AWS SOA-C03 試験対策
セクション別 ポイント解説
各セクションの対策問題から、要点だけをまとめて読み返せます。 問題を解いた際の正答率からセクションを絞り込めるので、弱点をすばやく確認できます。
ピンポイントに知識を確認できる問題集と単語帳をドメインごとに用意しています
セクション一覧（全80セクション）
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #1
再起動と復旧のアラームが競合して復旧が遅れる状態を直す・配信できなかった SNS の通知を退避して残し、退避が起きたことを検知する・夜間のスナップショットと重なる時間帯だけ下がる st1 のスループットを保つ・リードレプリカのデータの遅れが一定の時間を超えたら通知する・メトリクスは届くのにログだけが届かないエージェントに、足りないアクセス許可を与える
信頼性とビジネス継続性 #1
依存先まで含めた状態でターゲットを判定する ALB ヘルスチェックの設定を選ぶ・増分で保存される EBS スナップショットの古いものを削除したときの、復元と料金への影響・ストレージ自動スケーリングが一括取り込みに追いつかない原因を踏まえ、取り込みを完走させる手を選ぶ・マルチ AZ DB インスタンスのフェイルオーバー後も Java のアプリケーションが古い接続先を使い続ける問題を解決する・多数のインスタンスが異常と判定されたのに置き換えが少しずつしか進まない理由を、Auto Scaling の既定の制限から選ぶ
デプロイ、プロビジョニング、自動化 #1
組織全体の EC2 でインベントリの収集を構成し、手作業の変更を自動で元に戻す・CloudFront の設定変更を、検証担当者の端末だけで先に確認する継続的デプロイの構成・Image Builder で作った AMI を、組織のすべてのアカウントへ最小の手数で使わせる・CloudFormation のスタックを Git のマージで自動更新し、環境ごとのパラメータの値をリポジトリで管理する・InsufficientInstanceCapacity で起動に失敗した EC2 インスタンスを起動できるようにする
セキュリティとコンプライアンス #1プレミアム
組織の全アカウントのログを 1 か所に集め、メンバーアカウント側から止められない記録の作り方を選ぶ・社内の IP アドレス範囲以外からの S3 バケットへのアクセスを、ほかのポリシーの許可があっても拒否する・サブドメインを委任した後に自動更新できなくなった ACM 証明書を、更新できる状態に戻す・別アカウントへ共有した暗号化スナップショットを使えるようにする、キーの許可の 2 段階を選ぶ・プロジェクトやインスタンスが増えてもポリシーを変えずに、自分のプロジェクトのインスタンスだけを操作させる
ネットワークとコンテンツ配信 #1プレミアム
Route 53 Resolver を使用するインスタンスから、特定のドメインへの DNS クエリだけを止める・リージョンをまたぐピアリング接続で相手の名前がパブリック IP に解決される原因への対処を選ぶ・Site-to-Site VPN で、小さなリクエストは成功するのに大きなファイルの転送だけが止まる問題を直す・東京リージョンの ALB の前に置く CloudFront について、証明書とウェブ ACL を作成するリージョンを決める・ALB のアクセスログの 2 件から、特定のリクエストだけが 504 になる原因を読み取る
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #2プレミアム
組織の API 呼び出しを長い期間にわたり、条件を組み合わせて集計する仕組みを選ぶ・メトリクスとログを 1 つのモニタリングアカウントで横断し、新しいアカウントも自動で対象にする・1 つの AZ のスプレッドプレイスメントグループで、8 台目以降の起動が失敗する問題を解決する・関数の不具合で処理できなかったイベントを、特定の処理だけにやり直させる方法を選ぶ・AWS が予定した EC2 インスタンスの保守を、予定日より前に E メールで知る
信頼性とビジネス継続性 #2プレミアム
インスタンスのメモリにログイン状態を持つアプリケーションで、再ログインが求められる問題を解消する・EFS のファイルと ElastiCache (Valkey) のランキングのデータを、別のリージョンへ継続的に複製する・DAX を入れても速くならない原因を、キャッシュされる読み取りの種類から特定する・読み取りは分散済みで夜間の書き込みだけが遅い Aurora クラスターへの対処を選ぶ・AWS Backup で作成した FSx for Windows のバックアップのうち、90 日を超えたものを削除する
デプロイ、プロビジョニング、自動化 #2プレミアム
起動直後に終了するインスタンスの原因の組み合わせを、失敗する段階で切り分ける・ローテーションが不要な小さな値を、暗号化して最小のコストで保存する・共有している AMI からの新しい起動を、同じ AMI ID に戻せる形で全アカウントで止める・StackSet から 1 アカウントを外し、スタックとロググループをそのアカウントに残す・ゲートウェイと同じテンプレートで作る Elastic IP アドレスが、ときどき作成に失敗する
セキュリティとコンプライアンス #2プレミアム
