出題範囲（24分野）
- Domain 2: Design for new solutions55問
- Domain 3: Continuous improvement for existing solutions60問
- Domain 1: Design solutions for organizational complexity55問
- Domain 4: Accelerate workload migration and modernization55問
- D1-T1: Multi-account strategy & governance (Organizations/SCP/guardrails)60問
- D1-T4: Cross-account/Region data protection & KMS encryption strategy60問
- D1-T2: Hybrid & multi-account networking (VPC/Transit Gateway/VPN/DX)60問
- D1-T5: Multi-Region resiliency & DR (RTO/RPO, failover patterns)50問
- D1-T3: Cross-account identity & access (SSO/Federation/IAM roles)60問
- D2-T3: Data/storage design (S3/EBS/EFS/RDS/Aurora/DynamoDB)55問
- D2-T5: Security controls (IAM/KMS/WAF/Shield/Secrets Manager)55問
- D2-T6: Observability & operations (CloudWatch/X-Ray/CloudTrail)55問
- D2-T4: Networking & edge (ALB/NLB/CloudFront/GA/Route 53)55問
- D2-T1: Requirements → target architecture (HA/scale/security/cost)50問
- D2-T2: Compute selection (EC2/ASG/EKS/ECS/Fargate/Lambda)50問
- D3-T2: Performance optimization (caching/partitioning/scaling)60問
- D3-T1: Cost optimization (RI/SP/Graviton/storage classes)55問
- D3-T3: Resilience & reliability improvements (retries/backoff/DR)55問
- D3-T4: Operational excellence (IaC/CI-CD/deploy patterns/runbooks)60問
- D4-T4: Modernization (containers/serverless/managed DB/analytics)60問
- D4-T1: Discovery & assessment (inventory, TCO, readiness)55問
- D4-T5: Validation, cutover & post-migration optimization55問
- D4-T3: Data migration (DMS/SCT, cutover, sync strategies)60問
- D4-T2: Migration strategy (7R) & wave planning60問
AWS Certified Solution Architect Professional(SAP-C02)の例題（6問・解説つき）
スキルサートのAIが出題範囲に沿って作成した演習問題です（過去問ではありません）。アプリでは毎週新しい問題が追加されます。
例題1Domain 2: Design for new solutions
大規模な多国籍企業が、AWS上に新しいアプリケーション環境を構築しています。この企業はAWS Organizationsを利用しており、数百のAWSアカウントを管理しています。要件として、各アカウントのVPC間およびオンプレミスのデータセンターとの通信を一元管理し、ネットワークセキュリティポリシーを統合的に適用する必要があります。また、新しいアカウントが作成された際に、自動的にネットワーク接続がセットアップされるようにする必要があります。どの構成が最も適切ですか？
- AWS Control Towerを使用して各アカウントにVPCピアリングを構成し、フルメッシュネットワークを自動構築する。
- AWS Cloud WANを使用し、コアネットワークエッジを各リージョンに配置して、各VPCをタグベースで自動的にセグメントへアタッチする。
- 各アカウントのVPC間にサードパーティの仮想アプライアンスを配置し、IPsec VPNを使用してすべてのVPCを相互接続するハブアンドスポーク型構成を構築する。
- 各アカウントにAWS Direct Connectゲートウェイを配置し、オンプレミスと個別に接続を確立した上で、VPCエンドポイントを使用して相互接続する。
- 共有サービスアカウントにAWS Transit Gatewayをデプロイし、AWS Resource Access Manager (RAM) を使用して組織全体に共有し、AWS Network Managerで管理する。
解答と解説を見る
正解: 共有サービスアカウントにAWS Transit Gatewayをデプロイし、AWS Resource Access Manager (RAM) を使用して組織全体に共有し、AWS Network Managerで管理する。
