AWS Certified CloudOps Engineer – Associate (SOA-C03)の無料問題集・例題・出題範囲

正解: AWS CloudTrail でS3データイベントを有効化してログをCloudWatch Logsに送信し、メトリクスフィルターで異常なIPアドレスのパターンを検出してCloudWatchアラームからSNSで通知する。

正解は「AWS CloudTrail でS3データイベントを有効化してログをCloudWatch Logsに送信し、メトリクスフィルターで異常なIPアドレスのパターンを検出してCloudWatchアラームからSNSで通知する。」です。CloudTrailのS3データイベントにはリクエスト元IP(sourceIPAddress)が含まれ、CloudWatch Logsへ送信してメトリクスフィルターでパターン検出→アラーム→SNSとすることで、マネージドサービスのみでニアリアルタイムかつ低運用負荷の通知が実現できます。なお『S3サーバーアクセスログをCloudWatch Logsへ直接転送』はできません(S3サーバーアクセスログはS3バケットにのみ配信されます)。Athenaのクエリは1時間ごとのスケジュール実行でニアリアルタイム性に欠け、AWS Configはリソース構成変更の追跡用でログ内のIP検出には不向き、OpenSearchは可視化に優れるものの手動監視が前提で通知自動化が複雑です。

正解: パイロットライト

正解は「パイロットライト」です。パイロットライト構成では、データベースなどの重要なコア要素のみを別リージョンで常に稼働させ、障害発生時に他のリソースをプロビジョニングすることで、低コストかつ数分程度のRTOを実現します。「バックアップ＆リストア」はコストが最も低いですが、復旧に時間がかかるため不適切です。「ウォームスタンバイ」は最小構成以上のリソースを常に稼働させるためコストが高くなります。「マルチサイト」は最もRTOが短いですが、コストが非常に高くなります。「リードレプリカのプロモーション」はデータベース層のみの対応であり、アプリケーション全体の復旧戦略としては不十分です。

正解: AWS CloudFormation StackSetsを使用してスタックインスタンスを管理し、スタックセットの構成内でドリフト検出機能を実行する

正解は「AWS CloudFormation StackSetsを使用してスタックインスタンスを管理し、スタックセットの構成内でドリフト検出機能を実行する」です。StackSetsを使用すると、複数のアカウントやリージョンに対して一括でスタックの作成や更新、削除が行えます。ドリフト検出機能は、テンプレート定義と実際のデプロイ状態の差異を特定するために不可欠です。AWS Configは変更管理には適していますが、CloudFormationのテンプレートレベルでの乖離を直接修正・管理するものではありません。ExplorerやControl Towerは直接的なドリフト検出と修正の統合管理手段としては不十分です。インポート機能は既存リソースをスタックに含めるためのもので、継続的なマルチリージョン管理にはStackSetsが最適です。

正解: AWS Configのマネージドルールを使用し、AWS Systems Manager Automationドキュメントによる自動修復を設定する。

正解は「AWS Configのマネージドルールを使用し、AWS Systems Manager Automationドキュメントによる自動修復を設定する」です。AWS Configはリソースの設定がポリシーに準拠しているかを継続的に監視します。マネージドルールの「encrypted-volumes」などを使用して非準拠を検出し、あらかじめ定義されたSystems Manager Automationドキュメント（AWS-StopEC2Instanceなど）と連携させることで、人の介入なしに自動的にボリュームの停止や是正を行うことが可能です。これはAWSが推奨する最も効率的な自動修復の構成です。Amazon Inspectorは脆弱性診断用であり設定の自動修正は行いません。IAMポリシーは予防には有効ですが、既存の非準拠リソースへのアクションは行えません。EventBridgeとLambdaの組み合わせは可能ですが、Configの標準機能を利用する方が管理コストを低く抑えられます。

正解: VPC フローログを有効にして CloudWatch Logs で分析する

正解は「VPC フローログを有効にして CloudWatch Logs で分析する」です。VPC フローログは、VPC 内のネットワークインターフェイスを行き来する IP トラフィックをキャプチャする機能であり、拒否された（REJECT）トラフィックの詳細も記録できます。AWS CloudTrail は API の呼び出し履歴を記録するもので、ネットワークパケットのフロー情報は記録しません。AWS Config はリソースの構成状態を管理するサービスであり、通信ログの分析には適していません。GuardDuty は脅威を検知しますが、特定の IP からの全拒否ログを詳細に分析する用途ではフローログが優先されます。AWS Artifact はコンプライアンスドキュメントを取得するためのポータルであり、ログ分析機能は提供されていません。

正解: CloudWatchのクロスアカウントオブザーバビリティ機能を設定し、モニタリングアカウントからソースアカウントのメトリクスを表示できるようにする。

正解は「CloudWatchのクロスアカウントオブザーバビリティ機能を設定し、モニタリングアカウントからソースアカウントのメトリクスを表示できるようにする。」です。これはAWS Organizations全体または特定のアカウント間でメトリクス、ログ、トレースを共有するための標準的な機能です。VPCピアリングはネットワーク接続のためのものであり、CloudWatchメトリクスの共有には直接関係ありません。クロスアカウントコンポジットアラームは複数のアラームの状態を組み合わせるものですが、ダッシュボードでの可視化の直接的な解決策ではありません。CloudTrailはAPIアクティビティの記録用であり、メトリクスデータの集約には向きません。SDKによるカスタムプログラム作成は管理オーバーヘッドが高く、ネイティブなダッシュボード機能がある場合には推奨されません。