出題範囲（6分野）
- Detection55問
- Incident Response55問
- Infrastructure Security55問
- Identity and Access Management52問
- Data Protection54問
- Security Foundations and Governance55問
AWS Certified Security – Specialty (SCS-C03)の例題（6問・解説つき）
スキルサートのAIが出題範囲に沿って作成した演習問題です（過去問ではありません）。アプリでは毎週新しい問題が追加されます。
例題1Detection
AWS Organizations を利用している企業で、マルチアカウント環境全体の脅威検出を一元管理する必要があります。セキュリティエンジニアは、特定のアカウントをセキュリティ管理者アカウントとして指定し、組織内のすべてのメンバーアカウントで Amazon GuardDuty を有効にするよう求められています。これを最も効率的に実現する方法はどれですか。
- 組織の管理アカウントから、GuardDuty コンソールで特定のメンバーアカウントを委任管理者として指定する。
- 各メンバーアカウントにログインし、GuardDuty を有効化して管理アカウントをマスターアカウントとして招待する。
- AWS IAM を使用して、各アカウントの GuardDuty サービスにアクセス可能なロールを共通化する。
- AWS CloudFormation StackSets を使用して、すべてのリージョンとすべてのアカウントに GuardDuty をデプロイする。
- AWS Config のマネージドルールを使用して、GuardDuty が無効なアカウントを自動的に修復する。
解答と解説を見る
正解: 組織の管理アカウントから、GuardDuty コンソールで特定のメンバーアカウントを委任管理者として指定する。
正解は「組織の管理アカウントから、GuardDuty コンソールで特定のメンバーアカウントを委任管理者として指定する。」です。AWS Organizations と連携する場合、管理アカウントから特定のメンバーアカウントを委任管理者に指定することで、組織全体の検出を一元化できます。各アカウントで個別に設定する「各メンバーアカウントにログインし、GuardDuty を有効化して管理アカウントをマスターアカウントとして招待する。」は非効率です。「AWS CloudFormation StackSets を使用して、すべてのリージョンとすべてのアカウントに GuardDuty をデプロイする。」も可能ですが、Organizations の統合機能を使う方が推奨されます。「AWS Config のマネージドルールを使用して、GuardDuty が無効なアカウントを自動的に修復する。」は有効化の強制には役立ちますが、管理の委任プロセスとは異なります。「AWS IAM を使用して、各アカウントの GuardDuty サービスにアクセス可能なロールを共通化する。
例題2Incident Response
AWS CloudTrail において、IAM ユーザーが外部に流出した可能性のあるアクセスキーを使用して API を呼び出したことを示すアラートが発生しました。セキュリティチームは被害の拡大を防ぐために即座にアクションを取る必要があります。このシナリオにおいて、最も迅速かつ安全にユーザーの活動を停止させる方法はどれですか。
- ユーザーが属する IAM グループからユーザーを削除し、VPC ネットワーク ACL を変更して全ての通信を遮断する。
- AWS Organizations の SCP を使用して、対象のアカウント全体に対してすべての書き込み操作を禁止する。
- IAM ユーザーのパスワードをリセットし、関連する CloudTrail ログをアーカイブして保護する。
- IAM ユーザーを即座に削除し、Amazon Inspector を実行して関連リソースの脆弱性をスキャンする。
- IAM ユーザーに明示的な拒否（Deny All）ポリシーをアタッチし、アクティブなアクセスキーを無効化する。
解答と解説を見る
正解: IAM ユーザーに明示的な拒否（Deny All）ポリシーをアタッチし、アクティブなアクセスキーを無効化する。
