と自社のサーバーに少しずつ配置し、失敗したら戻す（AWS CodeDeploy）
58. 第58問 アプリだけをブラウザに配信（WorkSpaces Applications・旧 AppStream 2.0）
59. 第59問 コア単位のライセンスを持ち込み、同じ物理サーバーで動かす（EC2 の専有ホスト）
60. 第60問 EC2・Fargate・Lambda と夜間のバッチのコスト削減（Compute Savings Plans・スポット）
61. 第61問 管理者も外せないリージョンの制限と、請求書の一本化（AWS Organizations の SCP）
62. 第62問 1つのアカウントの料金をプロジェクトごとに分ける（コスト配分タグ）
63. 第63問 料金のグラフと予算超えの通知（Cost Explorer・Budgets）
64. 第64問 アカウントを作る前に料金を見積もる（AWS Pricing Calculator）
65. 第65問 ベストプラクティスに合わない所を自動で見つける（AWS Trusted Advisor）
66. 第66問 AWS 側の保守の予定を前もって知る（AWS Health Dashboard）
67. 第67問 アクセスに合わせて台数を自動で増減する（Amazon EC2 Auto Scaling）
68. 第68問 パフォーマンス効率の柱の設計原則（高度なテクノロジー・グローバル展開）
69. 第69問 移行戦略の7つの R（リタイア・使われていないアプリを停止）
70. 第70問 AWS CAF のパースペクティブ（支出とデータの統制はガバナンス）
71. 第71問 ライセンスを持たずに SQL Server を使う（RDS のライセンス込み）
72. 第72問 EC2 と自社のサーバーのパッチを自動で当てる（AWS Systems Manager Patch Manager）
73. 第73問 障害の教訓を共有し、運用の手順を見直す（運用上の優秀性の設計原則）
74. 第74問 設定の履歴を記録し、社内ルールに合わないリソースを「非準拠」にする（AWS Config）
75. 第75問 S3 へのアップロードごとに短い処理をサーバーレスで動かす（AWS Lambda）
76. 第76問 12のアカウントと SaaS に1回でサインイン（AWS IAM Identity Center）
77. 第77問 インターネットを通らずに、帯域とレイテンシーを安定させる（AWS Direct Connect）
78. 第78問 途中でファミリーを変え、前払いできない RI の選び方（コンバーティブル・前払いなし）
79. 第79問 セキュリティの検出結果を集めて設定もチェック（AWS Security Hub CSPM）
80. 第80問 AWS CAF のパースペクティブ（イノベーションとデータの収益化はビジネス）
81. 第81問 特定の IP アドレスの範囲を、サブネットの入り口で拒否する（ネットワーク ACL）
82. 第82問 組織の外と共有・一般に公開されているリソースを一覧にする（IAM Access Analyzer）
83. 第83問 複数の AZ の EC2 から NFS で同じファイルを共有する（Amazon EFS）
84. 第84問 ルートユーザーの守り方と日常の作業（MFA・IAM Identity Center）
85. 第85問 一括請求の料金の利点（ボリューム料金の階層・リザーブドインスタンスの割引の共有）
86. 第86問 数ペタバイトの販売データをまとめて毎日集計する（Amazon Redshift）
87. 第87問 OS のパッチを自社で当てなくてよい移行先（Amazon RDS・AWS Lambda）
88. 第88問 移行戦略の7つの R（リプラットフォーム・VM をコンテナにして ECS と Fargate へ）
89. 第89問 GPU の学習と CPU のバッチ処理に合うインスタンスファミリー（高速コンピューティング・コンピューティング最適化）
90. 第90問 アプリのエラーの件数と CPU 使用率をしきい値で見張り、E メールで知らせる（Amazon CloudWatch）
91. 第91問 1回の発行で SQS・Lambda・E メールに届ける（Amazon SNS のトピック）
92. 第92問 部署の人の権限を追加料金なしでまとめて管理（IAM ユーザーグループ）
93. 第93問 最も詳しいコストのデータを S3 へ（AWS Data Exports の CUR 2.0）
94. 第94問 視聴履歴とクリックから利用者ごとの動画のおすすめ（Amazon Personalize）
95. 第95問 攻撃中の専門チームの支援と DDoS のコスト保護（AWS Shield Advanced）
96. 第96問 AWS CAF のトランスフォーメーションの分野（業務のデジタル化はプロセス）
97. 第97問 パブリックとプライベートのサブネットに必要な部品（インターネットゲートウェイ・NAT ゲートウェイ）
98. 第98問 SSH・コンソール・CLI の認証情報の使い分け（キーペアとアクセスキー）
99. 第99問 よくある質問の解決の記事を読む（AWS re:Post のナレッジセンター）
100. 第100問 設定値を階層でまとめて追加料金なしで保管（Parameter Store）

どちらも、コンテナーのサービスを初めて読んだ人から出やすい質問です。答えは、1つ目は 「コンテナーは OS を共有するので軽い。ECR は置く、ECS・EKS は管理する、EC2・Fargate は動かす、と役割で分けて覚える」、2つ目は 「Elastic Beanstalk はコードを渡すと環境を用意するサービス、Lightsail は手軽な月額の仮想サーバーなどをまとめて提供するサービス」 です。この記事では、その根拠を順に見ていきます。

この記事は、AWS クラウドプラクティショナー試験対策講座（AWS Certified Cloud Practitioner、試験コード CLF-C02。以下 CLF）の第04回⑤です。試験ガイドのタスク 3.3（コンピューティングサービス）のうち、コンテナーと、EC2・Lambda 以外の選択肢を扱います。なお、この連載は AWS の公式の資料ではありません。試験の情報は2026年10月26日時点のもので、変わることがあるので、受験の前に AWS の公式ページで確かめてください。

コンテナーとは ○

第04回④までは、仮想サーバーを借りる EC2 と、サーバーの管理を任せる Lambda を見てきました。ここからは、アプリケーションの動かし方を、用途に合わせて選ぶ話に進みます。まず、コンテナーという考え方です。

コンテナーは、アプリケーションと、それを動かすのに要る部品や設定を、ひとまとめにした箱です。コンテナーのひな形を 「コンテナーイメージ」（以下、イメージ）と呼びます。同じイメージなら、どこで動かしても同じように動くのが特徴で、同じコンテナーを複数起動することもできます。

仮想サーバーは1台ごとに OS を持ちますが、コンテナーは1つの OS を共有して動くので、軽く、すばやく起動できます。たとえば、ある EC サイトの会社が作った注文のアプリを、同じ形のまま何個も動かせます。コンテナーを動かすためのサービスは、次の節から順に見ていきます。

• アプリと必要なものを箱にまとめる
• 仮想サーバーより軽く起動する
• ひな形はコンテナーイメージ

コンテナーを動かす3つの役割

コンテナーを動かすには、3つの役割が要ります。

1. 置く：イメージを置く場所です。開発者がイメージを置き、必要なときに取り出せるようにします。AWS では Amazon ECR がこれを担います
2. 管理する：どこで何個のコンテナーを動かすかを管理する役で、Amazon ECS か Amazon EKS が担います
3. 動かす：コンテナーを実際に動かす場所で、EC2 のサーバーか AWS Fargate を選びます。動かす場所は、ECR からイメージを取り出してコンテナーを起動します

この3つを分けて覚えると、次の節からのサービスの区別がしやすくなります。

• 置く：イメージの保管は ECR
• 管理する：ECS か EKS
• 動かす：EC2 か Fargate

冒頭の1つ目の相談に、この3役で答えられます。ECR・ECS・EKS・Fargate（と EC2）は、同じ役割のサービスではありません。「置く」「管理する」「動かす」のどの役割かで区別します。

もっと詳しく知りたい人向けに、連載「クラウド入門」の第4回「コンピューティング 後編」の「コンテナ：ECS・EKS・Fargate・ECR」の節で、ECS のタスク定義や、Fargate と EC2 の選び方など、試験の範囲を超えた内容を扱っています。

Amazon ECR ○

Amazon ECR（Amazon Elastic Container Registry）は、3つの役割のうち「置く」役のサービスです。

• 何をするか：コンテナーイメージを保管して、必要なときに配る置き場所（レジストリ）
• 正式名：Amazon Elastic Container Registry
• 何をしないか：コンテナーを動かすことはしない。動かすのは、ECS・EKS が管理する動かす場所
• だれが使うか：開発者がイメージを置き、動かす場所がそこから取り出す
• 守り方：置き場所ごとに、使える人を AWS Identity and Access Management（IAM）で決められる（第10回⑤（IAM と最小権限））
• 覚え方：コンテナーの「置く」役

補足：レジストリとは、イメージを保管して配る場所のことです。ECR は AWS が運用を引き受けるマネージドサービスです。

出典：Amazon ECR とは

Amazon ECS と Amazon EKS ○

「管理する」役のサービスは2つあります。

補足：オーケストレーションとは、多数のコンテナーの配置・起動・停止をまとめて管理することで、ECS と EKS はどちらもこれを担います。Kubernetes は、コンテナーを管理する、広く使われているオープンソースのソフトウェアです。

2つの違いは「仕組み」と「向く場面」の行です。AWS が作った管理の仕組みに沿って管理したいなら ECS、すでに Kubernetes を使っているなら、その知識を生かせる EKS、というのが見分けの目安です。

出典：Amazon ECS とは、Amazon EKS とは

AWS Fargate ○

「動かす」役の選択肢のひとつが AWS Fargate で、コンテナー向けのサーバーレスの実行環境です。

EC2 で動かす場合は、コンテナーを載せるサーバーの用意や OS の更新を、お客様が行います。Fargate で動かす場合は、そのサーバーの管理を AWS が引き受けるので、お客様はコンテナーの設定に集中できます。

Fargate は、ECS と EKS の両方で使えます。ECS や EKS の代わりではなく、それらが管理するコンテナーを動かす場所として組み合わせます。試験ガイドの対象のサービス一覧では、AWS Lambda とともに「サーバーレス」に入っています。

• コンテナーを動かす場所のひとつ
• ECS・EKS の両方で使える
• ECS・EKS の代わりではない

図の下の部分は、第04回④の「サーバーレスとは」の節の図と同じ段の名前・同じ色の決まりです。EC2 で動かす場合は OS からお客様が扱い、Fargate では OS が AWS 側の紺になります。Fargate は、ECS・EKS と並べる選択肢ではなく、それらが管理するコンテナーを動かす場所として、図でも下に置かれています。

AWS Elastic Beanstalk ○

ここからは、コンテナーに限らない、手軽に使えるサービスです。

AWS Elastic Beanstalk は、Web アプリケーションのコードを渡すと、それを動かすのに要る環境を AWS が代わりに用意するサービスです。たとえば、EC2 のサーバー、ELB のロードバランサー、Auto Scaling グループなどを、利用者が一つずつ組み立てなくて済みます。

作られたリソースは利用者の AWS アカウントの中にあり、設定を変えることもできます。そのため、サーバーレスではありません。Elastic Beanstalk 自体に追加の料金はなく、使った AWS のリソース（EC2 など）の分だけ料金がかかります（2026年10月26日時点）。

出典：AWS Elastic Beanstalk とは

• コードを渡すと環境を用意してくれる
• サーバーなどのリソースは利用者のアカウントにある
• サーバーレスではない

Amazon Lightsail ○

Amazon Lightsail は、仮想サーバーなどを手軽に使えるようにしたサービスです。

• 何か：仮想サーバー、ストレージ、データベースなどをひとまとまりにして提供する、手軽なサービス
• 料金：月ごとに決まったプランの料金（月額）で、費用が読みやすい（2026年10月26日時点）
• 向く場面：小さな Web サイトやブログ、キャンペーンのサイトなど、シンプルなもの
• EC2 との違い：EC2 の別名ではない。選ぶ項目を絞り、始めやすくしたサービス
• 成長したとき：大きくなったら、EC2 などほかの AWS のサービスへ広げることもできる
• 見分け方：「手軽に」「月額」「小さな Web サイト」が手がかり

補足：Amazon Lightsail の料金プランの中身は、仮想サーバーの大きさなどで変わります。料金の考え方の全体は、第13回①の「従量課金と料金の決まり方」の節と第13回③の「サービスごとの料金の決まり方」の節で扱います。

冒頭の2つ目の相談に答えます。Elastic Beanstalk は「コードを渡すと、EC2・ELB・Auto Scaling グループなどの環境を用意してくれる」サービスで、作られたリソースは利用者のアカウントにあり、設定も変えられます。Lightsail は「仮想サーバー、ストレージ、データベースなどをひとまとまりにして、月額で提供する」サービスで、小さな Web サイトなどシンプルなものに向きます。「コードを渡す」なら Beanstalk、「手軽に、月額で」なら Lightsail が手がかりです。