ベーシックサポートプランで Trusted Advisor のチェックが古いまま・MFA を使っていない AWS CLI の呼び出しもポリシーで拒否する・カスタマーマネージドキーのキーマテリアルを決められた間隔で更新する方法を選ぶ・OU の SCP で拒否した操作を、特定のロールだけに許可する・Secrets Manager に置いた SSH の共有鍵と TLS 証明書を、種類ごとの推奨サービスへ移す
ネットワークとコンテンツ配信 #2プレミアム
パブリックサブネットで SSH できないときに追加するセキュリティグループのルール・長期間キャッシュさせている CSS と JavaScript の更新を、すべての利用者にすぐ反映させる・すべての大陸にレコードがある位置情報ルーティングで、一部の利用者に応答が返らない問題を解決する・インターフェイスエンドポイントへの接続を、特定のサブネットからだけ受け付ける・IPv6 のみのサブネットのインスタンスから、IPv4 しか持たない API へ接続する
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #3プレミアム
Direct Connect 経由の 1 つの TCP 接続の転送が約 5 Gbps で頭打ちになる問題を解決する・Linux は NFS、Windows は SMB で、同じファイルを共有する・一覧から外した AMI で動いている 20 台以上のインスタンスを、継続的に見つけて自動で終了させる・アクセスが予測できない分析用データのコストを、ミリ秒の読み取りと取り出し料金なしで下げる・発行が途切れるメトリクスで、データがない夜間のアラームを OK の状態にする
信頼性とビジネス継続性 #3プレミアム
メンテナンスウィンドウと重なって日曜日だけ失敗する RDS のバックアップジョブを直す・書き込みの処理能力を止めずに伸ばし続けられる構成を選ぶ・レプリケーションの送信先にも、アプリケーションとライフサイクルによる削除を反映させる・再作成できない原本を、1 つの AZ にだけ保存するクラスから複数の AZ に保存するクラスへ移す・テーブルに余裕があるのに特定のキーだけ止まる書き込みへの対処を選ぶ
デプロイ、プロビジョニング、自動化 #3プレミアム
共有された Transit Gateway へのアタッチメントを運用用のロールで作成できない原因を解決する・Run Command の出力が別アカウントの S3 バケットに保存されない問題を、アクセス許可の付け方で解決する・ECR のライフサイクルポリシーで、14 日を過ぎた dev のイメージが失効しない原因を選ぶ・成功した呼び出しの後だけ後続の関数を呼び出し、渡せなかったことをアラームで検知する・ネストされたスタック構成で、Auto Scaling グループのネストされたスタックの最大容量を変更する
セキュリティとコンプライアンス #3プレミアム
証跡のログファイルが配信後に変更・削除されていないことを監査で示す・テーブルの暗号化キーのキーポリシーを企業が編集でき、無効にもできるキーの種類を選ぶ・アカウントのコンソールで作業できる時間を決める設定を選ぶ・RDS のマスターユーザーのパスワードを最小の運用負荷で定期的に自動変更する・Inspector の検出結果に到達性を反映した優先順位を付け、組織に追加するアカウントでも自動でスキャンを始める
ネットワークとコンテンツ配信 #3プレミアム
ロードバランサーを使わずに、1 回の DNS の応答へ正常なサーバーの IP アドレスだけを複数含めるルーティングを選ぶ・ALB オリジンへの HTTPS で 502 になる原因を、HTTPS のまま取り除く・接続と認証はできるのに VPC 内のどのサーバーにもアクセスできない、新しく作った Client VPN エンドポイントを直す・1 つのサブネットのインスタンスについて、通信先の IP アドレスと問い合わせたドメイン名を S3 に記録する・フローログの ACCEPT と REJECT の組み合わせから、戻りの通信を拒否している層を特定して直す
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #4プレミアム
EventBridge から同じイベントで関数が 2 回呼び出されても、有料の API の呼び出しを 1 回に抑える・要求があるのに EBS ボリュームが I/O を完了できない状態を検知して通知する・S3 イベント通知の送信先に SNS トピックを指定すると、設定の保存が検証エラーで失敗する原因を直す・オンプレミスの NFS から S3 へ、毎晩の差分とファイルのメタデータを保って移行する・増減するインスタンスのファイルに書かれたログを、CloudWatch Logs に集める仕組みを選ぶ
信頼性とビジネス継続性 #4プレミアム
エッジと閲覧者の端末で保持時間を別々に指定する・毎日決まった時刻に来るピークの前に、台数を引き上げておく方法を選ぶ・運用者が障害を確認してから開始する DR の切り替えで、リードレプリカの昇格と DNS の切り替えを短時間で確実に実行する・マルチ AZ の DB インスタンスで、決めた日時にフェイルオーバーを起こし、自動のフェイルオーバーも通知で受け取る・2 つの AZ に分散したターゲットグループで、全ターゲットの異常を検知して通知する
デプロイ、プロビジョニング、自動化 #4プレミアム