正解は「IAM ユーザーに明示的な拒否（Deny All）ポリシーをアタッチし、アクティブなアクセスキーを無効化する。」です。インシデント発生時は、最小限の破壊的変更で権限を剥奪することが推奨されます。明示的な拒否ポリシーは他のすべての許可に優先するため、即時性が高いです。「IAM ユーザーのパスワードをリセットし、関連する CloudTrail ログをアーカイブして保護する。」は、API アクセスキーの無効化が含まれていないため不十分です。「ユーザーが属する IAM グループからユーザーを削除し、VPC ネットワーク ACL を変更して全ての通信を遮断する。」は、インラインポリシーの効力が残る可能性があり、ネットワーク全体への影響も大きすぎます。「AWS Organizations の SCP を使用して、対象のアカウント全体に対してすべての書き込み操作を禁止する。」は、影響範囲が広すぎて業務を阻害します。「IAM ユーザーを即座に削除し、Amazon Inspector を実行して関連リソースの脆弱性をスキャンする。
例題3Infrastructure Security
セキュリティエンジニアは、Amazon S3バケットをオリジンとするAmazon CloudFrontディストリビューションを構築しています。S3バケットへの直接アクセスを完全に禁止し、CloudFrontからのリクエストのみを許可する、最新のセキュリティベストプラクティスに基づいた方法はどれですか。
- S3バケットポリシーで、CloudFrontサービスプロバイダーのIPアドレス範囲からのアクセスのみを許可する。
- オリジンアクセス制御（OAC）を使用する。
- オリジンアクセスアイデンティティ（OAI）を使用してS3バケットポリシーを構成する。
- Lambda@Edgeを使用して、リクエストにカスタムシークレットヘッダーが含まれているか検証する。
- CloudFrontの署名付きCookieを使用してオリジンへのアクセスを制限する。
解答と解説を見る
正解: オリジンアクセス制御（OAC）を使用する。
正解は「オリジンアクセス制御（OAC）を使用する。」です。Amazon S3オリジンを保護する場合、従来のオリジンアクセスアイデンティティ（OAI）に代わり、オリジンアクセス制御（OAC）を使用することが最新のベストプラクティスです。OACは、SSE-KMSを使用した暗号化オブジェクトへのアクセスや、すべてのAWSリージョンでの利用、より強力な署名プロセス（SigV4）をサポートしており、セキュリティが向上しています。IP制限による方法はCloudFrontのIPアドレス範囲が頻繁に更新されるため運用が困難であり、署名付きCookieはコンテンツの認可には適していますがオリジン自体の保護手法としては不十分です。
例題4Identity and Access Management
ある企業が、サードパーティの監査会社に対して、自社のアカウントにあるAmazon S3バケット内のアクセスログを調査する権限を与える必要があります。監査会社は独自のAWSアカウントを所有しています。セキュリティ上のベストプラクティスに従い、「混乱した代理（Confused Deputy）」問題のリスクを軽減しながら、このアクセスを許可するための最も適切な方法はどれですか。
- バケットのパブリックアクセスブロックを無効にし、S3バケット全体をインターネットから読み取り可能にする
- 外部ID（External ID）を含む信頼関係を持つIAMロールを作成し、監査会社がそのロールを引き受けられるようにする
- S3バケットポリシーで、監査会社のAWSアカウントIDをPrincipalに指定し、バケットへのフルアクセスを許可する
- 監査会社専用のIAMユーザーを作成し、アクセスキーとシークレットキーを発行して監査会社に提供する
- 監査会社が調査期間中にのみ使用できる、自社アカウントのルート認証情報を共有する
解答と解説を見る
正解: 外部ID（External ID）を含む信頼関係を持つIAMロールを作成し、監査会社がそのロールを引き受けられるようにする
正解は「外部ID（External ID）を含む信頼関係を持つIAMロールを作成し、監査会社がそのロールを引き受けられるようにする」です。第三者へのアクセス提供では「混乱した代理」問題を防ぐために外部IDの使用が強く推奨されます。IAMユーザーの作成は長期的な認証情報の管理リスクを伴い、ルート認証情報の共有やパブリック公開は重大なセキュリティ侵害に繋がります。S3バケットポリシーでのアカウント指定も有効な手段の一つですが、クロスアカウントの権限管理において、外部IDを用いた一時的な認証情報の利用が最も安全な構成です。