出典：Amazon Lightsail

AWS Batch ○

AWS Batch は、大量の計算の仕事（ジョブ）をまとめて実行するサービスです。バッチ処理とは、ためておいた仕事をまとめて処理することをいいます。たとえば、ある EC サイトの会社が、夜にその日の売上をまとめて集計する仕事が当てはまります。

仕事の量に応じて、計算に使うリソース（EC2 や Fargate など）を AWS Batch が用意し、順番に、または並べて実行します。利用者は、バッチ処理を回す仕組みを自分で用意して運用しなくて済みます。AWS Batch 自体に追加の料金はなく、使った計算のリソースの分だけ料金がかかります（2026年10月26日時点）。

• バッチ処理は、ためた仕事をまとめて処理
• 計算のリソースの用意は AWS Batch が代行
• 大量の計算の仕事に向く

出典：AWS Batch とは、AWS Batch の料金（英語）

考えてみよう

1. 冒頭の1つ目の相談に、ECR・ECS・EKS・Fargate を「置く」「管理する」「動かす」の言葉を使って、友人に説明してみてください。コンテナーが仮想サーバーより軽い理由も添えてください
2. Fargate は ECS や EKS の代わりになるでしょうか。「ECS と EKS の両方で使える」「動かす場所」の言葉を使って説明してみてください
3. 冒頭の2つ目の相談に答えてみてください。Elastic Beanstalk・Lightsail・AWS Batch は、それぞれどんな場面で使うか、「コードを渡す」「月額」「夜にまとめて集計」の言葉を使って説明してください

ヒント：1 は「コンテナーとは」と「コンテナーを動かす3つの役割」の節、2 は「AWS Fargate」の節、3 は「AWS Elastic Beanstalk」「Amazon Lightsail」「AWS Batch」の節を見直してください。

まとめ

• コンテナーは、アプリケーションと、動かすのに要る部品や設定をひとまとめにした箱。ひな形はコンテナーイメージ。仮想サーバーは1台ごとに OS を持つが、コンテナーは1つの OS を共有するので、軽く、すばやく起動できる
• コンテナーを動かす3つの役割は、置く（Amazon ECR）、管理する（Amazon ECS か Amazon EKS）、動かす（EC2 か AWS Fargate）
• ECR はイメージを保管して配る置き場所（レジストリ）で、コンテナーは動かさない
• ECS は AWS が作った管理の仕組み、EKS は Kubernetes を使う。どちらもオーケストレーション（多数のコンテナーの配置・起動・停止をまとめて管理すること）を担う
• Fargate はコンテナー向けのサーバーレスの実行環境で、ECS と EKS の両方で使える。ECS・EKS の代わりではなく、動かす場所のひとつ
• Elastic Beanstalk はコードを渡すと環境を用意する（サーバーレスではない）。Lightsail は手軽な月額のサービスで、小さな Web サイトに向く。Batch は大量の計算の仕事をまとめて実行する。Beanstalk と Batch 自体に追加の料金はなく、使ったリソースの分だけかかる（2026年10月26日時点）

次は、第04回⑥で、この回のまとめとして、サービスの見分け方と、この回の要点、参考資料、次の回の予告を扱います。

連載「AWS クラウドプラクティショナー試験対策講座」

全回の目次と、読む順番・目的別の読み方は、AWS クラウドプラクティショナー試験対策講座の入口のページにまとめています。

1. 第01回① CLF はどんな資格か（AWS 認定のレベル・CLF の位置づけ・誰向けか・問われること／問われないこと・身につくもの）
2. 第01回② 試験の形式と合格基準（試験の基本情報・2種類の設問・採点される50問・換算スコアと合格点・補整型・結果・受験の流れ・再受験と有効期間）
3. 第01回③ 出題の範囲と配点（4つの分野と配点・試験ガイドの組み立て・分野ごとのタスク・配点と学ぶ量・対象外のサービス）
4. 第01回④ 講座の進め方と学び方（全14回の地図・深さの印・学び方の輪・公式の学習リソース・AWS を触るときの注意・問題文の読み方・早見表）
5. 第02回① クラウドとは（3つの特徴・オンプレミスとの違い・使い始めるまでの速さ・IaaS／PaaS／SaaS・デプロイモデルと選び方）
6. 第02回② AWS クラウドの利点（価値提案・6つのメリット・高可用性・伸縮性・俊敏性・例で見分ける）
7. 第02回③ クラウドエコノミクス（固定費と変動費・オンプレミスのコスト・総保有コスト・規模の経済・適切なサイジング・BYOL・オートメーション）
8. 第02回④ 第02回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
9. 第03回① サービスの全体像（この回のねらい・この講座について・前の回の振り返り・サービスの集まり・カテゴリ・カテゴリと講座の回）
10. 第03回② グローバルインフラ（リージョン・AZ・エッジロケーション・3つの関係と比較・Local Zones・Outposts）
11. 第03回③ 高可用性と複数リージョン（単一障害点・複数 AZ・サービスごとの AZ・複数リージョンの理由・リージョンの選び方）
12. 第03回④ AWS へのアクセス方法（API・コンソール・CLI・SDK・IaC・CloudFormation・1回限りと繰り返す作業）
13. 第03回⑤ 第03回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
14. 第04回① サーバーと仮想マシン（この回のねらい・この講座について・前の回の振り返り・コンピューティングとサーバー・仮想マシン・コンピューティングの全体像）
15. 第04回② Amazon EC2（EC2 とは・ユースケース・お客様が扱う範囲・インスタンスタイプ・ファミリーと選び方・起動するときに選ぶもの）
16. 第04回③ ELB と Auto Scaling（1台のサーバーの限界・垂直と水平のスケーリング・ロードバランサーの目的・ELB とその種類・Auto Scaling・組み合わせ）
17. 第04回④ サーバーレス（サーバーレスとは・AWS Lambda とその特徴・ユースケース・Amazon API Gateway・EC2 と Lambda の違い）
18. 第04回⑤ コンテナーとほかの選択肢（コンテナーとは・3つの役割・ECR・ECS と EKS・Fargate・Elastic Beanstalk・Lightsail・Batch）（この記事）
19. 第04回⑥ 第04回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
20. 第05回① ストレージの種類（この回のねらい・この講座について・前の回の振り返り・ストレージとは・ブロック・ファイル・オブジェクト・3つの種類の比べ方・AWS のストレージの地図）
21. 第05回② EBS とインスタンスストア（Amazon EBS・AZ の中でのレプリケート・スナップショット・EBS の暗号化・インスタンスストア・2つの違い）
22. 第05回③ Amazon S3 とストレージクラス（S3 とは・S3 の特徴・ユースケース・ストレージクラスの考え方・ストレージクラスの一覧）
23. 第05回④ Glacier とライフサイクル（S3 Glacier のクラス・クラスの選び方・ライフサイクルポリシー・ライフサイクルのユースケース・S3 のセキュリティ）
24. 第05回⑤ ファイルとハイブリッド（Amazon EFS・Amazon FSx・ハイブリッドクラウドとストレージ・AWS Storage Gateway・Storage Gateway の種類）
25. 第05回⑥ バックアップと災害対策（バックアップと災害対策の違い・AWS Backup・ユースケース・AWS Elastic Disaster Recovery・データを守る仕組みの重ね方）
26. 第05回⑦ 第05回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
27. 第06回① ネットワークの基本（この回のねらい・この講座について・前の回の振り返り・IP アドレスとネットワークの範囲・ルーティングとゲートウェイ・ポートとプロトコル・この回のサービスの地図）
28. 第06回② VPC とサブネット（Amazon VPC とは・サブネット・パブリックサブネットとプライベートサブネット・インターネットゲートウェイ・NAT ゲートウェイ・ルートテーブル）
29. 第06回③ セキュリティグループとネットワーク ACL（セキュリティグループ・ネットワーク ACL・2つの違い・VPC フローログ・VPC の全体を見る）
30. 第06回④ VPC の外とつなぐ（つなぐ先は3つ・AWS Transit Gateway・AWS PrivateLink・オンプレミスとつなぐ方法）
31. 第06回⑤ VPN と Direct Connect（AWS Site-to-Site VPN・AWS Client VPN・AWS Direct Connect・VPN と Direct Connect の比べ方）
32. 第06回⑥ DNS と Route 53（DNS とドメイン名・Amazon Route 53・Route 53 のルーティングの方法）
33. 第06回⑦ CloudFront と Global Accelerator（エッジロケーションとキャッシュ・Amazon CloudFront・CloudFront の使いどころ・AWS Global Accelerator・CloudFront と Global Accelerator の違い）
34. 第06回⑧ 第06回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
35. 第07回① データベースとは（この回のねらい・この講座について・前の回の振り返り・データベースとは・テーブル・行・列・SQL とは）
36. 第07回② データベースの種類（リレーショナルデータベース・NoSQL データベース・インメモリデータベース・3つの種類の比べ方・EC サイトで使い分けると）
37. 第07回③ 自分で運用か任せるか（データベースを動かすのに要る作業・EC2 上のデータベース・マネージドデータベース・作業の分担の比べ方・使い分けの考え方）
38. 第07回④ RDS とマルチ AZ 配置（Amazon RDS とは・RDS で選べるエンジン・RDS で AWS が引き受けること・マルチ AZ 配置・フェイルオーバー）
39. 第07回⑤ リードレプリカと Aurora（リードレプリカ・マルチ AZ 配置とリードレプリカの違い・Amazon Aurora・RDS と Aurora の関係）
40. 第07回⑥ Amazon DynamoDB（DynamoDB とは・DynamoDB の特長・DynamoDB のテーブル・DynamoDB と RDS の違い）
41. 第07回⑦ ElastiCache・DocumentDB・Neptune（Amazon ElastiCache・キャッシュの置き方・Amazon DocumentDB・Amazon Neptune・ほかの回で扱う DB の話題）
42. 第07回⑧ 第07回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
43. 第08回① 疎結合とつなぎ方の言葉（この回のねらい・この講座について・前の回の振り返り・疎結合とは・つなぎ方の言葉）
44. 第08回② SQS と SNS（Amazon SQS の仕組み・SQS の使いどころ・Amazon SNS の仕組み・SNS の使いどころ）
45. 第08回③ EventBridge と Step Functions（Amazon EventBridge の仕組み・EventBridge の使いどころ・AWS Step Functions の仕組み・Step Functions の使いどころ・SNS・SQS・EventBridge の使い分け・メッセージと通知のサービスを選ぶ）
46. 第08回④ AI と機械学習のサービス（AI と機械学習の言葉・AI/ML のサービスの全体像・画像・文書・文章のサービス・音声と会話のサービス・生成 AI のサービス）
47. 第08回⑤ データ分析のサービス（データ分析の流れ・集める・加工するサービス・分析・見える化のサービス・Athena・Redshift・EMR の違い）
48. 第08回⑥ 業務と開発のサービス（ビジネスアプリケーション・エンドユーザーコンピューティング・開発者ツール・CI/CD の流れ・フロントエンドと IoT）
49. 第08回⑦ 第08回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
50. 第09回① 監視の基本と CloudWatch（この回のねらい・この講座について・前の回の振り返り・3つの困りごとと3つのサービス・Amazon CloudWatch・CloudWatch のアラーム・CloudWatch Logs と標準で取れないもの）
51. 第09回② AWS CloudTrail（AWS CloudTrail・CloudTrail の記録の残し方・CloudTrail の使いどころ）
52. 第09回③ AWS Config と3つの使い分け（AWS Config・Config ルールと準拠の確認・CloudTrail と Config の違い・3つの使い分け・3つを組み合わせる流れ）
53. 第09回④ Trusted Advisor と AWS Health（AWS Trusted Advisor・Trusted Advisor のチェックのカテゴリ・サポートプランと使えるチェック・AWS Health Dashboard・AWS Health API・Trusted Advisor・Health・CloudWatch の違い）
54. 第09回⑤ 運用管理の道具（AWS Systems Manager・AWS Compute Optimizer・Service Quotas と License Manager・運用管理の使い分け）
55. 第09回⑥ Organizations と SCP（なぜアカウントを分けるのか・AWS Organizations・Organizations でできること・サービスコントロールポリシー（SCP）・SCP と IAM の関係）
56. 第09回⑦ Control Tower・Service Catalog・RAM（AWS Control Tower・AWS Service Catalog・AWS RAM）
57. 第09回⑧ 第09回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
58. 第10回① クラウドで守る利点と責任共有モデル（この回のねらい・この講座について・前の回の振り返り・クラウドで守る利点・責任共有モデルとは）
59. 第10回② 責任の分かれ方（AWS の責任（クラウドのセキュリティ）・お客様の責任（クラウド内のセキュリティ）・共有する管理・サービスで変わる責任）
60. 第10回③ 暗号化と KMS・CloudHSM・ACM（転送時と保管時の暗号化・AWS KMS・AWS CloudHSM・AWS Certificate Manager（ACM））
61. 第10回④ AWS アカウントとルートユーザー（AWS アカウントとルートユーザー・ルートユーザーだけができる作業・ルートユーザーの守り方）
62. 第10回⑤ IAM と最小権限（IAM の全体像・IAM ユーザーとグループ・IAM ロール・ポリシーの種類・最小権限の原則とアクセスレポート）
63. 第10回⑥ MFA・フェデレーション・認証情報の保管（パスワード・MFA・アクセスキー・クロスアカウントの IAM ロール・フェデレーションと IAM アイデンティティセンター・Directory Service と Cognito・認証情報の保管）
64. 第10回⑦ Shield・WAF・Firewall Manager（守りの層・AWS Shield・AWS WAF・AWS Firewall Manager・Shield・WAF・Firewall Manager の使い分け）
65. 第10回⑧ 検出と調査のサービス（Amazon GuardDuty・Amazon Inspector・Amazon Macie・Amazon Detective・AWS Security Hub・検出と調査の使い分け）
66. 第10回⑨ コンプライアンスと情報源（コンプライアンスの考え方・第三者認証と地域・業界・AWS Artifact・監査に使うログ・AWS Marketplace のセキュリティ製品・セキュリティ情報の入手先）
67. 第10回⑩ 第10回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
68. 第11回① Well-Architected フレームワークと6つの柱（この回のねらい・この講座について・前の回の振り返り・この回の役割・Well-Architected フレームワークとは・6つの柱の全体像）
69. 第11回② 柱の問いと Well-Architected Tool（柱が答える問い・一般的な設計原則・柱どうしのトレードオフ・Well-Architected Tool）
70. 第11回③ 6つの柱（運用上の優秀性・セキュリティ・信頼性・パフォーマンス効率・コスト最適化・持続可能性・柱と回の対応）
71. 第11回④ 柱どうしの見分け方（信頼性とパフォーマンス効率・コスト最適化と持続可能性・運用上の優秀性と信頼性・セキュリティの柱と第10回）
72. 第11回⑤ 問題文と事例で柱を選ぶ（問題文の言葉から柱を選ぶ・ある EC サイトの会社の構成・柱の目で見直す）
73. 第11回⑥ 故障に備えた設計と疎結合（4つの原則の全体像・故障に備えた設計・コンポーネントの分離（疎結合））
74. 第11回⑦ 伸縮性・並列化と4つの原則（伸縮性の活用・並列化を考慮する・4つの原則と柱）
75. 第11回⑧ 第11回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
76. 第12回① 移行とは何か（この回のねらい・この講座について・前の回の振り返り・移行とは何か・この回の例の会社）
77. 第12回② 移行の流れと利点（移行の大まかな流れ・移行の利点・移行を支えるリソース）
78. 第12回③ AWS CAF の6つの観点（AWS CAF とは・6つの観点・ビジネス寄りの3つの観点・技術寄りの3つの観点・期待できる成果・CAF と Well-Architected の違い）
79. 第12回④ 7つの R と移し方（7つの R とは・そのまま移す：リホストとリロケート・少し手を加える：リプラットフォーム・作り直す：リファクタリング（リアーキテクト）・4つの R を並べて見分ける）
80. 第12回⑤ 買い替える・移さない戦略（買い替える：リパーチェス・移さない：リテインとリタイア・例の会社に当てはめる）
81. 第12回⑥ 評価のサービスと AWS MGN（移行のサービスの地図・費用を見積もる：Migration Evaluator・環境を調べる：Application Discovery Service・進み具合を1か所で見る：Migration Hub・サーバーを移す：AWS MGN）
82. 第12回⑦ データベースの移行：DMS と SCT（データベースの移行とは・AWS DMS・止めずに移す：データベースのレプリケーション・設計を変換する：AWS SCT・DMS と SCT の組み合わせ）
83. 第12回⑧ Snow ファミリーと例の会社の移行（大容量データを運ぶ：Snow ファミリー・例の会社の移行を通して見る）
84. 第12回⑨ 第12回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
85. 第13回① 従量課金と料金の決まり方（この回のねらい・この講座について・前の回の振り返り・従量課金と料金の決まり方）
86. 第13回② データ転送とストレージの料金（データ転送：受信と送信・データ転送：リージョン内とリージョン間・ストレージの料金）
87. 第13回③ サービスごとの料金と無料利用枠（安いクラスを選ぶときの注意・サービスごとの料金の決まり方・AWS 無料利用枠）
88. 第13回④ オンデマンドとリザーブドインスタンス（購入オプションの全体像・オンデマンドインスタンス・リザーブドインスタンス（RI）・RI の柔軟性・Organizations での割引の共有）
89. 第13回⑤ Savings Plans・スポットと使い分け（Savings Plans・RI と Savings Plans の違い・スポットインスタンス・専有ホストとハードウェア専有インスタンス・キャパシティーの予約・購入オプションの使い分け）
90. 第13回⑥ 見積り・予算・分析の道具（コスト管理の道具の全体像・AWS 料金見積りツール・AWS Budgets・AWS Cost Explorer・AWS Cost and Usage Report）
91. 第13回⑦ タグ・一括請求とコスト改善（コスト配分タグ・AWS Organizations の一括請求・請求と料金の情報・コスト改善の考え方）
92. 第13回⑧ 困ったときの窓口とサポートプラン（困ったときの窓口の全体像・サポートプランの比較・サポートプランと Trusted Advisor のチェック・AWS サポートセンター）
93. 第13回⑨ Trust & Safety・パートナー・Marketplace（AWS Trust & Safety チーム・技術リソース・AWS パートナーネットワーク（APN）・AWS Marketplace・技術支援）
94. 第13回⑩ 第13回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
95. 第14回① 見分け方の表と分野 1（この回のねらい・この講座について・前の回の振り返り・見分け方の表の読み方・分野 1 ①：クラウドの性質と費用・分野 1 ②：設計と移行の考え方）
96. 第14回② 分野 2 の見分け方（分野 2 ①：責任共有モデル・分野 2 ②：アクセスと鍵の管理・分野 2 ③：攻撃からの守りと検出・分野 2 ④：記録・監査・統制）
97. 第14回③ 分野 3 の見分け方（分野 3 ①：インフラと処理の場所・分野 3 ②：ストレージ・データベース・移行・分野 3 ③：ネットワーク・分野 3 ④：連携・分析・AI）
98. 第14回④ 分野 4 の見分け方と5つの問い（分野 4 ①：料金と購入オプション・分野 4 ②：コスト管理とサポート・見分けの5つの問い）
99. 第14回⑤ 条件の言葉と主語（基本から一歩進める・条件の言葉①：運用と費用・条件の言葉②：可用性と性能・条件の言葉③：守りと統制・主語を見る：AWS かお客様か）
100. 第14回⑥ 似た言葉と問題文を読む順（似た言葉の取り違え・名前が似ているサービス・時間の配分と見直し・問題文を読む順）
101. 第14回⑦ 受験の申し込みと本人確認（申し込みから結果までの流れ・テストセンターとオンライン・申し込みの手順・本人確認と身分証明書・持ち物と持ち込めないもの）
102. 第14回⑧ オンライン受験の環境と当日（オンライン受験の環境・予約の変更と取り消し・当日の流れと遅刻・試験の後）
103. 第14回⑨ 第14回のまとめ（各回の見分け方の一覧・この回の要点・全14回を終えたら・参考資料）

