AssumeRoleをSCS視点で完全理解する
AssumeRoleの信頼ポリシー、呼び出し側権限、クロスアカウント、External ID、MFA、セッションポリシー、CloudTrail監査を詳しく解説する。
AssumeRoleの信頼ポリシー、呼び出し側権限、クロスアカウント、External ID、MFA、セッションポリシー、CloudTrail監査を詳しく解説する。
CloudFormationのサービスロール、iam:PassRole、Change Sets、Stack Policy、Drift Detection、Hooks、Guard、機密値管理をSCS-C03で判断できる粒度まで整理する。
CloudFrontのHTTPS、OAC、WAF、Shield、署名URL、Origin Shield、ログ監査をSCS-C03で判断できる粒度まで整理する。
IAM Identity Center、外部IdP、SAML、OIDC、permission set、AssumeRoleWithSAML、AssumeRoleWithWebIdentity、ABAC、監査設定をSCS-C03向けに整理する。
AWS STSの一時認証情報、AssumeRole系API、GetSessionToken、セッションポリシー、セッションタグ、リージョナルエンドポイントを整理する。
SCS-C03を『Domain × Incident Timeline × Decision Tree』の3次元で理解する超詳細ガイド。IAM・KMS・VPC・検知運用・ガバナンスを試験で使える判断粒度まで分解。
AWS Certificate Manager(ACM)の証明書発行、DNS検証とEmail検証の違い、ALB/CloudFrontでの使用方法、自動更新の仕組み、プライベート証明書、インポート証明書の管理を解説。
ALBリスナールールの条件タイプ(パス/ホスト/ヘッダー/クエリ文字列)、アクションタイプ(転送/リダイレクト/固定応答/認証)、優先度設定、Cognitoおよびoidc認証統合を解説。
AWS Audit Managerのフレームワーク(PCI DSS/SOC 2/HIPAA/GDPR)、証拠の自動収集、カスタムコントロール、評価レポートの生成、Security HubとConfigとの統合による継続的コンプライアンスを解説。
Amazon Aurora Serverless v2のACU(Aurora Capacity Unit)スケーリング、最小/最大ACU設定、v1との違い、マルチAZとリードレプリカ対応、コスト計算、ユースケース別設定例を解説。
Amazon AuroraとRDSの共有ストレージアーキテクチャの違い、フェイルオーバー速度、リードレプリカの仕組み、Aurora Multi-Master、Aurora Global Database、コスト比較を解説。
AWS BackupのVault Lock機能、Governance/Complianceモードの違い、最小/最大保持期間の強制、クールオフ期間、ランサムウェア対策バックアップ設計、マルチアカウントへのバックアップを解説。
CloudFrontのキャッシュビヘイビア、キャッシュポリシー(CachingOptimized等)、オリジンリクエストポリシー、カスタムCacheKey設定、TTL制御、Invalidation、Origin Groupsを解説。
CloudFront Origin Shieldの仕組み、追加キャッシュレイヤーとしての役割、リージョン別のキャッシュヒット率向上効果、オリジンのスパイク保護、Origin Shieldのリージョン選択基準を解説。
CloudFrontの署名付きURL(Signed URL)と署名付きCookie(Signed Cookie)の違い、キーペアの作成、有効期限設定、S3との組み合わせ、OACによるS3直接アクセス禁止設定を解説。
CloudFrontにWAFを適用してSQLインジェクション・XSSをブロックし、AWS ShieldでDDoSを防御する多層エッジセキュリティの設計、WAFルールグループの組み合わせ、Shield Advancedの自動DDoS軽減を解説。
AWS CloudHSMとKMSの根本的な違い、FIPS 140-2 Level 3準拠、シングルテナントHSM、KMSカスタムキーストアとしてのCloudHSM利用、コストと運用負荷の比較を解説。
