A不正解
AWS の責任
AWS は API Gateway というマネージドサービスの基盤・可用性・耐久性を担います（security OF the cloud）。
しかしどの認証方式やレート制限を設定するかは顧客のアプリ要件次第であり、設定内容は顧客責任のため AWS 責任とするのは不正解です。
Amazon API Gateway で受け取るリクエストに対して、認証（API キー検証、IAM 認証など）やレート制限（DDoS 対策）などのセキュリティ設定を実装する責任は誰にありますか。
1 / 1
回答を選択してください
正解D
解説
責任共有モデルで、マネージドサービス（API Gateway）のセキュリティ設定が誰の責任かを問う問題。
- 1「API Gateway」AWS が運用する マネージドサービス（エンドポイント・ルーティングを提供）
- 2「セキュリティ設定」認証方式・レート制限・検証ルールなど、顧客が 明示的に構成 する設定
B不正解
共有コントロール
共有コントロールはパッチ管理のように双方が層ごとに関与する領域です。
API Gateway のセキュリティ設定の中身は完全に顧客が決定・実装するため、共有ではなく不正解です。
C不正解
デフォルト設定でセキュアなため、顧客による追加設定は不要
API Gateway は作成時点で認証やレート制限が自動で有効になるわけではありません。
顧客がアプリ要件に応じて認証方式やスロットリングを明示的に構成する必要があるため、設定不要という前提は誤りで不正解です。
D正解
お客様の責任
正解。API Gateway はマネージドサービスですが、どの認証方式（API キー・IAM・Cognito 等）やレート制限を使うかはアプリ要件に基づき顧客が決定・実装します。これは顧客の構成領域（security IN the cloud）であり、AWS は基盤の可用性のみを保証します。
ポイント
マネージドサービスでも 『設定・構成』は顧客責任。AWS が基盤と可用性を保証する一方、何をどう設定するか（認証・暗号化・アクセス制御）は顧客が決める、という原則が頻出。