AWS Certified Cloud Practitioner（試験コード CLF-C02。以下 CLF）では、S3 のファイルの中身から機密データを見つけるサービスを、脅威・脆弱性・原因の調査のサービスと見分ける問題が問われます。「ファイルの中身を調べる」のか、「動きやログを見る」のかが分かれ目です。

この記事は、CLF の練習問題を1問ずつ解説する連載の第25問です。問題は筆者が試験の範囲に合わせて作ったもので、実際の試験の問題ではありません。まず自分で答えを選んでから、解説を読んでください。

▶ この回の内容は、YouTube の動画（約4分）でも見られます（記事の最後にも埋め込んであります）。

問題

ある企業は、複数の Amazon S3 バケットに、顧客から受け取った申込書のファイルを保存しています。ファイルの中に、氏名や住所、パスポート番号などの個人情報を含むものがどれだけあるかを、毎日自動で調べて一覧にしたいと考えています。どの AWS サービスを使いますか。

• A. Amazon Macie
• B. Amazon Detective
• C. Amazon GuardDuty
• D. Amazon Inspector

答えを決めたら、下を開いてください。

正解は A

正解は A です。

• Amazon Macie は、S3 に保存したデータの中から、個人情報などの機密データを見つけるサービス

ここから、選択肢を1つずつ見ていきます。

選択肢ごとの解説

A：Macie は S3 の機密データを検出（正解）

Amazon Macie は、機械学習とパターンマッチングで、S3 の中の機密データを見つける、データセキュリティサービスです。自動機密データ検出を有効にすると、毎日バケットを評価し、ファイルを選んで中を調べます。

パスポート番号やクレジットカード番号などは、Macie が用意した、マネージドデータ識別子で見つけられます。見つけたものは、図の右のように、検出結果として一覧になります。

B：Detective は原因の調査（誤り）

Amazon Detective は、セキュリティの検出結果の、原因を調査するサービスです。図の中央のように、CloudTrail や VPC フローログ、GuardDuty の検出結果を材料に、行動グラフを作ります。それを使って、何が起きたかをさかのぼって調べます。

ファイルの中の個人情報を見つけるものでは、ありません。

C：GuardDuty は怪しい動き（誤り）

Amazon GuardDuty は、アカウントの中の怪しい動き、つまり脅威を検出するサービスです。S3 への怪しいアクセスは、見つけることができます。ただし、ファイルの中に個人情報があるかどうかは、調べません。

アクセスのしかたを見るのが GuardDuty、ファイルの中身を見るのが Macie です。

D：Inspector は脆弱性を探す（誤り）

Amazon Inspector は、ソフトウェアの弱点、つまり脆弱性をスキャンするサービスです。図の中央のように、EC2 インスタンス、コンテナイメージ、Lambda 関数が対象です。

S3 に保存したデータの中身は、調べません。

見つけるもので選ぶ

S3 の中の機密データ（たとえば個人情報）は Macie、怪しい動き（脅威）は GuardDuty、ソフトウェアの弱点（脆弱性）は Inspector、検出結果の原因の調査は Detective です。試験では、機密データ・脅威・脆弱性・調査という言葉で見分けます。

ポイント

• S3 の中の個人情報（機密データ）を見つける ＝ Amazon Macie
• 自動機密データ検出は、毎日 バケットを評価し、ファイルの中を調べる
• 脅威 ＝ GuardDuty、脆弱性 ＝ Inspector、原因の調査 ＝ Detective