正解は「共有サービスアカウントにAWS Transit Gatewayをデプロイし、AWS Resource Access Manager (RAM) を使用して組織全体に共有し、AWS Network Managerで管理する。」です。大規模な組織において、数百のアカウントやVPC間の接続を一元管理するには、AWS Transit Gatewayが最適です。Resource Access Manager (RAM) を利用することで、組織内の他のアカウントとTransit Gatewayを共有でき、新しいアカウントのプロビジョニング時にも容易にネットワークへ統合可能です。また、Network Managerを使用することでグローバルなネットワーク監視が可能になります。フルメッシュのVPCピアリングは管理が煩雑になり、スケーラビリティに欠けるため不適切です。AWS Cloud WANも選択肢になり得ますが、既存のTransit Gateway資産や、より詳細なルート制御の観点から、この要件ではTransit Gatewayを用いた構成が標準的かつ効率的です。
例題2Domain 3: Continuous improvement for existing solutions
大規模なEC2フリートを運用している企業が、リソース利用率の傾向を分析し、インスタンスタイプの最適化（ライトサイジング）を自動化したいと考えています。管理オーバーヘッドを最小限に抑えつつ、機械学習に基づいた推奨事項を取得するために、ソリューションアーキテクトが提案すべきサービスはどれですか。
- Amazon CloudWatch Logs Insights
- AWS Trusted Advisor
- AWS Systems Manager Explorer
- AWS Compute Optimizer
- AWS Budgets
解答と解説を見る
正解: AWS Compute Optimizer
正解は『AWS Compute Optimizer』です。このサービスは機械学習を使用して、過去のリソース利用率（CPU、メモリ、ネットワークなど）を分析し、EC2インスタンス、EBSボリューム、Lambda関数の最適な設定を推奨します。Trusted Advisorもコスト最適化のチェック項目を含みますが、Compute Optimizerの方がより詳細で、具体的なインスタンスタイプの変更案を提示するため、ライトサイジングの自動化検討には最適です。他の選択肢は、ログ分析や予算管理を目的とするものであり、リソース最適化の具体的な推奨エンジンではありません。
例題3Domain 1: Design solutions for organizational complexity
あるグローバル企業は、AWS Organizationsを使用して数千のAWSアカウントを管理しています。現在、us-east-1とeu-central-1の2つのリージョンにまたがる数百のVPCを相互接続し、各リージョンの検査用VPCを介した一元的なアウトバウンドトラフィック制御を実装する必要があります。管理のオーバーヘッドを最小限に抑えつつ、動的なルーティングとグローバルなネットワークポリシー制御を可能にする最も適切なソリューションはどれですか？
- すべてのVPC間にフルメッシュのVPCピアリングを作成し、各VPCのルートテーブルを手動で更新して一元的な検査を確立する。
- 各アカウントにサードパーティのSD-WANアプライアンスをデプロイし、各アプライアンス間でIPsec VPNトンネルを確立してフルメッシュネットワークを構築する。
- AWS PrivateLinkを使用して、各リージョンの検査用VPCにあるプロキシサーバーへトラフィックを誘導するエンドポイントを各VPCに作成する。
- 各リージョンにTransit Gatewayを構築し、リージョン間ピアリングを設定した上で、各VPCに静的ルートを定義する。
- AWS Cloud WANを使用し、コアネットワークエッジを各リージョンに配置して、ネットワークポリシーでセグメンテーションとルーティングを一元的に定義する。
解答と解説を見る
正解: AWS Cloud WANを使用し、コアネットワークエッジを各リージョンに配置して、ネットワークポリシーでセグメンテーションとルーティングを一元的に定義する。
正解は『AWS Cloud WANを使用し、コアネットワークエッジを各リージョンに配置して、ネットワークポリシーでセグメンテーションとルーティングを一元的に定義する』です。AWS Cloud WANは、グローバルなネットワークを構築・管理・監視するための中央ダッシュボードとネットワークポリシーを提供します。Transit Gatewayを個別にピアリングする場合と比較して、ポリシードキュメントによって複数のリージョンにまたがる接続やルーティングを一元的に管理できるため、数千のアカウントや数百のVPCを扱う際の大規模な運用負荷を大幅に軽減できます。検査用VPCへのトラフィック誘導（サービス挿入）もポリシー定義によって効率的に実現可能です。
例題4Domain 4: Accelerate workload migration and modernization
ある金融サービス企業は、オンプレミスのデータセンターで稼働している500台以上の物理サーバーと仮想サーバーを、6か月以内にAWSに移行する計画を立てています。ダウンタイムを最小限に抑え、各サーバーのOS設定やインストール済みソフトウェアを維持したまま、大規模な移行を自動化して効率的に進める必要があります。最も適切なアプローチはどれですか。
- AWS Server Migration Service (SMS) を使用して、増分スナップショットによるレプリケーションをスケジュールし、テストを実施する。
- AWS Migration Hub Strategy Recommendations を使用して、各サーバーのリファクタリング計画を自動生成し、AWS Lambda を使用してコードを書き換える。