AWS CloudTrailの管理イベント(コントロールプレーン)とデータイベント(データプレーン)の違い、S3オブジェクトレベルのログ設定、CloudTrail Insightsによる異常検出を解説。
CloudWatchアラームの状態(OK/ALARM/INSUFFICIENT_DATA)、複合アラーム(Composite Alarm)、機械学習ベースの異常検出アラーム、Auto Scalingポリシーとの連携、Datapointsを解説。
CloudWatch Logs Insightsのクエリ構文(fields/filter/stats/sort/limit)、Lambdaエラー分析、APIレイテンシー集計、VPCフローログ分析、コスト最適化のスキャン範囲設定を解説。
AWS Configのマネージドルール vs カスタムルール、設定変更トリガー vs 定期評価、Systems Manager Automationによる自動修復、コンフォーマンスパック、マルチアカウント集約を解説。
AWS ConfigとCloudTrailの役割の違い、Configが記録するリソース設定変更とCloudTrailが記録するAPI操作ログ、GuardDutyとの組み合わせ、セキュリティ調査フロー、両者を補完的に使う設計を解説。
AWS Control Towerのランディングゾーン、Account Factory、コントロール(ガードレール)の種類、SCP/Config Rulesとの関係、OU構造設計、既存アカウントへの適用を解説。
Amazon DetectiveのVPC フローログ・CloudTrail・GuardDuty Findingsを統合した調査グラフ、エンティティ関係の可視化、GuardDuty Findingsからのドリルダウン調査、Detective の有効化手順を解説。
DynamoDB Accelerator(DAX)のアーキテクチャ、アイテムキャッシュとクエリキャッシュ、TTL設定、DAXが向かないワークロード、ElastiCacheとの使い分けを解説。
DynamoDBのGSI(グローバルセカンダリインデックス)とLSI(ローカルセカンダリインデックス)の違い、作成タイミング、一貫性、スループット設定、クエリパターンを解説。
DynamoDBのパーティションキー設計の原則、ホットパーティション問題の発生条件と対策、アダプティブキャパシティ、Writeシャーディングパターン、GSIを活用した設計を解説。
DynamoDB Streamsのストリームビュータイプ(KEYS_ONLY/NEW_IMAGE/OLD_IMAGE/NEW_AND_OLD_IMAGES)、Lambda関数トリガー、ストリームの保持期間、Kinesis Data Streamsとの違いを解説。
AWSのAMIタイプ(EBSバックストアvs インスタンスストアバックストア)の違い、EBSボリュームとインスタンスストアのパフォーマンス比較、AMIのコピーとシェア、ゴールデンAMI設計を解説。
EC2 Auto Scalingのライフサイクルフック(起動・終了)、スケーリングポリシーの種類(ターゲット追跡/ステップ/スケジュール)、ヘルスチェックの設定、ウォームアップとクールダウンを解説。
EC2 Image Builderのコンポーネント・レシピ・パイプラインの設計、AMIへのセキュリティパッチ適用自動化、CISベンチマークテスト統合、マルチリージョン配布、コンテナイメージへの対応を解説。
EC2インスタンスメタデータサービスのIMDSv1とIMDSv2の違い、セッション指向のトークン方式によるSSRF攻撃対策、IMDSv2の強制設定方法、アクセス制限の設定を解説。
EC2の3種類の配置グループ(クラスター、スプレッド、パーティション)の仕組み、ネットワーク性能への影響、ハードウェア障害の隔離、HPC・大規模分散処理での設計パターンを解説。
EC2の4つの料金モデル(On-Demand、Reserved Instance、Spot Instance、Savings Plans)の詳細比較、コスト削減率、Spot中断への対策、Savings PlansとRIの使い分けを解説。