Macie・GuardDuty・Inspector・Detective の役割と使い分けは、講座の記事で詳しく解説しています。

• 講座の第10回⑧「検出と調査のサービス」（連載の入口のページから）

講座の全14回は、連載の入口のページから順に読めます。

動画で見る

この回の内容を、YouTube の動画（約4分）でも解説しています。

連載の全回は、YouTube の再生リスト「CLF-C02 試験対策問題」にまとめています。

連載「CLF-C02 試験対策問題」

全回の目次と、読む順番・目的別の読み方は、CLF-C02 試験対策問題の入口のページにまとめています。

1. 第1問 初期費用をかけずに始めるコストの利点（従量課金・規模の経済）
2. 第2問 数分でグローバルに展開（世界同時公開と低い遅延）
3. 第3問 高可用性（EC2 の複数 AZ 配置と RDS マルチ AZ）
4. 第4問 クラウドの俊敏性（数分で作成・すぐに削除）
5. 第5問 責任共有モデル（EC2 へのリホストで AWS に任せられること）
6. 第6問 数時間だけのアクセスのピークに備える（EC2 Auto Scaling・オンデマンド）
7. 第7問 Well-Architected の6つの柱（信頼性・パフォーマンス効率）
8. 第8問 信頼性の柱の設計原則（自動で復旧・水平方向のスケール）
9. 第9問 持続可能性の柱の設計原則（使用率の最大化・マネージドサービス）
10. 第10問 AWS CAF の変革ジャーニーのフェーズ（構想・連携・ローンチ・スケール）
11. 第11問 AWS CAF のパースペクティブ（構成管理・パッチ管理はオペレーション）
12. 第12問 移行のビジネスケース（Migration Evaluator）
13. 第13問 AWS CAF のパースペクティブ（役割と組織の変化は人材）
14. 第14問 サーバーをそのまま EC2 に移す（AWS Transform MGN）
15. 第15問 ファイルの移行（AWS DataSync）
16. 第16問 移行戦略の7つの R（リパーチェス・SaaS への乗り換え）
17. 第17問 適切なサイズ設定（CPU は余り、メモリが不足）
18. 第18問 責任共有モデル（Lambda と RDS）
19. 第19問 最小権限の原則（IAM のポリシーと SCP）
20. 第20問 責任共有モデル（EC2 と S3、AWS の責任）
21. 第21問 共有統制の例（責任共有モデルの IT 統制）
22. 第22問 コンプライアンスの資料と契約（AWS Artifact）
23. 第23問 脅威の検出（Amazon GuardDuty）
24. 第24問 脆弱性の継続的なスキャン（Amazon Inspector）
25. 第25問 S3 の機密データの検出（Amazon Macie）（この記事）
26. 第26問 S3 の保管時の暗号化とキーの管理
27. 第27問 だれが操作したかを調べる（AWS CloudTrail）
28. 第28問 IAM ユーザーの認証情報の一覧（認証情報レポート）
29. 第29問 EC2 のアプリケーションに権限を与える（IAM ロール）
30. 第30問 データベースのパスワードの自動ローテーション（AWS Secrets Manager）
31. 第31問 社員に一時的な認証情報を発行するサービス（AWS STS）
32. 第32問 ルートユーザーでなければできない作業（アカウントの閉鎖・メールアドレスの変更）
33. 第33問 アプリの会員のサインインとソーシャルログイン（Amazon Cognito）
34. 第34問 同じ IP からの大量のリクエストを止める（AWS WAF のレートベースのルール）
35. 第35問 追加料金なしの DDoS 保護（AWS Shield Standard）
36. 第36問 他社のソフトウェアを AMI で使う（AWS Marketplace）
37. 第37問 インストールなしでブラウザから AWS CLI を使う（AWS CloudShell）
38. 第38問 同じ構成の環境をコードで何度でも作る（CloudFormation・CDK）
39. 第39問 工場の中で AWS のサービスを動かすには（AWS Outposts）
40. 第40問 世界の利用者の近くでキャッシュして配信（Amazon CloudFront）
41. 第41問 コードを上げるだけで Web アプリを動かすサービス（AWS Elastic Beanstalk）
42. 第42問 サーバーを管理せずにコンテナを動かす（AWS Fargate）
43. 第43問 URL のパスで振り分けるロードバランサー（Application Load Balancer）
44. 第44問 つながりを何段もたどるグラフデータベース（Amazon Neptune）
45. 第45問 RDS の自動フェイルオーバーと読み取りの分離（マルチ AZ・リードレプリカ）
46. 第46問 サーバーの管理なしにアクセスの増減に合わせるデータベース（Amazon DynamoDB）
47. 第47問 セキュリティグループの特徴（ステートフル・インスタンス単位）
48. 第48問 障害のときだけ別のリージョンへ DNS で切り替え（Route 53 のフェイルオーバールーティング）
49. 第49問 今あるインターネット回線で、すぐに暗号化してつなぐ（AWS Site-to-Site VPN）
50. 第50問 一部の管理者だけは解除できる削除の保護（S3 オブジェクトロックのガバナンスモード）
51. 第51問 めったに見ないがミリ秒で開く画像の保管（S3 Glacier Instant Retrieval）
52. 第52問 Windows のファイルサーバーを移す（Amazon FSx for Windows File Server）
53. 第53問 案内文を翻訳して音声で読み上げる（Amazon Translate と Amazon Polly）
54. 第54問 S3 のデータをカタログにして SQL で照会（AWS Glue と Amazon Athena）
55. 第55問 依頼をためて、受け付けた順に1回だけ処理（Amazon SQS の FIFO キュー）
56. 第56問 設備を買わずに電話とチャットの窓口を作る（Amazon Connect）
57. 第57問 EC2 と自社のサーバーに少しずつ配置し、失敗したら戻す（AWS CodeDeploy）
58. 第58問 アプリだけをブラウザに配信（WorkSpaces Applications・旧 AppStream 2.0）
59. 第59問 コア単位のライセンスを持ち込み、同じ物理サーバーで動かす（EC2 の専有ホスト）
60. 第60問 EC2・Fargate・Lambda と夜間のバッチのコスト削減（Compute Savings Plans・スポット）
61. 第61問 管理者も外せないリージョンの制限と、請求書の一本化（AWS Organizations の SCP）
62. 第62問 1つのアカウントの料金をプロジェクトごとに分ける（コスト配分タグ）
63. 第63問 料金のグラフと予算超えの通知（Cost Explorer・Budgets）
64. 第64問 アカウントを作る前に料金を見積もる（AWS Pricing Calculator）
65. 第65問 ベストプラクティスに合わない所を自動で見つける（AWS Trusted Advisor）
66. 第66問 AWS 側の保守の予定を前もって知る（AWS Health Dashboard）
67. 第67問 アクセスに合わせて台数を自動で増減する（Amazon EC2 Auto Scaling）
68. 第68問 パフォーマンス効率の柱の設計原則（高度なテクノロジー・グローバル展開）
69. 第69問 移行戦略の7つの R（リタイア・使われていないアプリを停止）
70. 第70問 AWS CAF のパースペクティブ（支出とデータの統制はガバナンス）
71. 第71問 ライセンスを持たずに SQL Server を使う（RDS のライセンス込み）
72. 第72問 EC2 と自社のサーバーのパッチを自動で当てる（AWS Systems Manager Patch Manager）
73. 第73問 障害の教訓を共有し、運用の手順を見直す（運用上の優秀性の設計原則）
74. 第74問 設定の履歴を記録し、社内ルールに合わないリソースを「非準拠」にする（AWS Config）
75. 第75問 S3 へのアップロードごとに短い処理をサーバーレスで動かす（AWS Lambda）
76. 第76問 12のアカウントと SaaS に1回でサインイン（AWS IAM Identity Center）
77. 第77問 インターネットを通らずに、帯域とレイテンシーを安定させる（AWS Direct Connect）
78. 第78問 途中でファミリーを変え、前払いできない RI の選び方（コンバーティブル・前払いなし）
79. 第79問 セキュリティの検出結果を集めて設定もチェック（AWS Security Hub CSPM）
80. 第80問 AWS CAF のパースペクティブ（イノベーションとデータの収益化はビジネス）
81. 第81問 特定の IP アドレスの範囲を、サブネットの入り口で拒否する（ネットワーク ACL）
82. 第82問 組織の外と共有・一般に公開されているリソースを一覧にする（IAM Access Analyzer）
83. 第83問 複数の AZ の EC2 から NFS で同じファイルを共有する（Amazon EFS）
84. 第84問 ルートユーザーの守り方と日常の作業（MFA・IAM Identity Center）
85. 第85問 一括請求の料金の利点（ボリューム料金の階層・リザーブドインスタンスの割引の共有）
86. 第86問 数ペタバイトの販売データをまとめて毎日集計する（Amazon Redshift）
87. 第87問 OS のパッチを自社で当てなくてよい移行先（Amazon RDS・AWS Lambda）
88. 第88問 移行戦略の7つの R（リプラットフォーム・VM をコンテナにして ECS と Fargate へ）
89. 第89問 GPU の学習と CPU のバッチ処理に合うインスタンスファミリー（高速コンピューティング・コンピューティング最適化）
90. 第90問 アプリのエラーの件数と CPU 使用率をしきい値で見張り、E メールで知らせる（Amazon CloudWatch）
91. 第91問 1回の発行で SQS・Lambda・E メールに届ける（Amazon SNS のトピック）
92. 第92問 部署の人の権限を追加料金なしでまとめて管理（IAM ユーザーグループ）
93. 第93問 最も詳しいコストのデータを S3 へ（AWS Data Exports の CUR 2.0）
94. 第94問 視聴履歴とクリックから利用者ごとの動画のおすすめ（Amazon Personalize）
95. 第95問 攻撃中の専門チームの支援と DDoS のコスト保護（AWS Shield Advanced）
96. 第96問 AWS CAF のトランスフォーメーションの分野（業務のデジタル化はプロセス）
97. 第97問 パブリックとプライベートのサブネットに必要な部品（インターネットゲートウェイ・NAT ゲートウェイ）
98. 第98問 SSH・コンソール・CLI の認証情報の使い分け（キーペアとアクセスキー）
99. 第99問 よくある質問の解決の記事を読む（AWS re:Post のナレッジセンター）
100. 第100問 設定値を階層でまとめて追加料金なしで保管（Parameter Store）

AWS Certified Cloud Practitioner（試験コード CLF-C02。以下 CLF）では、ソフトウェアの脆弱性をスキャンするサービスと、見つけた脆弱性を直すサービス、脅威や設定を扱うサービスを、役割で見分ける問題が問われます。問題文の「脆弱性」「スキャン」「継続的」といった言葉が手がかりです。

この記事は、CLF の練習問題を1問ずつ解説する連載の第24問です。問題は筆者が試験の範囲に合わせて作ったもので、実際の試験の問題ではありません。まず自分で答えを選んでから、解説を読んでください。

▶ この回の内容は、YouTube の動画（約5分）でも見られます（記事の最後にも埋め込んであります）。

問題

ある企業は、Amazon EC2 インスタンスで動くアプリケーションに加えて、Amazon ECR に保存したコンテナイメージと AWS Lambda の関数を使っています。これらに含まれるソフトウェアに既知の脆弱性（CVE）があれば、すぐに分かるようにしたいと考えています。新しい脆弱性が公開されたときにも、自動で再スキャンされる仕組みが必要です。どの AWS サービスを使いますか。

• A. Amazon GuardDuty
• B. Amazon Inspector
• C. AWS Config
• D. AWS Systems Manager Patch Manager

答えを決めたら、下を開いてください。

正解は B

正解は B の Amazon Inspector です。

• EC2、ECR のコンテナイメージ、Lambda 関数のソフトウェアの脆弱性を、継続的にスキャンする
• 新しい脆弱性が公開されたときにも、自動で再スキャンする

ここから、選択肢を1つずつ見ていきます。

選択肢ごとの解説

A：GuardDuty は脅威の検出（誤り）

Amazon GuardDuty は、アカウントの中の怪しい動き、つまり脅威を検出するサービスです。図の左のように、CloudTrail のイベントや、VPC フローログ、DNS のログを分析します。たとえば、不審な通信や、ふだんと違う API の呼び出しを、検出結果として知らせます。

ソフトウェアの脆弱性のスキャンは、しません。

B：Inspector が継続的にスキャン（正解）

Amazon Inspector は、脆弱性の管理のサービスです。図の左の、EC2 インスタンス、ECR のコンテナイメージ、Lambda 関数を自動で見つけて、継続的にスキャンします。

見つけるのは、CVE と呼ばれる、ソフトウェアの既知の脆弱性と、意図しないネットワークの露出です。図の下のように、新しい脆弱性が公開されたときや、パッケージが入れ替わったときには、自動で再スキャンします。

C：Config は設定の記録と評価（誤り）

AWS Config は、リソースの設定と、その変更を記録するサービスです。記録した設定が、ルールに沿っているかも評価します。たとえば、S3 のバケットが公開されていないか、といったルールです。

見るのは、あくまで設定です。中で動くソフトウェアの脆弱性は、調べません。

D：Patch Manager は直す側（誤り）

Patch Manager は、Systems Manager の機能で、EC2 インスタンスなどのマネージドノードに、パッチを当てる作業を自動にします。ECR のコンテナイメージや、Lambda 関数の脆弱性は、スキャンしません。

図の下のように、脆弱性を見つけるのが Inspector、パッチを当てて直すのが Patch Manager と分けて覚えましょう。

4つのサービスの役割

4つのサービスの役割を、見つける・直す・脅威・設定の4つで整理します。脆弱性を見つけるのは Inspector、パッチを当てて直すのは Patch Manager です。アカウントの中の脅威を検出するのは GuardDuty、リソースの設定を記録して、ルールで評価するのは Config です。

問題文に、脆弱性やスキャンという言葉があれば、Inspector を思い出してください。

ポイント

• 脆弱性のスキャン＝Amazon Inspector（EC2・ECR のコンテナイメージ・Lambda 関数）
• 新しい CVE の公開で 自動で再スキャン する
• 見つけた脆弱性を直すのは Patch Manager など、別の仕組み
• GuardDuty は 脅威、Config は 設定

Inspector の対象と、GuardDuty・Macie などとの使い分けは、講座の記事で詳しく解説しています。パッチを当てる Patch Manager は、運用管理の道具の回で扱っています。