- AWS Application Migration Service (MGN) を使用して、ブロックレベルのデータレプリケーションを継続的に行い、カットオーバーを実施する。
- AWS DataSync を使用してオンプレミスのファイルシステムを Amazon EBS ボリュームに直接同期し、新しい EC2 インスタンスにアタッチする。
- VM Import/Export を使用して、各サーバーの仮想ディスクイメージを Amazon S3 にアップロードし、手動で Amazon EC2 インスタンスを作成する。
解答と解説を見る
正解: AWS Application Migration Service (MGN) を使用して、ブロックレベルのデータレプリケーションを継続的に行い、カットオーバーを実施する。
正解は「AWS Application Migration Service (MGN) を使用して、ブロックレベルのデータレプリケーションを継続的に行い、カットオーバーを実施する。」です。大規模なサーバー移行において、OSや設定を維持したまま（リホスト）ダウンタイムを最小化するには、ブロックレベルで継続的に同期を行うMGNが最適です。AWS SMSは現在、MGNへの移行が推奨されており、物理サーバーへの対応や自動化の面でMGNが優れています。VM Import/Exportは小規模または特殊なケースには向きますが、500台規模の自動化には適しません。DataSyncはファイル移行用であり、OSを含むブートボリュームの移行には不適切です。
例題5D1-T1: Multi-account strategy & governance (Organizations/SCP/guardrails)
ある企業はAWS Organizationsを使用して100以上のAWSアカウントを管理しています。セキュリティチームは、すべてのメンバーアカウントにおいて、リソースの作成を「ap-northeast-1」と「us-east-1」の2つのリージョンのみに制限したいと考えています。ただし、CloudFront、IAM、Route 53などのグローバルサービスは、制限の影響を受けずに引き続き利用できる必要があります。管理上のオーバーヘッドを最小限に抑えつつ、この要件を満たす最適な方法はどれですか？
- AWS Control Towerを導入し、各リージョンに対して「リージョン拒否ガードレール」を手動で設定し、グローバルサービスのアクションをホワイトリストに登録する。
- CloudFormation StackSetsを使用して、すべてのリージョンで「拒否」を設定したAWS Configルールをデプロイし、非準拠のリソースを自動的に削除するLambda関数を関連付ける。
- 各アカウントにIAMグループを作成し、aws:RequestedRegion条件演算子を使用して、許可されたリージョン以外へのアクセスを拒否するポリシーをアタッチする。
- AWS Organizationsのタグポリシーを使用して、許可されたリージョン以外のリソースに「Restricted」タグを強制し、IAMポリシーでそのタグが付いたリソースへのアクセスを制限する。
- AWS OrganizationsのルートレベルにSCPを適用し、StringNotEquals条件でaws:RequestedRegionが指定の2つのリージョンでない場合に、NotActionを使用してグローバルサービス以外のすべてのアクションを拒否する。
解答と解説を見る
正解: AWS OrganizationsのルートレベルにSCPを適用し、StringNotEquals条件でaws:RequestedRegionが指定の2つのリージョンでない場合に、NotActionを使用してグローバルサービス以外のすべてのアクションを拒否する。
正解は『AWS OrganizationsのルートレベルにSCPを適用し、StringNotEquals条件でaws:RequestedRegionが指定の2つのリージョンでない場合に、NotActionを使用してグローバルサービス以外のすべてのアクションを拒否する。』です。AWS OrganizationsのSCP（サービスコントロールポリシー）を使用することで、組織全体にガードレールを設置できます。aws:RequestedRegion条件キーを利用することで、リクエストされたリージョンを識別できます。しかし、グローバルサービスは技術的に us-east-1 をエンドポイントとして使用することが多いため、単純に拒否すると動作に支障が出ます。NotAction句を併用してグローバルサービスの権限を除外することで、指定リージョン以外でのリソース作成を制限しつつ、管理機能の維持が可能です。他の選択肢にあるIAMグループ単位の設定は、特権ユーザーによる回避が可能であり、管理負荷も高いため不適切です。
例題6D1-T4: Cross-account/Region data protection & KMS encryption strategy
ある企業は、メインのAWSアカウント（アカウントA）で実行されているAmazon EBSボリュームの暗号化されたスナップショットを、災害対策用のアカウント（アカウントB）に定期的に共有したいと考えています。セキュリティポリシーにより、データは常に暗号化された状態で転送および保存されなければならず、AWSマネージドキー（aws/ebs）による暗号化はアカウント間で共有できないことが判明しました。運用効率を最大限に高めつつ、この要件を満たす最小限のステップはどれですか？
- アカウントAのスナップショットを公開設定に変更し、アカウントBのIAMポリシーでアクセスを制限する。
- AWS CloudHSMを使用して、アカウントAとアカウントBの両方で共通のキーストアを構成し、EBSボリュームを暗号化する。
- KMSカスタマーマネージドキーを作成し、クロスアカウント権限をキーポリシーに付与して、スナップショットを共有する