例題5Data Protection
ある企業では、複数のAWSアカウントを使用しており、アカウントAのAWS KMSカスタマーマネージドキー（CMK）を使用して、アカウントBのAmazon S3バケットにあるデータを暗号化したいと考えています。セキュリティ上の最小権限の原則に従い、アクセスを許可するための適切な構成はどれですか。
- デフォルトのAWSマネージドキーを使用して、アカウントBのバケットにリソースベースのポリシーを適用する
- キーポリシーでアカウントBのルートユーザーを許可し、アカウントBのIAMポリシーで特定ユーザーにKMSアクションの使用を許可する
- キーポリシーでアカウントBのIAMユーザーARNを直接プリンシパルとして指定し、アカウントB側での設定は行わない
- アカウントBのS3バケットポリシーで、アカウントAのKMSキーへのアクセス権限を明示的に記述する
- アカウントAのIAMユーザーにアカウントBの信頼ポリシーをアタッチし、アカウント間でロールを切り替える
解答と解説を見る
正解: キーポリシーでアカウントBのルートユーザーを許可し、アカウントBのIAMポリシーで特定ユーザーにKMSアクションの使用を許可する
正解は「キーポリシーでアカウントBのルートユーザーを許可し、アカウントBのIAMポリシーで特定ユーザーにKMSアクションの使用を許可する」です。AWS KMSにおいてクロスアカウントアクセスを許可する場合、キー所有アカウント（アカウントA）のキーポリシーで委任設定（ルートユーザーの許可）を行い、アクセスする側のアカウント（アカウントB）のIAMポリシーで具体的な権限を付与するという2段階の許可が必要です。S3バケットポリシーだけで他アカウントのKMS操作を許可することはできず、また、IAMユーザーを直接キーポリシーに書く方法は管理の柔軟性を欠くため推奨されません。
例題6Security Foundations and Governance
ある企業が AWS Organizations を使用して複数のアカウントを管理しています。セキュリティエンジニアは、すべてのメンバーアカウントにおいて CloudTrail トレイルの削除や停止を確実に防止する必要があります。既存の IAM ポリシーを変更せずに、この要件を最小限の管理作業で実現する方法はどれですか。
- 組織単位（OU）にトレイル操作を制限する SCP を適用する
- CloudWatch Logs のサブスクリプションフィルタを使用する
- 各アカウントの IAM ユーザーにインラインポリシーを適用する
- Amazon GuardDuty を有効にして削除を検知する
- AWS Config ルールを使用して削除されたトレイルを自動復旧する
解答と解説を見る
正解: 組織単位（OU）にトレイル操作を制限する SCP を適用する
正解は「組織単位（OU）にトレイル操作を制限する SCP を適用する」です。AWS Organizations のサービスコントロールポリシー (SCP) を使用すると、組織内のすべてのアカウントに対して権限のガードレールを適用できます。これにより、個別の IAM ポリシーを管理することなく、ルートユーザーを含むすべてのユーザーの操作を一元的に制限可能です。IAM インラインポリシーの適用は管理負荷が高く、ルートユーザーを制限できません。AWS Config は変更後の検知と修正を行うものであり、操作自体の防止には適しません。GuardDuty は脅威検知サービス、CloudWatch Logs はモニタリング用であり、アクセス制御の強制手段ではありません。
よくある質問
- AWS Certified Security – Specialty (SCS-C03)の問題はスキルサートで何問解けますか？
- 全326問・6分野の問題を用意しています。問題は出題範囲に沿って随時追加しています。
- 無料で使えますか？
- 無料プランで週10回の演習（1回10問）と、毎日の「今日の1問」を利用できます。解説を読み、わからない点はAIに質問できます。
- ここの問題は過去問ですか？
- 過去問ではありません。出題範囲に沿ってAIが作成した演習問題です。すべて解説つきで、間違えた問題は繰り返し解けます。
AWS Certified Security – Specialty (SCS-C03)の対策はアプリで
AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