• 講座の第10回⑧「検出と調査のサービス」（連載の入口のページから）
• 講座の第09回⑤「運用管理の道具」（連載の入口のページから）

講座の全14回は、連載の入口のページから順に読めます。

動画で見る

この回の内容を、YouTube の動画（約5分）でも解説しています。

連載の全回は、YouTube の再生リスト「CLF-C02 試験対策問題」にまとめています。

連載「CLF-C02 試験対策問題」

全回の目次と、読む順番・目的別の読み方は、CLF-C02 試験対策問題の入口のページにまとめています。

1. 第1問 初期費用をかけずに始めるコストの利点（従量課金・規模の経済）
2. 第2問 数分でグローバルに展開（世界同時公開と低い遅延）
3. 第3問 高可用性（EC2 の複数 AZ 配置と RDS マルチ AZ）
4. 第4問 クラウドの俊敏性（数分で作成・すぐに削除）
5. 第5問 責任共有モデル（EC2 へのリホストで AWS に任せられること）
6. 第6問 数時間だけのアクセスのピークに備える（EC2 Auto Scaling・オンデマンド）
7. 第7問 Well-Architected の6つの柱（信頼性・パフォーマンス効率）
8. 第8問 信頼性の柱の設計原則（自動で復旧・水平方向のスケール）
9. 第9問 持続可能性の柱の設計原則（使用率の最大化・マネージドサービス）
10. 第10問 AWS CAF の変革ジャーニーのフェーズ（構想・連携・ローンチ・スケール）
11. 第11問 AWS CAF のパースペクティブ（構成管理・パッチ管理はオペレーション）
12. 第12問 移行のビジネスケース（Migration Evaluator）
13. 第13問 AWS CAF のパースペクティブ（役割と組織の変化は人材）
14. 第14問 サーバーをそのまま EC2 に移す（AWS Transform MGN）
15. 第15問 ファイルの移行（AWS DataSync）
16. 第16問 移行戦略の7つの R（リパーチェス・SaaS への乗り換え）
17. 第17問 適切なサイズ設定（CPU は余り、メモリが不足）
18. 第18問 責任共有モデル（Lambda と RDS）
19. 第19問 最小権限の原則（IAM のポリシーと SCP）
20. 第20問 責任共有モデル（EC2 と S3、AWS の責任）
21. 第21問 共有統制の例（責任共有モデルの IT 統制）
22. 第22問 コンプライアンスの資料と契約（AWS Artifact）
23. 第23問 脅威の検出（Amazon GuardDuty）
24. 第24問 脆弱性の継続的なスキャン（Amazon Inspector）（この記事）
25. 第25問 S3 の機密データの検出（Amazon Macie）
26. 第26問 S3 の保管時の暗号化とキーの管理
27. 第27問 だれが操作したかを調べる（AWS CloudTrail）
28. 第28問 IAM ユーザーの認証情報の一覧（認証情報レポート）
29. 第29問 EC2 のアプリケーションに権限を与える（IAM ロール）
30. 第30問 データベースのパスワードの自動ローテーション（AWS Secrets Manager）
31. 第31問 社員に一時的な認証情報を発行するサービス（AWS STS）
32. 第32問 ルートユーザーでなければできない作業（アカウントの閉鎖・メールアドレスの変更）
33. 第33問 アプリの会員のサインインとソーシャルログイン（Amazon Cognito）
34. 第34問 同じ IP からの大量のリクエストを止める（AWS WAF のレートベースのルール）
35. 第35問 追加料金なしの DDoS 保護（AWS Shield Standard）
36. 第36問 他社のソフトウェアを AMI で使う（AWS Marketplace）
37. 第37問 インストールなしでブラウザから AWS CLI を使う（AWS CloudShell）
38. 第38問 同じ構成の環境をコードで何度でも作る（CloudFormation・CDK）
39. 第39問 工場の中で AWS のサービスを動かすには（AWS Outposts）
40. 第40問 世界の利用者の近くでキャッシュして配信（Amazon CloudFront）
41. 第41問 コードを上げるだけで Web アプリを動かすサービス（AWS Elastic Beanstalk）
42. 第42問 サーバーを管理せずにコンテナを動かす（AWS Fargate）
43. 第43問 URL のパスで振り分けるロードバランサー（Application Load Balancer）
44. 第44問 つながりを何段もたどるグラフデータベース（Amazon Neptune）
45. 第45問 RDS の自動フェイルオーバーと読み取りの分離（マルチ AZ・リードレプリカ）
46. 第46問 サーバーの管理なしにアクセスの増減に合わせるデータベース（Amazon DynamoDB）
47. 第47問 セキュリティグループの特徴（ステートフル・インスタンス単位）
48. 第48問 障害のときだけ別のリージョンへ DNS で切り替え（Route 53 のフェイルオーバールーティング）
49. 第49問 今あるインターネット回線で、すぐに暗号化してつなぐ（AWS Site-to-Site VPN）
50. 第50問 一部の管理者だけは解除できる削除の保護（S3 オブジェクトロックのガバナンスモード）
51. 第51問 めったに見ないがミリ秒で開く画像の保管（S3 Glacier Instant Retrieval）
52. 第52問 Windows のファイルサーバーを移す（Amazon FSx for Windows File Server）
53. 第53問 案内文を翻訳して音声で読み上げる（Amazon Translate と Amazon Polly）
54. 第54問 S3 のデータをカタログにして SQL で照会（AWS Glue と Amazon Athena）
55. 第55問 依頼をためて、受け付けた順に1回だけ処理（Amazon SQS の FIFO キュー）
56. 第56問 設備を買わずに電話とチャットの窓口を作る（Amazon Connect）
57. 第57問 EC2 と自社のサーバーに少しずつ配置し、失敗したら戻す（AWS CodeDeploy）
58. 第58問 アプリだけをブラウザに配信（WorkSpaces Applications・旧 AppStream 2.0）
59. 第59問 コア単位のライセンスを持ち込み、同じ物理サーバーで動かす（EC2 の専有ホスト）
60. 第60問 EC2・Fargate・Lambda と夜間のバッチのコスト削減（Compute Savings Plans・スポット）
61. 第61問 管理者も外せないリージョンの制限と、請求書の一本化（AWS Organizations の SCP）
62. 第62問 1つのアカウントの料金をプロジェクトごとに分ける（コスト配分タグ）
63. 第63問 料金のグラフと予算超えの通知（Cost Explorer・Budgets）
64. 第64問 アカウントを作る前に料金を見積もる（AWS Pricing Calculator）
65. 第65問 ベストプラクティスに合わない所を自動で見つける（AWS Trusted Advisor）
66. 第66問 AWS 側の保守の予定を前もって知る（AWS Health Dashboard）
67. 第67問 アクセスに合わせて台数を自動で増減する（Amazon EC2 Auto Scaling）
68. 第68問 パフォーマンス効率の柱の設計原則（高度なテクノロジー・グローバル展開）
69. 第69問 移行戦略の7つの R（リタイア・使われていないアプリを停止）
70. 第70問 AWS CAF のパースペクティブ（支出とデータの統制はガバナンス）
71. 第71問 ライセンスを持たずに SQL Server を使う（RDS のライセンス込み）
72. 第72問 EC2 と自社のサーバーのパッチを自動で当てる（AWS Systems Manager Patch Manager）
73. 第73問 障害の教訓を共有し、運用の手順を見直す（運用上の優秀性の設計原則）
74. 第74問 設定の履歴を記録し、社内ルールに合わないリソースを「非準拠」にする（AWS Config）
75. 第75問 S3 へのアップロードごとに短い処理をサーバーレスで動かす（AWS Lambda）
76. 第76問 12のアカウントと SaaS に1回でサインイン（AWS IAM Identity Center）
77. 第77問 インターネットを通らずに、帯域とレイテンシーを安定させる（AWS Direct Connect）
78. 第78問 途中でファミリーを変え、前払いできない RI の選び方（コンバーティブル・前払いなし）
79. 第79問 セキュリティの検出結果を集めて設定もチェック（AWS Security Hub CSPM）
80. 第80問 AWS CAF のパースペクティブ（イノベーションとデータの収益化はビジネス）
81. 第81問 特定の IP アドレスの範囲を、サブネットの入り口で拒否する（ネットワーク ACL）
82. 第82問 組織の外と共有・一般に公開されているリソースを一覧にする（IAM Access Analyzer）
83. 第83問 複数の AZ の EC2 から NFS で同じファイルを共有する（Amazon EFS）
84. 第84問 ルートユーザーの守り方と日常の作業（MFA・IAM Identity Center）
85. 第85問 一括請求の料金の利点（ボリューム料金の階層・リザーブドインスタンスの割引の共有）
86. 第86問 数ペタバイトの販売データをまとめて毎日集計する（Amazon Redshift）
87. 第87問 OS のパッチを自社で当てなくてよい移行先（Amazon RDS・AWS Lambda）
88. 第88問 移行戦略の7つの R（リプラットフォーム・VM をコンテナにして ECS と Fargate へ）
89. 第89問 GPU の学習と CPU のバッチ処理に合うインスタンスファミリー（高速コンピューティング・コンピューティング最適化）
90. 第90問 アプリのエラーの件数と CPU 使用率をしきい値で見張り、E メールで知らせる（Amazon CloudWatch）
91. 第91問 1回の発行で SQS・Lambda・E メールに届ける（Amazon SNS のトピック）
92. 第92問 部署の人の権限を追加料金なしでまとめて管理（IAM ユーザーグループ）
93. 第93問 最も詳しいコストのデータを S3 へ（AWS Data Exports の CUR 2.0）
94. 第94問 視聴履歴とクリックから利用者ごとの動画のおすすめ（Amazon Personalize）
95. 第95問 攻撃中の専門チームの支援と DDoS のコスト保護（AWS Shield Advanced）
96. 第96問 AWS CAF のトランスフォーメーションの分野（業務のデジタル化はプロセス）
97. 第97問 パブリックとプライベートのサブネットに必要な部品（インターネットゲートウェイ・NAT ゲートウェイ）
98. 第98問 SSH・コンソール・CLI の認証情報の使い分け（キーペアとアクセスキー）
99. 第99問 よくある質問の解決の記事を読む（AWS re:Post のナレッジセンター）
100. 第100問 設定値を階層でまとめて追加料金なしで保管（Parameter Store）

どちらも、サーバーレスの話を初めて読んだ人から出やすい質問です。答えは、1つ目は 「サーバーが無いのではなく、AWS の側で動いている。利用者はサーバーの用意や管理をしなくてよい」、2つ目は 「EC2 は OS から上を利用者が管理して長く動かす。Lambda は AWS が管理し、きっかけがあったときだけ短く動く」 です。この記事では、その根拠を順に見ていきます。

この記事は、AWS クラウドプラクティショナー試験対策講座（AWS Certified Cloud Practitioner、試験コード CLF-C02。以下 CLF）の第04回④です。第04回④では、試験ガイドのタスク 3.3（コンピューティングサービス）のうち、サーバーレスの部分を扱います。サーバーレスとは何か、AWS Lambda、Amazon API Gateway、EC2 と Lambda の違いの4つです。なお、この連載は AWS の公式の資料ではありません。試験の情報は2026年10月26日時点のもので、変わることがあるので、受験の前に AWS の公式ページで確かめてください。

▶ この回の内容は、YouTube の動画（約14分）でも見られます（記事の最後にも埋め込んであります）。

サーバーレスとは ◎

第04回③までは、仮想サーバーを借りて自分で管理する Amazon EC2 と、台数を増やして支える ELB・Auto Scaling を見てきました。ここからは、サーバーの管理そのものを AWS に任せる考え方に進みます。

サーバーレスとは、サーバーの用意や管理を AWS に任せ、お客様はプログラムとデータだけを扱う形です。「サーバーが無い」のではなく、AWS の側で動いています。実行環境（OS・ランタイム）の管理とサーバーの台数の調整は AWS が引き受けるので、お客様は処理の作成に集中できます。料金は使った分だけです。OS から上をお客様が扱う EC2 と比べて、扱う範囲が狭くなります。

ランタイムとは、プログラムを動かすためのソフトウェアのことです。

図は、EC2 とサーバーレスで、誰がどの層を扱うかを比べたものです。橙の箱がお客様が扱う層、紺の箱が AWS が扱う層です。EC2 では、OS とその上のアプリケーション・データの2段をお客様が扱います。サーバーレスでは、お客様が扱うのは最上段のアプリケーション・データだけで、OS は AWS が扱います。

• サーバーの管理は AWS に任せる
• お客様が扱うのはプログラムとデータ
• 一覧の分け方では Lambda・Fargate

最後の項目は、試験ガイドの対象のサービス一覧の分け方では、「サーバーレス」は AWS Lambda と AWS Fargate である、という意味です（2026年10月26日時点）。Fargate は、第04回⑤で扱います。ほかにも、Amazon API Gateway のように、一覧では別のカテゴリでもサーバーを管理しなくてよいものがあります。責任共有モデルの全体は、第10回①②で扱います。

冒頭の1つ目の相談がこれです。サーバーレスは「サーバーが無い」のではなく、AWS の側で動いていて、利用者がサーバーの管理をしない形、と覚えます。

出典：サーバーレスのページ、試験ガイドの対象のサービス一覧

AWS Lambda とは ◎

AWS Lambda は、プログラムを「関数」として置いておき、きっかけ（イベント）があったときだけ動かすサービスです。サーバーを用意したり管理したりせずに、コードを実行できます。