- アカウントAでスナップショットをコピーする際に暗号化を解除し、アカウントBに共有した後、アカウントBで再度暗号化する。
- アカウントAからアカウントBへのレプリケーションを許可するIAMロールを作成し、Amazon Data Lifecycle Manager (DLM) を使用して自動転送を設定する。
解答と解説を見る
正解: KMSカスタマーマネージドキーを作成し、クロスアカウント権限をキーポリシーに付与して、スナップショットを共有する
正解は『KMSカスタマーマネージドキーを作成し、クロスアカウント権限をキーポリシーに付与して、スナップショットを共有する』です。AWSの仕様として、AWSマネージド型KMSキー（aws/ebsなど）で暗号化されたスナップショットは、他のアカウントと直接共有することができません。これを解決するには、カスタマーマネージドキー（CMK）を使用する必要があります。まず、アカウントAでCMKを作成し、そのキーポリシーでアカウントB（またはアカウントBの特定のIAMロール）に対して `kms:DescribeKey`、`kms:CreateGrant`、`kms:Decrypt` などの権限を許可します。その後、そのCMKで暗号化されたスナップショットをアカウントBに共有することで、アカウントB側でそのスナップショットをコピーしたり、ボリュームを作成したりすることが可能になります。この手法は、セキュリティを維持しつつ、追加のデータ転送コストや複雑な暗号化解除の手順を避けることができるため、最も効率的な方法です。
AWS Certified Solution Architect Professional(SAP-C02)の重要用語
- AWS Organizations
- 複数のAWSアカウントを一元管理するサービスです。一括請求や組織単位(OU)によるグルーピングが可能で、マルチアカウント戦略の核心となります。試験では、大規模組織におけるガバナンスの自動化やセキュリティポリシーの適用先として重要視され、効率的なリソース管理とコスト最適化の設計に不可欠な要素です。
- AWS Compute Optimizer
- 機械学習を利用してAWSリソースの設定と利用状況を分析し、最適なリソース構成を推奨するサービスです。EC2、EBS、Lambdaなどのリソースを対象に、過剰なプロビジョニングによるコストの無駄や、リソース不足によるパフォーマンス低下を特定します。既存ソリューションのコスト効率と性能を継続的に改善するための具体的な推奨事項を提供します。
- AWS Organizations
- 複数のAWSアカウントを統合管理するためのサービスです。階層的な組織単位（OU）を作成し、一括請求やアカウント間でのポリシー適用を可能にします。大規模な組織において、新規アカウント作成の自動化やガバナンスの維持を中央から一元的に行うために不可欠な基盤であり、SAP試験では組織管理の基本として頻出します。
- AWS Application Migration Service (MGN)
- AWSへのサーバー移行を簡略化・自動化するサービスです。物理、仮想、クラウド上のソースサーバーをAWS上で実行可能な形式に変換し、継続的なレプリケーションを行うことで移行時のダウンタイムを最小限に抑えます。リホスト戦略における主要なツールとして、SAP-C02試験では大規模なサーバー移行の自動化シナリオで頻出します。
- AWS Organizations
- 複数のAWSアカウントを統合管理するためのサービスです。一括請求（コンソリデーティッドビリング）によるコスト最適化や、組織単位（OU）によるアカウントの階層化、サービス制御ポリシー（SCP）を用いた一元的な権限管理を可能にします。SAP試験では、大規模なマルチアカウント環境におけるガバナンスとセキュリティを確保するための基盤として不可欠な要素です。
- KMS マルチリージョンキー
- 異なるAWSリージョン間で同じキーマテリアルを共有できるKMSキーです。通常、KMSキーはリージョン固有ですが、これを利用することでデータの再暗号化なしに他リージョンの暗号化データを復号できます。災害対策（DR）やグローバル展開において、クロスリージョンでのデータ共有やバックアップを効率化するために不可欠な機能です。
- AWS Transit Gateway
- 複数のVPCやオンプレミスネットワークを中央ハブを介して接続するサービスです。ハブアンドスポーク構成により、数千ものVPC間やオンプレミス間のルーティングを簡素化します。各ネットワークをTransit Gatewayにアタッチし、ルートテーブルでトラフィックを制御することで、複雑なピアリング接続の管理コストを大幅に削減できます。
- RTO (Recovery Time Objective)
- システム停止から復旧までにかかる目標時間を指します。SAP試験では、ビジネス要件に基づいて適切なDR戦略（バックアップ/リストア、パイロットライトなど）を選択するための重要な指標となります。RTOが短いほど、より高度でコストの高い自動フェイルオーバー構成が必要とされます。
よくある質問
- AWS Certified Solution Architect Professional(SAP-C02)の問題はスキルサートで何問解けますか？
- 全1,355問・24分野の問題を用意しています。問題は出題範囲に沿って随時追加しています。
- 無料で使えますか？
- 無料プランで週10回の演習（1回10問）と、毎日の「今日の1問」を利用できます。解説を読み、わからない点はAIに質問できます。
- ここの問題は過去問ですか？
- 過去問ではありません。出題範囲に沿ってAIが作成した演習問題です。すべて解説つきで、間違えた問題は繰り返し解けます。
AWS Certified Solution Architect Professional(SAP-C02)の対策はアプリで
AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