Amazon EBSの各ボリュームタイプ(gp3、gp2、io2 Block Express、io1、st1、sc1)のIOPS・スループット・コストの詳細比較、ユースケース別の選択基準、gp2からgp3への移行を解説。
ECS Fargateのawsvpcネットワークモード、タスクごとのENI割り当て、セキュリティグループ設計、VPCサブネット選択、Service Connectによるサービスディスカバリーを解説。
ECSのタスク実行ロール(ECSエージェントが使うロール)とタスクロール(コンテナアプリが使うロール)の違い、ECRからのイメージ取得、Secrets Manager統合、コンテナレベルの最小権限設計を解説。
Amazon ECSとEKSの設計哲学の違い、管理オーバーヘッド、スケーリング機能、ネットワーキング、コスト、ポータビリティの観点での比較と選択基準を解説。
AWSの3種類のロードバランサー(ALB、NLB、CLB)の動作レイヤー、プロトコルサポート、スティッキーセッション、固定IP、mTLS、WebSocket対応の違いと設計パターンを解説。
保存時暗号化(Encryption at Rest)と転送時暗号化(Encryption in Transit)の違い、S3/EBS/RDS/DynamoDBの暗号化設定、TLS強制方法、KMSとの統合、エンドツーエンド暗号化設計を解説。
Amazon EventBridge、SNS、SQSの役割の違い、ルーティング機能の比較、デカップリングパターン、イベントバスとトピックとキューの選択基準、クロスアカウント・クロスリージョンを解説。
要件が曖昧な問題ではマネージドかつ従量課金を優先する。
目標復旧時間と復旧時点を数値化すると解法が安定する。
要件・制約・禁止事項の3軸で選択肢を減点し最終候補を残す。
同系統サービスの差分は責任範囲・拡張性・監査性で比較する。
低遅延と高吞吐を混同せず、要件ごとにサービスを当てる。
絶対表現は誤答率が高いので、例外条件がないかを先に探す。
ネットワーク→アイデンティティ→データ→アプリの順で考える。
設問の否定語は最初に囲って、選択肢を読む前に「何を除外する問題か」を固定する。
「最小の運用」で問われたらサーバレス・フルマネージドを軸にする。
AWS責任と利用者責任を二分すると誤選択肢を大量に除去できる。
AWS Global AcceleratorとCloudFrontの根本的な違い、Anycastネットワーク、静的IPアドレス、エッジキャッシュとの比較、ゲーム・VoIP・APIへの適用パターンを解説。
GuardDutyが検出する脅威の種類(UnauthorizedAccess, Backdoor, CryptoCurrency等)、データソース(CloudTrail/VPCフローログ/DNS)、S3 Protection、EKS Protection、EventBridgeとの自動対応を解説。
IAM Access Analyzerの2つの機能(外部アクセス分析・未使用アクセス分析)、Zone of Trust設定、CloudTrailベースの権限絞り込み、SCS試験頻出ポイントを解説。
AWS複数アカウント構成でのIAMロール連携を解説。スイッチロール設定、External ID、ロールチェーン上限、OrganizationsとRAMを使った効率的な権限管理まで。
IAMのアイデンティティベースポリシーとリソースベースポリシーの違い、同一アカウント/クロスアカウントでの評価ロジック、リソースポリシーが使えるAWSサービス一覧を解説。
IAMパーミッションバウンダリーの仕組み、有効な権限の計算方法、開発者への権限委任パターン、SCPとの違いを試験対策の観点から解説します。
IAMポリシーのConditionブロックで使える条件キーを網羅解説。MFA必須化、IP制限、リソースタグによる動的制御、aws:CalledVia等の試験頻出キーを実例付きで紹介。
AWSのIAMポリシー評価順序を完全解説。明示的Deny、SCP、パーミッションバウンダリー、クロスアカウントの双方向Allow要件まで試験頻出ポイントを深掘りします。
IAMユーザーとIAMロールの違い、AssumeRoleの仕組み、EC2/Lambda/クロスアカウントでのロール設計、長期クレデンシャルを避けるべき理由を解説します。