たとえば、ある EC サイトの会社で、商品の画像がファイルの置き場所（Amazon Simple Storage Service（Amazon S3）。第05回③の「Amazon S3 とは」の節で扱います）に置かれたとします。これをきっかけに Lambda の関数が動き、縮小版の画像を作ります。関数は、きっかけがあるたびに動き、終われば止まるので、動いていない間は料金がかかりません。

プログラムの書き方は試験の対象外なので、この講座では扱いません。

• 関数を置き、きっかけで動かす
• サーバーの用意・管理は不要
• プログラムの書き方は対象外

関数が動くきっかけには、ファイルが置かれた、要求が届いた、などがあります。次の「Lambda のユースケース」の節の表で、場面ごとに見ます。

Lambda の特徴 ◎

Lambda の特徴は、次の6つです。

• サーバーの管理が要らない：サーバーの用意、実行環境（OS・ランタイム）の管理、容量の調整は AWS が行う
• 自動で増える：要求の数に合わせて、同時に動く関数の数が自動で増減する
• 料金は回数と時間：関数が呼ばれた回数と、コードが動いた時間にもとづく
• 実行時間に上限がある：1回の実行は最長15分（標準の Lambda 関数の場合。2026年10月26日時点）
• メモリの量を選ぶ：1つの関数に割り当てるメモリは 128 MB〜10,240 MB（2026年10月26日時点）
• 短い処理向き：前の呼び出しの結果を覚えていない、短い処理が得意。長く動き続ける処理には向かない

1回の実行が最長15分という上限があるため、長く動き続ける処理には向かない、という点が、EC2 との見分けの手がかりになります。

補足：ランタイムの更新は、既定の設定では Lambda が自動で当てます。設定を変えると、お客様が関数を更新したときに取り込む形にもできます（Lambda ランタイム管理の責任共有モデル）。

補足：上限の出典は https://docs.aws.amazon.com/ja_jp/lambda/latest/dg/gettingstarted-limits.html 、料金の単位の出典は https://aws.amazon.com/jp/lambda/pricing/ です。料金の詳しい考え方は第13回③の「サービスごとの料金の決まり方」の節、無料の範囲は第13回③の「AWS 無料利用枠」の節で扱います。

もっと詳しく知りたい人向けに、連載「クラウド入門」の第4回「コンピューティング 後編」の「サーバーレス：AWS Lambda」の節で、ここで扱っていない制約や、課金の考え方、運用面の注意を扱っています。試験の範囲を超えて詳しいので、この講座を終えてから読んでも構いません。

Lambda のユースケース

Lambda がよく使われる場面を、表で見ます。行の例は、架空の「ある EC サイトの会社」の場面です。

どの行も、「きっかけがあって、短い処理を動かす」という形です。

補足：API は、プログラムどうしが呼び合うための窓口のことで、次の「Amazon API Gateway とは」の節で説明します。決まった時刻に動かすには、イベントを扱う Amazon EventBridge を組み合わせます（第08回③の「EventBridge の使いどころ」の節で扱います）。

Amazon API Gateway とは ◎

Amazon API Gateway は、API を作り、公開し、管理するサービスです。API とは、プログラムどうしが呼び合うための窓口のことです。

たとえば、ある EC サイトの会社のスマートフォンのアプリが、注文を送るときに api.example.com の窓口を呼びます。API Gateway はその要求を受け取り、後ろにある処理（Lambda の関数や EC2 の上のプログラムなど）へ渡して、結果を返します。

API Gateway 自体もサーバーを管理しなくてよいサービスで、Lambda と組み合わせると、サーバーを管理しない Web の API を作れます。試験ガイドの対象のサービス一覧の分け方ではカテゴリが「ネットワークとコンテンツ配信」ですが、Lambda と組むことが多いため、この回で扱います。

• API の作成・公開・管理を担う
• 受けた要求を Lambda などへ渡す
• 一覧のカテゴリはネットワーク系

出典：Amazon API Gateway とは

EC2 と Lambda の違い

最後に、第04回②の「Amazon EC2 とは」の節で見た EC2 と、この記事の Lambda を、並べて比べます。

補足：OS・実行環境の管理の行は、責任共有モデルのうち EC2 と Lambda の違いだけを取り出したものです。全体の整理は第10回②の「サービスで変わる責任」の節で扱います。Lambda の実行時間の上限は、この記事の「Lambda の特徴」の節のとおりです。

冒頭の2つ目の相談に、この表で答えられます。まず「サーバーの管理」を見て、OS から上を自分で管理するなら EC2、AWS に任せて関数を置くだけなら Lambda です。次に「向く処理」を見て、長く動き続けるなら EC2、短く、きっかけで呼ばれるなら Lambda と選びます。

考えてみよう

1. 冒頭の1つ目の相談に、「サーバーが無い」と言わずに答えてみてください。EC2 と比べて、AWS が扱う範囲がどう違うかも添えてください
2. ある EC サイトの会社で、商品の画像が置かれたら縮小版を作る処理があります。この処理を Lambda で動かすと、動いていない間の料金と、サーバーの管理は、どうなりますか。説明してみてください
3. スマートフォンのアプリが api.example.com の窓口を呼んだとき、API Gateway は何をして、どこへ渡しますか。また、API Gateway は試験ガイドの一覧ではサーバーレスのカテゴリではないのに、この回で扱うのはなぜか、説明してみてください

ヒント：1 は「サーバーレスとは」の節、2 は「AWS Lambda とは」と「Lambda の特徴」の節、3 は「Amazon API Gateway とは」の節を見直してください。

まとめ

• サーバーレスは、サーバーの用意や管理を AWS に任せ、お客様はプログラムとデータだけを扱う形。「サーバーが無い」のではなく、AWS の側で動いている
• 試験ガイドの一覧の分け方では、サーバーレスは AWS Lambda と AWS Fargate（2026年10月26日時点）。Amazon API Gateway のように、別のカテゴリでもサーバーを管理しなくてよいものがある
• AWS Lambda は、関数を置き、きっかけ（イベント）があったときだけ動かす。動いていない間は料金がかからず、料金は呼ばれた回数と動いた時間にもとづく
• Lambda の1回の実行は最長15分、メモリは 128 MB〜10,240 MB（標準の Lambda 関数の場合。2026年10月26日時点）。短い処理向きで、長く動き続ける処理には向かない
• Amazon API Gateway は、API の作成・公開・管理を担い、受けた要求を Lambda の関数や EC2 の上のプログラムなどへ渡す。一覧のカテゴリは「ネットワークとコンテンツ配信」
• EC2 は OS から上をお客様が管理して長く動かす。Lambda は AWS が管理し、短く、きっかけで呼ばれる

次は、第04回⑤で、コンテナーとほかの選択肢（Amazon ECR・Amazon ECS・Amazon EKS・AWS Fargate・AWS Elastic Beanstalk・Amazon Lightsail・AWS Batch）を扱います。

動画で見る

この回の内容を、YouTube の動画（約14分）でも解説しています。

この回の動画は、YouTube の再生リスト「第04回 コンピューティング」に、連載の全回は再生リスト「AWS クラウドプラクティショナー試験対策講座」にまとめています。

