CLF-C02 · LESSON 2
セキュリティとコンプライアンス30% · 4項目
AWS の責任共有モデル、セキュリティ・ガバナンス・コンプライアンスの考え方、アクセス管理、セキュリティのサービスを学びます。
2.1AWS の責任共有モデルを理解する
2.1 Understand the AWS shared responsibility model.
概念
責任共有モデルでは、AWS は「クラウドのセキュリティ」（データセンター・ハードウェア・ネットワーク・仮想化の基盤）、利用者は「クラウドにおけるセキュリティ」（データ・IAM・OS の更新・セキュリティグループ・暗号化の設定）に責任を持ちます。サービスが抽象化される（EC2 → RDS → Lambda・S3）ほど、利用者の責任は小さくなります。
仕組み・手順
- 使うサービスの種類（IaaS 型か、マネージドか、サーバーレスか）を確認する
- OS・ミドルウェアのパッチの責任がどちらにあるかを確認する
- データの暗号化・アクセス権限は常に利用者の責任として設定する
- AWS Artifact で AWS 側の監査報告書を入手する
業務での例
EC2 では利用者がゲスト OS のパッチを当てるが、RDS では DB エンジンのパッチは AWS が適用し、利用者はメンテナンスの時間帯を設定する。
紛らわしい点・試験の注意
- 物理的なセキュリティは常に AWS の責任
- データの暗号化、IAM の設定は常に利用者の責任
- 「共有の管理」：パッチ管理・構成管理・教育は両者がそれぞれの範囲で担う
ミニクイズ
Q1. 責任共有モデルにおいて、どのサービスを使っても常に利用者の責任となるものはどれか。
- EC2 の物理ホストで動くハイパーバイザー（仮想化ソフトウェア）の更新
- リージョン間を結ぶ通信回線の冗長化
- データセンター内のネットワーク機器の保守
- 保存するデータの分類と、誰がアクセスできるかの管理
答えと解説を見る
正解：D 保存するデータの分類と、誰がアクセスできるかの管理
データとそのアクセス権は、IaaS でもマネージドサービスでも利用者の責任。仮想化基盤や物理ネットワークは AWS の責任。
Q2. 「クラウドのセキュリティ」と「クラウドにおけるセキュリティ」の説明として最も適切なものはどれか。
- 前者はオンプレミス、後者はクラウドのセキュリティを指し、責任の分担は同じである
- 前者は無料、後者は有料のセキュリティサービスを指す
- 前者は AWS が担うインフラの保護、後者は利用者が担うデータや設定の保護
- 前者は利用者が担う OS の保護、後者は AWS が担う物理施設の保護
答えと解説を見る
正解：C 前者は AWS が担うインフラの保護、後者は利用者が担うデータや設定の保護
AWS はクラウドのセキュリティ（インフラ）を、利用者はクラウドにおけるセキュリティ（データ・設定・アクセス権）を担う。
参考リンク
2.2セキュリティ・ガバナンス・コンプライアンスの概念を理解する
2.2 Understand AWS Cloud security, governance, and compliance concepts.
概念
コンプライアンスの証明には AWS Artifact（SOC・ISO などの報告書と契約）、構成の記録と評価には AWS Config、API 操作の記録には AWS CloudTrail、複数アカウントの統制には AWS Organizations の SCP や AWS Control Tower を使います。暗号化は AWS KMS（鍵の管理）で行い、保存時・転送時の暗号化を設定します。
仕組み・手順
- 必要な規制・基準（個人情報・業界の基準）を確認する
- AWS Artifact で該当する報告書を入手する
- CloudTrail で全リージョンの操作を記録し、Config でルール違反を検出する
- Organizations と SCP でアカウント全体の禁止事項を設定する
業務での例
監査で「誰がいつセキュリティグループを変更したか」を問われ、CloudTrail のログで操作者と時刻を示し、Config で現在の設定がルールに準拠していることを示す。
紛らわしい点・試験の注意