IAMサービスリンクロールの概念、AWSサービスが自動作成する専用ロール、通常のIAMロールとの違い、削除条件、Organizations SCPとの関係、トラブルシューティングを解説。
Amazon Inspector v2の継続的脆弱性スキャン、EC2/ECR/Lambda対応、CVSSスコアによる優先度付け、リスクスコア計算、Security Hubとの統合、自動修復パターンを解説。
Kinesis Data Streamsのシャード設計、パーティションキーとシャード割り当て、プロデューサー/コンシューマーAPI、Enhanced Fan-Out、KCL vs Lambda統合、データ保持期間とコスト最適化を解説。
AWSサービスが内部で使うエンベロープ暗号化の仕組み、GenerateDataKeyとGenerateDataKeyWithoutPlaintext、データキーキャッシュによるKMSコスト削減、SDKでの実装方法を解説。
KMSグラントの仕組み、CreateGrant/RetireGrant/RevokeGrant操作、グラントトークンの使用、AWSサービスによるグラント自動作成(EBS/S3)、キーポリシーとの適切な使い分けを解説。
KMSキーポリシーとIAMポリシーの評価の違い、アカウントルートAllow必須の理由、キーポリシーのみでの制御パターン、クロスアカウントでのKMS使用設定を解説。
AWS KMSの3種類のキー(AWS管理キー、カスタマー管理キー、カスタムキーストア)の違い、ローテーション設定、対称/非対称キー、MACキー、削除待機期間を解説。
KMSマルチリージョンキーの仕組み、プライマリキーとレプリカキーの関係、クロスリージョンでのデータ復号、DynamoDB GlobalTables/S3レプリケーションとの組み合わせを解説。
Lambda同時実行の仕組み、アカウントレベルの上限(1000)、予約済み同時実行(Reserved)とプロビジョニング済み同時実行(Provisioned)の違い、コールドスタート対策を解説。
Lambda非同期呼び出しの成功/失敗時の宛先(Destinations)設定、DLQとの違い、最大試行回数、イベントエイジの上限、EventBridgeとSQSへのルーティングパターンを解説。
Lambdaレイヤーの仕組み、最大5レイヤー制限、共有ライブラリの再利用、コンテナイメージとzipデプロイの違い、10GBイメージサポート、Lambda拡張機能を解説。
Lambda関数の実行ロール(何にアクセスできるか)とリソースベースポリシー(誰が呼び出せるか)の違い、クロスアカウント呼び出し、APIゲートウェイ/S3/EventBridgeからの呼び出し設定を解説。
LambdaをVPC内に配置する設定、プライベートDBやElastiCacheへのアクセス、コールドスタートへの影響、ENI数の計算、インターネットアクセスのためのNAT設定を解説。
Amazon MacieによるS3バケット内の機密データ(PII、クレジットカード、認証情報)の自動検出、カスタムデータ識別子、検出ジョブ、マルチアカウント管理、GDPRやPCI DSS対応を解説。
プライベートサブネットのアウトバウンド通信を実現するNATゲートウェイとNATインスタンスの比較、NATゲートウェイのAZ冗長設計、帯域幅スケーリング、コスト計算を解説。
Network Load BalancerへのElastic IP割り当て、AZごとのEIP設計、NLBのターゲットタイプ(インスタンス/IP/ALB)、クロスゾーン負荷分散の無効設定、IPホワイトリストが必要な構成でのNLB活用を解説。
AWS Organizationsのマスターアカウントとメンバーアカウントの役割、委任管理者(Delegated Administrator)設定、タグポリシーによるタグの標準化、バックアップポリシー、AI サービスオプトアウトポリシーを解説。
Service Control Policiesの評価ロジック、OU階層での継承、管理アカウントへの非適用、よく使うSCP設計パターン(リージョン制限・ルートアクション禁止・S3保護)を解説。
AWS PrivateLinkの仕組み、エンドポイントサービスの作成、NLBとの統合、クロスアカウント・クロスVPCでのプライベート接続、VPCピアリングとの設計上の違いを解説。