連載「AWS クラウドプラクティショナー試験対策講座」

全回の目次と、読む順番・目的別の読み方は、AWS クラウドプラクティショナー試験対策講座の入口のページにまとめています。

1. 第01回① CLF はどんな資格か（AWS 認定のレベル・CLF の位置づけ・誰向けか・問われること／問われないこと・身につくもの）
2. 第01回② 試験の形式と合格基準（試験の基本情報・2種類の設問・採点される50問・換算スコアと合格点・補整型・結果・受験の流れ・再受験と有効期間）
3. 第01回③ 出題の範囲と配点（4つの分野と配点・試験ガイドの組み立て・分野ごとのタスク・配点と学ぶ量・対象外のサービス）
4. 第01回④ 講座の進め方と学び方（全14回の地図・深さの印・学び方の輪・公式の学習リソース・AWS を触るときの注意・問題文の読み方・早見表）
5. 第02回① クラウドとは（3つの特徴・オンプレミスとの違い・使い始めるまでの速さ・IaaS／PaaS／SaaS・デプロイモデルと選び方）
6. 第02回② AWS クラウドの利点（価値提案・6つのメリット・高可用性・伸縮性・俊敏性・例で見分ける）
7. 第02回③ クラウドエコノミクス（固定費と変動費・オンプレミスのコスト・総保有コスト・規模の経済・適切なサイジング・BYOL・オートメーション）
8. 第02回④ 第02回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
9. 第03回① サービスの全体像（この回のねらい・この講座について・前の回の振り返り・サービスの集まり・カテゴリ・カテゴリと講座の回）
10. 第03回② グローバルインフラ（リージョン・AZ・エッジロケーション・3つの関係と比較・Local Zones・Outposts）
11. 第03回③ 高可用性と複数リージョン（単一障害点・複数 AZ・サービスごとの AZ・複数リージョンの理由・リージョンの選び方）
12. 第03回④ AWS へのアクセス方法（API・コンソール・CLI・SDK・IaC・CloudFormation・1回限りと繰り返す作業）
13. 第03回⑤ 第03回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
14. 第04回① サーバーと仮想マシン（この回のねらい・この講座について・前の回の振り返り・コンピューティングとサーバー・仮想マシン・コンピューティングの全体像）
15. 第04回② Amazon EC2（EC2 とは・ユースケース・お客様が扱う範囲・インスタンスタイプ・ファミリーと選び方・起動するときに選ぶもの）
16. 第04回③ ELB と Auto Scaling（1台のサーバーの限界・垂直と水平のスケーリング・ロードバランサーの目的・ELB とその種類・Auto Scaling・組み合わせ）
17. 第04回④ サーバーレス（サーバーレスとは・AWS Lambda とその特徴・ユースケース・Amazon API Gateway・EC2 と Lambda の違い）（この記事）
18. 第04回⑤ コンテナーとほかの選択肢（コンテナーとは・3つの役割・ECR・ECS と EKS・Fargate・Elastic Beanstalk・Lightsail・Batch）
19. 第04回⑥ 第04回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
20. 第05回① ストレージの種類（この回のねらい・この講座について・前の回の振り返り・ストレージとは・ブロック・ファイル・オブジェクト・3つの種類の比べ方・AWS のストレージの地図）
21. 第05回② EBS とインスタンスストア（Amazon EBS・AZ の中でのレプリケート・スナップショット・EBS の暗号化・インスタンスストア・2つの違い）
22. 第05回③ Amazon S3 とストレージクラス（S3 とは・S3 の特徴・ユースケース・ストレージクラスの考え方・ストレージクラスの一覧）
23. 第05回④ Glacier とライフサイクル（S3 Glacier のクラス・クラスの選び方・ライフサイクルポリシー・ライフサイクルのユースケース・S3 のセキュリティ）
24. 第05回⑤ ファイルとハイブリッド（Amazon EFS・Amazon FSx・ハイブリッドクラウドとストレージ・AWS Storage Gateway・Storage Gateway の種類）
25. 第05回⑥ バックアップと災害対策（バックアップと災害対策の違い・AWS Backup・ユースケース・AWS Elastic Disaster Recovery・データを守る仕組みの重ね方）
26. 第05回⑦ 第05回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
27. 第06回① ネットワークの基本（この回のねらい・この講座について・前の回の振り返り・IP アドレスとネットワークの範囲・ルーティングとゲートウェイ・ポートとプロトコル・この回のサービスの地図）
28. 第06回② VPC とサブネット（Amazon VPC とは・サブネット・パブリックサブネットとプライベートサブネット・インターネットゲートウェイ・NAT ゲートウェイ・ルートテーブル）
29. 第06回③ セキュリティグループとネットワーク ACL（セキュリティグループ・ネットワーク ACL・2つの違い・VPC フローログ・VPC の全体を見る）
30. 第06回④ VPC の外とつなぐ（つなぐ先は3つ・AWS Transit Gateway・AWS PrivateLink・オンプレミスとつなぐ方法）
31. 第06回⑤ VPN と Direct Connect（AWS Site-to-Site VPN・AWS Client VPN・AWS Direct Connect・VPN と Direct Connect の比べ方）
32. 第06回⑥ DNS と Route 53（DNS とドメイン名・Amazon Route 53・Route 53 のルーティングの方法）
33. 第06回⑦ CloudFront と Global Accelerator（エッジロケーションとキャッシュ・Amazon CloudFront・CloudFront の使いどころ・AWS Global Accelerator・CloudFront と Global Accelerator の違い）
34. 第06回⑧ 第06回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
35. 第07回① データベースとは（この回のねらい・この講座について・前の回の振り返り・データベースとは・テーブル・行・列・SQL とは）
36. 第07回② データベースの種類（リレーショナルデータベース・NoSQL データベース・インメモリデータベース・3つの種類の比べ方・EC サイトで使い分けると）
37. 第07回③ 自分で運用か任せるか（データベースを動かすのに要る作業・EC2 上のデータベース・マネージドデータベース・作業の分担の比べ方・使い分けの考え方）
38. 第07回④ RDS とマルチ AZ 配置（Amazon RDS とは・RDS で選べるエンジン・RDS で AWS が引き受けること・マルチ AZ 配置・フェイルオーバー）
39. 第07回⑤ リードレプリカと Aurora（リードレプリカ・マルチ AZ 配置とリードレプリカの違い・Amazon Aurora・RDS と Aurora の関係）
40. 第07回⑥ Amazon DynamoDB（DynamoDB とは・DynamoDB の特長・DynamoDB のテーブル・DynamoDB と RDS の違い）
41. 第07回⑦ ElastiCache・DocumentDB・Neptune（Amazon ElastiCache・キャッシュの置き方・Amazon DocumentDB・Amazon Neptune・ほかの回で扱う DB の話題）
42. 第07回⑧ 第07回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
43. 第08回① 疎結合とつなぎ方の言葉（この回のねらい・この講座について・前の回の振り返り・疎結合とは・つなぎ方の言葉）
44. 第08回② SQS と SNS（Amazon SQS の仕組み・SQS の使いどころ・Amazon SNS の仕組み・SNS の使いどころ）
45. 第08回③ EventBridge と Step Functions（Amazon EventBridge の仕組み・EventBridge の使いどころ・AWS Step Functions の仕組み・Step Functions の使いどころ・SNS・SQS・EventBridge の使い分け・メッセージと通知のサービスを選ぶ）
46. 第08回④ AI と機械学習のサービス（AI と機械学習の言葉・AI/ML のサービスの全体像・画像・文書・文章のサービス・音声と会話のサービス・生成 AI のサービス）
47. 第08回⑤ データ分析のサービス（データ分析の流れ・集める・加工するサービス・分析・見える化のサービス・Athena・Redshift・EMR の違い）
48. 第08回⑥ 業務と開発のサービス（ビジネスアプリケーション・エンドユーザーコンピューティング・開発者ツール・CI/CD の流れ・フロントエンドと IoT）
49. 第08回⑦ 第08回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
50. 第09回① 監視の基本と CloudWatch（この回のねらい・この講座について・前の回の振り返り・3つの困りごとと3つのサービス・Amazon CloudWatch・CloudWatch のアラーム・CloudWatch Logs と標準で取れないもの）
51. 第09回② AWS CloudTrail（AWS CloudTrail・CloudTrail の記録の残し方・CloudTrail の使いどころ）
52. 第09回③ AWS Config と3つの使い分け（AWS Config・Config ルールと準拠の確認・CloudTrail と Config の違い・3つの使い分け・3つを組み合わせる流れ）
53. 第09回④ Trusted Advisor と AWS Health（AWS Trusted Advisor・Trusted Advisor のチェックのカテゴリ・サポートプランと使えるチェック・AWS Health Dashboard・AWS Health API・Trusted Advisor・Health・CloudWatch の違い）
54. 第09回⑤ 運用管理の道具（AWS Systems Manager・AWS Compute Optimizer・Service Quotas と License Manager・運用管理の使い分け）
55. 第09回⑥ Organizations と SCP（なぜアカウントを分けるのか・AWS Organizations・Organizations でできること・サービスコントロールポリシー（SCP）・SCP と IAM の関係）
56. 第09回⑦ Control Tower・Service Catalog・RAM（AWS Control Tower・AWS Service Catalog・AWS RAM）
57. 第09回⑧ 第09回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
58. 第10回① クラウドで守る利点と責任共有モデル（この回のねらい・この講座について・前の回の振り返り・クラウドで守る利点・責任共有モデルとは）
59. 第10回② 責任の分かれ方（AWS の責任（クラウドのセキュリティ）・お客様の責任（クラウド内のセキュリティ）・共有する管理・サービスで変わる責任）
60. 第10回③ 暗号化と KMS・CloudHSM・ACM（転送時と保管時の暗号化・AWS KMS・AWS CloudHSM・AWS Certificate Manager（ACM））
61. 第10回④ AWS アカウントとルートユーザー（AWS アカウントとルートユーザー・ルートユーザーだけができる作業・ルートユーザーの守り方）
62. 第10回⑤ IAM と最小権限（IAM の全体像・IAM ユーザーとグループ・IAM ロール・ポリシーの種類・最小権限の原則とアクセスレポート）
63. 第10回⑥ MFA・フェデレーション・認証情報の保管（パスワード・MFA・アクセスキー・クロスアカウントの IAM ロール・フェデレーションと IAM アイデンティティセンター・Directory Service と Cognito・認証情報の保管）
64. 第10回⑦ Shield・WAF・Firewall Manager（守りの層・AWS Shield・AWS WAF・AWS Firewall Manager・Shield・WAF・Firewall Manager の使い分け）
65. 第10回⑧ 検出と調査のサービス（Amazon GuardDuty・Amazon Inspector・Amazon Macie・Amazon Detective・AWS Security Hub・検出と調査の使い分け）
66. 第10回⑨ コンプライアンスと情報源（コンプライアンスの考え方・第三者認証と地域・業界・AWS Artifact・監査に使うログ・AWS Marketplace のセキュリティ製品・セキュリティ情報の入手先）
67. 第10回⑩ 第10回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
68. 第11回① Well-Architected フレームワークと6つの柱（この回のねらい・この講座について・前の回の振り返り・この回の役割・Well-Architected フレームワークとは・6つの柱の全体像）
69. 第11回② 柱の問いと Well-Architected Tool（柱が答える問い・一般的な設計原則・柱どうしのトレードオフ・Well-Architected Tool）
70. 第11回③ 6つの柱（運用上の優秀性・セキュリティ・信頼性・パフォーマンス効率・コスト最適化・持続可能性・柱と回の対応）
71. 第11回④ 柱どうしの見分け方（信頼性とパフォーマンス効率・コスト最適化と持続可能性・運用上の優秀性と信頼性・セキュリティの柱と第10回）
72. 第11回⑤ 問題文と事例で柱を選ぶ（問題文の言葉から柱を選ぶ・ある EC サイトの会社の構成・柱の目で見直す）
73. 第11回⑥ 故障に備えた設計と疎結合（4つの原則の全体像・故障に備えた設計・コンポーネントの分離（疎結合））
74. 第11回⑦ 伸縮性・並列化と4つの原則（伸縮性の活用・並列化を考慮する・4つの原則と柱）
75. 第11回⑧ 第11回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
76. 第12回① 移行とは何か（この回のねらい・この講座について・前の回の振り返り・移行とは何か・この回の例の会社）
77. 第12回② 移行の流れと利点（移行の大まかな流れ・移行の利点・移行を支えるリソース）
78. 第12回③ AWS CAF の6つの観点（AWS CAF とは・6つの観点・ビジネス寄りの3つの観点・技術寄りの3つの観点・期待できる成果・CAF と Well-Architected の違い）
79. 第12回④ 7つの R と移し方（7つの R とは・そのまま移す：リホストとリロケート・少し手を加える：リプラットフォーム・作り直す：リファクタリング（リアーキテクト）・4つの R を並べて見分ける）
80. 第12回⑤ 買い替える・移さない戦略（買い替える：リパーチェス・移さない：リテインとリタイア・例の会社に当てはめる）
81. 第12回⑥ 評価のサービスと AWS MGN（移行のサービスの地図・費用を見積もる：Migration Evaluator・環境を調べる：Application Discovery Service・進み具合を1か所で見る：Migration Hub・サーバーを移す：AWS MGN）
82. 第12回⑦ データベースの移行：DMS と SCT（データベースの移行とは・AWS DMS・止めずに移す：データベースのレプリケーション・設計を変換する：AWS SCT・DMS と SCT の組み合わせ）
83. 第12回⑧ Snow ファミリーと例の会社の移行（大容量データを運ぶ：Snow ファミリー・例の会社の移行を通して見る）
84. 第12回⑨ 第12回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
85. 第13回① 従量課金と料金の決まり方（この回のねらい・この講座について・前の回の振り返り・従量課金と料金の決まり方）
86. 第13回② データ転送とストレージの料金（データ転送：受信と送信・データ転送：リージョン内とリージョン間・ストレージの料金）
87. 第13回③ サービスごとの料金と無料利用枠（安いクラスを選ぶときの注意・サービスごとの料金の決まり方・AWS 無料利用枠）
88. 第13回④ オンデマンドとリザーブドインスタンス（購入オプションの全体像・オンデマンドインスタンス・リザーブドインスタンス（RI）・RI の柔軟性・Organizations での割引の共有）
89. 第13回⑤ Savings Plans・スポットと使い分け（Savings Plans・RI と Savings Plans の違い・スポットインスタンス・専有ホストとハードウェア専有インスタンス・キャパシティーの予約・購入オプションの使い分け）
90. 第13回⑥ 見積り・予算・分析の道具（コスト管理の道具の全体像・AWS 料金見積りツール・AWS Budgets・AWS Cost Explorer・AWS Cost and Usage Report）
91. 第13回⑦ タグ・一括請求とコスト改善（コスト配分タグ・AWS Organizations の一括請求・請求と料金の情報・コスト改善の考え方）
92. 第13回⑧ 困ったときの窓口とサポートプラン（困ったときの窓口の全体像・サポートプランの比較・サポートプランと Trusted Advisor のチェック・AWS サポートセンター）
93. 第13回⑨ Trust & Safety・パートナー・Marketplace（AWS Trust & Safety チーム・技術リソース・AWS パートナーネットワーク（APN）・AWS Marketplace・技術支援）
94. 第13回⑩ 第13回のまとめ（この回の見分け方・要点・参考資料・次の回の予告）
95. 第14回① 見分け方の表と分野 1（この回のねらい・この講座について・前の回の振り返り・見分け方の表の読み方・分野 1 ①：クラウドの性質と費用・分野 1 ②：設計と移行の考え方）
96. 第14回② 分野 2 の見分け方（分野 2 ①：責任共有モデル・分野 2 ②：アクセスと鍵の管理・分野 2 ③：攻撃からの守りと検出・分野 2 ④：記録・監査・統制）
97. 第14回③ 分野 3 の見分け方（分野 3 ①：インフラと処理の場所・分野 3 ②：ストレージ・データベース・移行・分野 3 ③：ネットワーク・分野 3 ④：連携・分析・AI）
98. 第14回④ 分野 4 の見分け方と5つの問い（分野 4 ①：料金と購入オプション・分野 4 ②：コスト管理とサポート・見分けの5つの問い）
99. 第14回⑤ 条件の言葉と主語（基本から一歩進める・条件の言葉①：運用と費用・条件の言葉②：可用性と性能・条件の言葉③：守りと統制・主語を見る：AWS かお客様か）
100. 第14回⑥ 似た言葉と問題文を読む順（似た言葉の取り違え・名前が似ているサービス・時間の配分と見直し・問題文を読む順）
101. 第14回⑦ 受験の申し込みと本人確認（申し込みから結果までの流れ・テストセンターとオンライン・申し込みの手順・本人確認と身分証明書・持ち物と持ち込めないもの）
102. 第14回⑧ オンライン受験の環境と当日（オンライン受験の環境・予約の変更と取り消し・当日の流れと遅刻・試験の後）
103. 第14回⑨ 第14回のまとめ（各回の見分け方の一覧・この回の要点・全14回を終えたら・参考資料）

AWS Certified Cloud Practitioner（試験コード CLF-C02。以下 CLF）では、「怪しい動き（脅威）」「ソフトウェアの弱点（脆弱性）」「機密データ」「操作の記録」を、問題文の言葉から見分けて、検出のサービスを選ぶ問題が問われます。問題文のどの言葉が、どのサービスを指すかが決め手です。

この記事は、CLF の練習問題を1問ずつ解説する連載の第23問です。問題は筆者が試験の範囲に合わせて作ったもので、実際の試験の問題ではありません。まず自分で答えを選んでから、解説を読んでください。

▶ この回の内容は、YouTube の動画（約4分）でも見られます（記事の最後にも埋め込んであります）。

問題

ある企業のセキュリティ担当者は、AWS アカウントの中で起きる怪しい動きに早く気づきたいと考えています。たとえば、使ったことのないリージョンで急に EC2 インスタンスが起動される、EC2 インスタンスが悪意のある IP アドレスと通信する、といった兆候です。ログを分析する仕組みを自分で作らずに、こうした脅威を継続的に検出したい場合、どの AWS サービスを使いますか。

• A. Amazon Macie
• B. AWS CloudTrail
• C. Amazon GuardDuty
• D. Amazon Inspector