- CloudTrail は「誰が何をしたか（API の操作）」、Config は「リソースの設定がどう変わったか」
- CloudWatch は性能の監視とログ、監査の記録は CloudTrail
- Artifact は報告書の入手で、セキュリティの監視ではない
ミニクイズ
Q1. Amazon S3 に保存した顧客名簿が、誤った設定で外部から閲覧可能になっていた。責任共有モデルに照らした説明として最も適切なものはどれか。
- S3 はマネージドサービスのため、バケットの公開設定の誤りは AWS の責任となる
- S3 のデータは自動で暗号化されるため、公開されても情報漏えいにはならない
- 公開設定は AWS が定期的に自動で修正するため、利用者の対応は不要である
- バケットのアクセス設定は利用者の責任であり、利用者が設定を見直す必要がある
答えと解説を見る
正解：D バケットのアクセス設定は利用者の責任であり、利用者が設定を見直す必要がある
マネージドサービスでも、データへのアクセス権の設定は利用者の責任。S3 のブロックパブリックアクセスなどの機能を使って利用者が防ぐ。
Q2. 金融業界の取引先から「AWS が取得している第三者認証の証跡」を求められた。最も適切な入手方法はどれか。
- AWS CloudTrail のログを取引先に共有する
- AWS サポートにデータセンターの見学を申し込み、設備の写真を撮影して提出する
- AWS Artifact から該当するコンプライアンスレポートをダウンロードする
- AWS Config のルールを有効にして、評価結果を提出する
答えと解説を見る
正解：C AWS Artifact から該当するコンプライアンスレポートをダウンロードする
AWS 自身の監査レポートや認証は AWS Artifact で入手する。Config や CloudTrail は利用者の環境の記録であり、AWS の認証の証跡ではない。
参考リンク
2.3AWS のアクセス管理の機能を理解する
2.3 Identify AWS access management capabilities.
概念
AWS Identity and Access Management（IAM）で、ユーザー・グループ・ロール・ポリシーを使ってアクセスを管理します。ルートユーザーは日常の作業に使わず、MFA を設定して保護します。複数アカウントの人のアクセスは IAM Identity Center で一元化し、アプリやサービスには長期の鍵ではなく IAM ロール（一時的な認証情報）を使います。
仕組み・手順
- ルートユーザーに MFA を設定し、アクセスキーを作らない
- 人のアクセスは IAM Identity Center で管理し、グループに権限を付ける
- 最小権限の原則でポリシーを設計する
- EC2 や Lambda には IAM ロールを付けて、アクセスキーをコードに埋め込まない
業務での例
EC2 上のアプリが S3 を読むために、アクセスキーを設定ファイルに書く代わりに、S3 の読み取りだけを許可した IAM ロールをインスタンスに付ける。
紛らわしい点・試験の注意
- ルートユーザーでしかできない作業（アカウントの解約・サポートプランの変更など）がある
- IAM ロールは一時的な認証情報。長期のアクセスキーより安全
- グループにはロールのように「引き受ける」仕組みはない（権限をまとめるだけ）
ミニクイズ
Q1. ルートユーザーの MFA 未設定や、公開された S3 バケットなどを、ベストプラクティスに照らして点検し、推奨事項を示すサービスはどれか。
- AWS Config
- AWS CloudTrail
- AWS Trusted Advisor
- Amazon Inspector
答えと解説を見る
正解：C AWS Trusted Advisor
Trusted Advisor はアカウントを点検し、コスト最適化・セキュリティ・耐障害性・パフォーマンス・サービスクォータなどの推奨事項を示す。例えば、MFA 未設定のルートユーザーや公開された S3 バケットを指摘する。 【他の選択肢】Config はリソースの設定の変更を記録してルールで評価する。Inspector は EC2 やコンテナの脆弱性を調べる。CloudTrail は API の呼び出しを記録する。