AWS RAMを使ったVPCサブネット、Transit Gateway、Route53リゾルバールール、License Managerライセンスのクロスアカウント共有設定、Organizations統合、招待フローを解説。
RDSの暗号化(保存時)の設定方法、作成後の暗号化有効化の手順、暗号化スナップショットのクロスリージョンコピー、KMSキーの変更方法、転送時暗号化の設定を解説。
RDS Multi-AZとリードレプリカの根本的な違い、フェイルオーバー時間、同期/非同期レプリケーション、リードレプリカの昇格、クロスリージョンリードレプリカのDR活用を解説。
Route53ヘルスチェックの種類(エンドポイント/計算/CloudWatch)、フェイルオーバールーティング、プライベートリソースへのヘルスチェック、SNS通知との連携を解説。
Route53プライベートホストゾーンの設定、VPCとの関連付け、Resolverインバウンド/アウトバウンドエンドポイント、オンプレミスとVPC間のDNS解決、スプリットビュー設計を解説。
Route 53の7つのルーティングポリシー(シンプル/加重/レイテンシー/フェイルオーバー/地理的/地理的近接性/IP-based)の動作の違い、ヘルスチェックとの連携、マルチバリューを解説。
S3アクセス制御のバケットポリシーとIAMポリシーの評価ロジック、同一アカウントとクロスアカウントの違い、ACLとの関係、バケットポリシーが必要なケースを具体例で解説。
S3の4種類の暗号化方式(SSE-S3, SSE-KMS, DSSE-KMS, SSE-C, クライアントサイド)を比較。鍵管理の違い、KMS API呼び出しコスト、バケットキー設定、試験頻出ポイントを解説。
S3イベント通知の設定方法、SNS・SQS・Lambda・EventBridgeへの連携パターン、イベントタイプの種類、ファンアウト設計、重複通知の可能性と対策を解説。
S3ライフサイクルルールの移行(Transition)と有効期限(Expiration)の設定、ストレージクラス間の遷移制約、マルチパートアップロードの不完全部分削除、コスト最適化パターンを解説。
S3マルチパートアップロードの仕組み、5MB/5GB/5TBの各制限、並列アップロードによる高速化、Transfer Accelerationとの組み合わせ、中断した場合のコスト管理まで解説。
S3 Object LockのWORM(Write Once Read Many)実装、ガバナンスモードとコンプライアンスモードの違い、Legal Hold、バケット設定の注意点を規制対応の観点から解説。
S3署名付きURLの仕組み、有効期限の設定(最大7日間)、IAMユーザーvsロールでの有効期限上限の違い、セキュリティリスクと対策、マルチパートアップロードとの組み合わせを解説。
S3のCRR(クロスリージョン)とSRR(同一リージョン)レプリケーションの設定、レプリケートされないオブジェクトの条件、双方向レプリケーション、Time Control機能を解説。
S3の全ストレージクラス(Standard, IA, One Zone-IA, Glacier Instant/Flexible/Deep Archive, Intelligent-Tiering)のコスト構造、取り出し時間、最小保存期間を試験対策視点で比較。
S3バージョニングの有効化・一時停止の違い、削除マーカーの仕組み、バージョン数増加によるコスト管理、ライフサイクルルールとMFADelete設定を試験対策視点で解説。
AWS Secrets ManagerとSSM Parameter Storeの機能比較、コスト差、シークレットの自動ローテーション、パラメータ階層、KMS統合、Lambda/ECS/EC2での参照パターンを解説。
VPCのセキュリティグループとネットワークACLの根本的な違い(ステートフルvsステートレス)、評価順序、インバウンド/アウトバウンドルールの書き方、設計パターンを解説。
AWS Security Hubのセキュリティコントロール、FSBP/CIS/PCI DSS/SOC2準拠チェック、複数AWSアカウントの集中管理、Finding集約、EventBridgeとの自動修復設計を解説。