答えを決めたら、下を開いてください。

正解は C

正解は C です。

• Amazon GuardDuty は、脅威を検出するサービス
• 有効にするだけで、ログを自動で分析して、怪しい動きを見つける

ここから、選択肢を1つずつ見ていきます。

選択肢ごとの解説

A：Macie は S3 の機密データ（誤り）

Amazon Macie は、Amazon S3 のバケットの中にある、機密データを見つけるサービスです。図の中央のように、個人情報などを、機械学習とパターンマッチングで検出します。

見ているのは、S3 に保存されたデータです。アカウントの中の怪しい動きは、検出しません。

B：CloudTrail は記録するだけ（誤り）

AWS CloudTrail は、API の呼び出しを記録するサービスです。図の中央のように、いつ、誰が、何をしたかを、帳簿のように残します。

ただし、記録するだけで、分析して脅威を見つけることはしません。この記録を材料に使って、脅威を見つけるのが GuardDuty です。

C：GuardDuty はログを自動で分析（正解）

Amazon GuardDuty は、脅威検出サービスです。図の左の、CloudTrail の管理イベント、VPC フローログ、DNS ログを、利用者が何も用意しなくても、自動で分析します。悪意のある IP アドレスなどのリストと、機械学習を使って、図の右のような怪しい動きを見つけます。

利用者は、GuardDuty を有効にするだけです。ログを分析する仕組みを、自分で作る必要はありません。

D：Inspector は脆弱性を探す（誤り）

Amazon Inspector は、ソフトウェアの弱点、つまり脆弱性を探すサービスです。EC2 インスタンス、コンテナイメージ、Lambda 関数を、継続的にスキャンします。攻撃に使われるかもしれない弱い所を、前もって見つけて直すためのものです。

脆弱性は弱い所であって、今起きている怪しい動きを検出するものではありません。

4つのサービスの見分け方

怪しい動き（脅威）は GuardDuty、ソフトウェアの弱点（脆弱性）は Inspector、S3 の機密データは Macie、操作の記録は CloudTrail です。試験では、脅威・脆弱性・機密データ・記録という言葉で見分けます。

ポイント

• 怪しい動き（脅威）を継続的に検出 ＝ Amazon GuardDuty
• 有効にするだけで、CloudTrail・VPC フローログ・DNS ログを 自動で分析
• 脆弱性 ＝ Inspector、S3 の機密データ ＝ Macie、操作の記録 ＝ CloudTrail

GuardDuty・Inspector・Macie の役割と使い分け、CloudTrail の記録の残し方は、講座の記事で詳しく解説しています。

• 講座の第10回⑧「検出と調査のサービス」（連載の入口のページから）
• 講座の第09回②「AWS CloudTrail」（連載の入口のページから）

講座の全14回は、連載の入口のページから順に読めます。

動画で見る

この回の内容を、YouTube の動画（約4分）でも解説しています。

連載の全回は、YouTube の再生リスト「CLF-C02 試験対策問題」にまとめています。

連載「CLF-C02 試験対策問題」

全回の目次と、読む順番・目的別の読み方は、CLF-C02 試験対策問題の入口のページにまとめています。

1. 第1問 初期費用をかけずに始めるコストの利点（従量課金・規模の経済）
2. 第2問 数分でグローバルに展開（世界同時公開と低い遅延）
3. 第3問 高可用性（EC2 の複数 AZ 配置と RDS マルチ AZ）
4. 第4問 クラウドの俊敏性（数分で作成・すぐに削除）
5. 第5問 責任共有モデル（EC2 へのリホストで AWS に任せられること）
6. 第6問 数時間だけのアクセスのピークに備える（EC2 Auto Scaling・オンデマンド）
7. 第7問 Well-Architected の6つの柱（信頼性・パフォーマンス効率）
8. 第8問 信頼性の柱の設計原則（自動で復旧・水平方向のスケール）
9. 第9問 持続可能性の柱の設計原則（使用率の最大化・マネージドサービス）
10. 第10問 AWS CAF の変革ジャーニーのフェーズ（構想・連携・ローンチ・スケール）
11. 第11問 AWS CAF のパースペクティブ（構成管理・パッチ管理はオペレーション）
12. 第12問 移行のビジネスケース（Migration Evaluator）
13. 第13問 AWS CAF のパースペクティブ（役割と組織の変化は人材）
14. 第14問 サーバーをそのまま EC2 に移す（AWS Transform MGN）
15. 第15問 ファイルの移行（AWS DataSync）
16. 第16問 移行戦略の7つの R（リパーチェス・SaaS への乗り換え）
17. 第17問 適切なサイズ設定（CPU は余り、メモリが不足）
18. 第18問 責任共有モデル（Lambda と RDS）
19. 第19問 最小権限の原則（IAM のポリシーと SCP）
20. 第20問 責任共有モデル（EC2 と S3、AWS の責任）
21. 第21問 共有統制の例（責任共有モデルの IT 統制）
22. 第22問 コンプライアンスの資料と契約（AWS Artifact）
23. 第23問 脅威の検出（Amazon GuardDuty）（この記事）
24. 第24問 脆弱性の継続的なスキャン（Amazon Inspector）
25. 第25問 S3 の機密データの検出（Amazon Macie）
26. 第26問 S3 の保管時の暗号化とキーの管理
27. 第27問 だれが操作したかを調べる（AWS CloudTrail）
28. 第28問 IAM ユーザーの認証情報の一覧（認証情報レポート）
29. 第29問 EC2 のアプリケーションに権限を与える（IAM ロール）
30. 第30問 データベースのパスワードの自動ローテーション（AWS Secrets Manager）
31. 第31問 社員に一時的な認証情報を発行するサービス（AWS STS）
32. 第32問 ルートユーザーでなければできない作業（アカウントの閉鎖・メールアドレスの変更）
33. 第33問 アプリの会員のサインインとソーシャルログイン（Amazon Cognito）
34. 第34問 同じ IP からの大量のリクエストを止める（AWS WAF のレートベースのルール）
35. 第35問 追加料金なしの DDoS 保護（AWS Shield Standard）
36. 第36問 他社のソフトウェアを AMI で使う（AWS Marketplace）
37. 第37問 インストールなしでブラウザから AWS CLI を使う（AWS CloudShell）
38. 第38問 同じ構成の環境をコードで何度でも作る（CloudFormation・CDK）
39. 第39問 工場の中で AWS のサービスを動かすには（AWS Outposts）
40. 第40問 世界の利用者の近くでキャッシュして配信（Amazon CloudFront）
41. 第41問 コードを上げるだけで Web アプリを動かすサービス（AWS Elastic Beanstalk）
42. 第42問 サーバーを管理せずにコンテナを動かす（AWS Fargate）
43. 第43問 URL のパスで振り分けるロードバランサー（Application Load Balancer）
44. 第44問 つながりを何段もたどるグラフデータベース（Amazon Neptune）
45. 第45問 RDS の自動フェイルオーバーと読み取りの分離（マルチ AZ・リードレプリカ）
46. 第46問 サーバーの管理なしにアクセスの増減に合わせるデータベース（Amazon DynamoDB）
47. 第47問 セキュリティグループの特徴（ステートフル・インスタンス単位）
48. 第48問 障害のときだけ別のリージョンへ DNS で切り替え（Route 53 のフェイルオーバールーティング）
49. 第49問 今あるインターネット回線で、すぐに暗号化してつなぐ（AWS Site-to-Site VPN）
50. 第50問 一部の管理者だけは解除できる削除の保護（S3 オブジェクトロックのガバナンスモード）
51. 第51問 めったに見ないがミリ秒で開く画像の保管（S3 Glacier Instant Retrieval）
52. 第52問 Windows のファイルサーバーを移す（Amazon FSx for Windows File Server）
53. 第53問 案内文を翻訳して音声で読み上げる（Amazon Translate と Amazon Polly）
54. 第54問 S3 のデータをカタログにして SQL で照会（AWS Glue と Amazon Athena）
55. 第55問 依頼をためて、受け付けた順に1回だけ処理（Amazon SQS の FIFO キュー）
56. 第56問 設備を買わずに電話とチャットの窓口を作る（Amazon Connect）
57. 第57問 EC2 と自社のサーバーに少しずつ配置し、失敗したら戻す（AWS CodeDeploy）
58. 第58問 アプリだけをブラウザに配信（WorkSpaces Applications・旧 AppStream 2.0）
59. 第59問 コア単位のライセンスを持ち込み、同じ物理サーバーで動かす（EC2 の専有ホスト）
60. 第60問 EC2・Fargate・Lambda と夜間のバッチのコスト削減（Compute Savings Plans・スポット）
61. 第61問 管理者も外せないリージョンの制限と、請求書の一本化（AWS Organizations の SCP）
62. 第62問 1つのアカウントの料金をプロジェクトごとに分ける（コスト配分タグ）
63. 第63問 料金のグラフと予算超えの通知（Cost Explorer・Budgets）
64. 第64問 アカウントを作る前に料金を見積もる（AWS Pricing Calculator）
65. 第65問 ベストプラクティスに合わない所を自動で見つける（AWS Trusted Advisor）
66. 第66問 AWS 側の保守の予定を前もって知る（AWS Health Dashboard）
67. 第67問 アクセスに合わせて台数を自動で増減する（Amazon EC2 Auto Scaling）
68. 第68問 パフォーマンス効率の柱の設計原則（高度なテクノロジー・グローバル展開）
69. 第69問 移行戦略の7つの R（リタイア・使われていないアプリを停止）
70. 第70問 AWS CAF のパースペクティブ（支出とデータの統制はガバナンス）
71. 第71問 ライセンスを持たずに SQL Server を使う（RDS のライセンス込み）
72. 第72問 EC2 と自社のサーバーのパッチを自動で当てる（AWS Systems Manager Patch Manager）
73. 第73問 障害の教訓を共有し、運用の手順を見直す（運用上の優秀性の設計原則）
74. 第74問 設定の履歴を記録し、社内ルールに合わないリソースを「非準拠」にする（AWS Config）
75. 第75問 S3 へのアップロードごとに短い処理をサーバーレスで動かす（AWS Lambda）
76. 第76問 12のアカウントと SaaS に1回でサインイン（AWS IAM Identity Center）
77. 第77問 インターネットを通らずに、帯域とレイテンシーを安定させる（AWS Direct Connect）
78. 第78問 途中でファミリーを変え、前払いできない RI の選び方（コンバーティブル・前払いなし）
79. 第79問 セキュリティの検出結果を集めて設定もチェック（AWS Security Hub CSPM）
80. 第80問 AWS CAF のパースペクティブ（イノベーションとデータの収益化はビジネス）
81. 第81問 特定の IP アドレスの範囲を、サブネットの入り口で拒否する（ネットワーク ACL）
82. 第82問 組織の外と共有・一般に公開されているリソースを一覧にする（IAM Access Analyzer）
83. 第83問 複数の AZ の EC2 から NFS で同じファイルを共有する（Amazon EFS）
84. 第84問 ルートユーザーの守り方と日常の作業（MFA・IAM Identity Center）
85. 第85問 一括請求の料金の利点（ボリューム料金の階層・リザーブドインスタンスの割引の共有）
86. 第86問 数ペタバイトの販売データをまとめて毎日集計する（Amazon Redshift）
87. 第87問 OS のパッチを自社で当てなくてよい移行先（Amazon RDS・AWS Lambda）
88. 第88問 移行戦略の7つの R（リプラットフォーム・VM をコンテナにして ECS と Fargate へ）
89. 第89問 GPU の学習と CPU のバッチ処理に合うインスタンスファミリー（高速コンピューティング・コンピューティング最適化）
90. 第90問 アプリのエラーの件数と CPU 使用率をしきい値で見張り、E メールで知らせる（Amazon CloudWatch）
91. 第91問 1回の発行で SQS・Lambda・E メールに届ける（Amazon SNS のトピック）
92. 第92問 部署の人の権限を追加料金なしでまとめて管理（IAM ユーザーグループ）
93. 第93問 最も詳しいコストのデータを S3 へ（AWS Data Exports の CUR 2.0）
94. 第94問 視聴履歴とクリックから利用者ごとの動画のおすすめ（Amazon Personalize）
95. 第95問 攻撃中の専門チームの支援と DDoS のコスト保護（AWS Shield Advanced）
96. 第96問 AWS CAF のトランスフォーメーションの分野（業務のデジタル化はプロセス）
97. 第97問 パブリックとプライベートのサブネットに必要な部品（インターネットゲートウェイ・NAT ゲートウェイ）
98. 第98問 SSH・コンソール・CLI の認証情報の使い分け（キーペアとアクセスキー）
99. 第99問 よくある質問の解決の記事を読む（AWS re:Post のナレッジセンター）
100. 第100問 設定値を階層でまとめて追加料金なしで保管（Parameter Store）