Q2. AWS アカウントを作成した直後に、ルートユーザーについて行うべき対策として最も適切なものはどれか。
- MFA を設定し、日常の作業には使わず、管理用の別の ID を用意する
- ルートユーザーのパスワードを部署内で共有し、誰でも緊急対応できるようにする
- ルートユーザーを削除して、アカウントの乗っ取りを防ぐ
- ルートユーザーのアクセスキーを作成し、自動化スクリプトに設定する
答えと解説を見る
正解：A MFA を設定し、日常の作業には使わず、管理用の別の ID を用意する
ルートユーザーはすべての権限を持つため、MFA で保護し、日常作業では使わない。アクセスキーの作成や共有は避ける。ルートユーザーは削除できない。
参考リンク
2.4セキュリティのコンポーネントとリソースを理解する
2.4 Identify components and resources for security.
概念
主なセキュリティのサービス：AWS WAF（Web アプリへの攻撃の防御）、AWS Shield（DDoS の防御。Standard は無料で自動）、Amazon GuardDuty（ログを分析する脅威の検出）、Amazon Inspector（脆弱性の自動スキャン）、AWS Security Hub（セキュリティの状況の集約）、Amazon Macie（S3 の機密データの検出）、AWS Secrets Manager（認証情報の管理とローテーション）。ネットワークではセキュリティグループ（ステートフル）とネットワーク ACL（ステートレス）を使います。
仕組み・手順
- 公開する Web アプリの前に WAF と Shield を置く
- GuardDuty を有効にして不審な通信や操作を検出する
- Inspector で EC2・コンテナの脆弱性をスキャンする
- Security Hub で結果を集約し、優先度の高いものから対応する
業務での例
GuardDuty が、EC2 から既知の暗号資産マイニングのサーバーへの通信を検出し、Security Hub に集約されたアラートから担当者がインスタンスを隔離する。
紛らわしい点・試験の注意
- GuardDuty は脅威の検出、Inspector は脆弱性の検査、Macie は機密データの検出
- セキュリティグループは許可のみ・ステートフル、ネットワーク ACL は拒否も可・ステートレス
- Shield Advanced は有料で、DDoS 対応チームの支援などが付く
ミニクイズ
Q1. Amazon EC2 を利用する場合に、利用者の責任ではないものはどれか。
- インスタンスにインストールしたアプリケーションの更新
- インスタンスが稼働する物理ホストの廃棄とデータ消去
- セキュリティグループで許可するポートの設定
- OS のユーザーアカウントとパスワードの管理
答えと解説を見る
正解：B インスタンスが稼働する物理ホストの廃棄とデータ消去
物理ホストやストレージ機器の廃棄・消去は AWS の責任。セキュリティグループ、アプリケーション、OS のアカウントは利用者が管理する。
Q2. Amazon VPC 内のセキュリティを強化したい。インスタンス単位で許可する通信を指定する機能はどれか。
- AWS WAF
- セキュリティグループ
- ネットワーク ACL
- ルートテーブル
答えと解説を見る
正解：B セキュリティグループ
セキュリティグループはインスタンス（ENI）単位の仮想ファイアウォールで、ステートフル。ネットワーク ACL はサブネット単位でステートレス。 【他の選択肢】ネットワーク ACL はサブネット単位でステートレス。ルートテーブルは経路の制御。WAF は HTTP の攻撃を防ぐもので、インスタンス単位の通信の許可ではない。
参考リンク
レッスンは当サイトがAWS 認定の公式ページと公式試験ガイドをもとに独自に作成したもので、試験の内容を保証するものではありません。製品の仕様は変わることがあるため、参考リンク先の最新情報を確認してください。
ご利用上の注意（非公式・独自問題・合格保証なし）
- 本サイトの問題は、公式に公開されているスキル概要・試験ガイドをもとに当サイトが独自に作成した練習問題であり、実際の試験問題ではありません。
- Amazon Web Services、AWS、および関連するマークは、米国その他の国における Amazon.com, Inc. またはその関連会社の商標です。本サイトは AWS（Amazon Web Services）と提携しておらず、AWS による承認・推奨を受けたものではありません。
- 本コンテンツは学習の補助であり、合格を保証するものではありません。試験の内容・形式・前提条件は予告なく変更されます。受験前に必ず公式ページで最新情報を確認してください。
- 本模擬試験の正答率は、公式試験の換算（スケール）スコア（合格 700）とは換算できず、合否を予測するものではありません。
- 未ログイン時の進捗はこのブラウザ内（localStorage）に保存します。Google でログインすると学習記録をアカウントに同期します。端末内の記録とサーバー上の記録は別に削除します。詳しくは保存・同期の説明とCookie・保存設定をご確認ください。