AWS Shield StandardとAdvancedのL3/L4/L7保護の範囲、SRTサポート、コスト保護、WAFとの連携、CloudFront/Route53/ALBへの適用、Shield Advancedが必要なケースを解説。
SNSサブスクリプションフィルターポリシーの構文、属性ベースフィルタリング、数値条件、プレフィックスマッチ、MessageAttributesとMessageBodyフィルタリングの違いを解説。
SQSのショートポーリングとロングポーリングの違い、WaitTimeSecondsの設定、ReceiveMessageWaitTimeSecondsによるキュー設定、Lambdaとの統合時のポーリング動作、コスト削減効果を解説。
SQSのStandardキューとFIFOキューの違い、at-least-once配信と exactly-once処理、メッセージグループID、重複排除ID、スループット制限、デッドレターキューの設計を解説。
SQSの可視性タイムアウトの仕組み、延長方法、デッドレターキュー(DLQ)の設定と最大受信回数、VisibilityTimeoutとLambdaのタイムアウトの関係を解説。
AWS Systems Manager Parameter StoreのスタンダードとAdvancedティアの違い、パラメータポリシー、パラメータバージョン管理、KMS暗号化、シークレットマネージャーとの比較、ラベル付けを解説。
AWS Step FunctionsのStandard vs Expressワークフロー、状態タイプ(Task/Choice/Parallel/Wait/Map)、エラーハンドリングとリトライ、Lambda/ECS/SQS統合パターン、SAGAパターン実装を解説。
Amazon EBS(ブロックストレージ)、EFS(ファイルシステム)、S3(オブジェクトストレージ)の特性、ユースケース、パフォーマンス、コスト、マルチAZ対応の違いを解説。
AWS Storage Gatewayの4種類(S3 File Gateway、FSx File Gateway、Tape Gateway、Volume Gateway)の用途の違い、キャッシュ設計、オンプレミスからS3への透過的なアクセス、ハイブリッドストレージアーキテクチャを解説。
AWS Trusted Advisorのチェックカテゴリ(コスト最適化/セキュリティ/パフォーマンス/耐障害性/サービス制限)、無料チェックと有料チェックの違い、Organizations統合、自動対応の設定を解説。
AWSのVPC CIDRブロック設計、許可されるIPv4範囲、セカンダリCIDRの追加、VPCピアリング時の重複CIDR問題、サブネット設計のベストプラクティスを解説。
VPCの多層防御設計、セキュリティグループとNACLの組み合わせ、AWS Network Firewall、WAFとShieldの配置、プライベートサブネット設計、踏み台サーバーの廃止(SSM Session Manager)を解説。
VPCのInterfaceエンドポイントとGatewayエンドポイントの仕組みの違い、対応サービス、料金、エンドポイントポリシー、DNS設定、PrivateLinkとの関係を解説。
VPCフローログが記録するフィールド、キャプチャされないトラフィックの種類、CloudWatch Logs/S3への出力設定、Athenaによるクエリ分析、セキュリティ調査での活用法を解説。
VPCのIPv6デュアルスタック設定、Egress-Only Internet Gateway(IPv6専用)、IPv4のみのリソースとの共存、IPv6 CIDRブロックの割り当て、セキュリティグループとNACLのIPv6対応を解説。
VPCピアリングとTransit Gatewayのアーキテクチャの違い、推移的ルーティング問題、スケーラビリティ、コスト比較、マルチアカウント構成での使い分けを解説。
オンプレミスとAWSを接続するSite-to-Site VPNとDirect Connectの詳細比較、Direct Connect Gateway、Transit VIF、VPN + DXの冗長構成、帯域幅オプションを解説。
AWS WAFのルールグループ、AWSマネージドルールセット、レートベースルール、地理的制限、ボット制御、IPセット管理、CloudFront/ALBとの連携パターンを解説。