外部で変更されたのにドリフトとして報告されない理由と、検出できるようにする手当てを選ぶ・Fargate でプライベートレジストリの認証情報をどう渡すか・踏み台ホストとインバウンドポートなしで EC2 に接続し、セッションのコマンドと出力を S3 に保存する・DynamoDB Streams を読む Lambda 関数で、一部の項目の更新だけが反映されなくなった原因・本番環境の Terraform のステートを保存する S3 バケットで、開発者による誤った書き換えを防ぐ設定を選ぶ
セキュリティとコンプライアンス #4プレミアム
IAM の操作だけが証跡に記録されない状態を解消し、同じ証跡で追跡できるようにする・リクエストの指定にかかわらず、1 つのカスタマーマネージドキーによる暗号化だけを受け入れる設定を選ぶ・SCP を本番の業務を止めずに適用し始め、最終的に組織全体へ広げる・レプリケートしたシークレットを両方のリージョンから削除し、すぐに同じ名前で作り直す・IAM ユーザー全員に定期的なパスワードの変更をさせる
ネットワークとコンテンツ配信 #4プレミアム
オンプレミスからの Amazon S3 への転送を、インターネットゲートウェイを通さずに行う・User-Agent でキャッシュを分けてヒット率が下がった CloudFront で、端末別のページを保ったまま重複を減らす・2 つのリージョンへ決まった比率でリクエストを送り、異常なリージョンは自動で外す・1 つの AZ の障害でほかの AZ の外部への送信が止まらない構成にする・確立済みの接続まですぐに止めるには、どの層のどのルールを使うか
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #5プレミアム
誤って大きく拡張した EBS ボリュームを、データを保ったまま目的のサイズにする・遠い地域の利用者が S3 バケットへ写真をアップロードする時間を短くする・一定の高いスループットと低レイテンシーを、料金を抑えて満たす EFS のモードの組み合わせ・空き容量が 10 GiB まで減っても ALARM にならなかったアラームを直す・相互に通信する並列計算のインスタンスを、ノード間のレイテンシーが最小になるように配置する
信頼性とビジネス継続性 #5プレミアム
削除する DB インスタンスについて、削除する前の任意の時点に復元できる状態を残す・正常なターゲットが半数を下回った AZ を、新しい接続の向かう先から最小限の運用で自動的に外す・スケーリングポリシーのあるグループで、台数を 6 台に固定する容量の設定を選ぶ・大きな項目の一部を頻繁に更新する DynamoDB テーブルで、書き込みキャパシティユニットを増やさずにスロットリングを解消する・ガバナンスモードで保護されたバージョンを、AWS CLI のコマンドで削除できるようにする
デプロイ、プロビジョニング、自動化 #5プレミアム
置換を伴う更新のクォータ超過を、実行前に検知する・CloudFormation が作成できるリソースを、ユーザーの権限とは別に EC2 と S3 へ限定する・AWS RAM でプリンシパルに OU を指定できるようにし、招待の承諾なしでプレフィックスリストを共有する・S3 へのアップロードを起点に、タグの付いたすべてのインスタンスでスクリプトを実行する・NoReboot でパッチを当てたインスタンスが、再起動の後も非準拠のまま表示される問題を解決する
セキュリティとコンプライアンス #5プレミアム
SSE-KMS への切り替えで増えた KMS のコストとスロットリングを、暗号化を保ったまま抑える手段を選ぶ・別のアカウントのオブジェクト操作を記録に残し、その記録へ監査側から到達できるようにする 2 つのステップを選ぶ・外部 ID プロバイダーのグループに、複数アカウントの操作権限を 1 か所から割り当てる・Trusted Advisor のアクセスキーの 2 つのチェックの結果から、最初に対処するキーを選ぶ・ACM のマネージド更新で自動的に更新される証明書と対象外の証明書を見分ける
ネットワークとコンテンツ配信 #5プレミアム
作成したエンドポイントサービスを取引先のアカウントから使えるようにする・NAT ゲートウェイ経由の長い API 呼び出しが途中で切断される問題を解消する・クライアント CIDR 範囲が /22 の Client VPN エンドポイントで、同時接続 500 前後で新しい接続が確立されない問題を解消し、1,000 人を受け入れる・Transit Gateway 経由の接続失敗で、パケットが失われている場所を特定する・フェイルオーバーのプライマリが加重レコードの組を指す構成で、組の一部だけが異常になったときの応答を選ぶ
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #6プレミアム
EC2 のツールと Lambda 関数が、同じファイルをパスで読み書きする共有ストレージ・Compute Optimizer の推奨に、四半期末にしか発生しない負荷を反映させる・DB インスタンスの削除を検知して用意済みの関数を起動するために、欠けている 2 つの設定を選ぶ・組織内の各アカウントの EC2 のイベントを、運用アカウントのデフォルトのイベントバスのルールでまとめて処理する・スナップショットから作成したボリュームで、作成した時点からプロビジョンドパフォーマンスを発揮する
信頼性とビジネス継続性 #6プレミアム
ターゲット追跡スケーリングポリシーを残したまま、高負荷時に段階的に台数を追加するポリシーを加える・CPU 使用率が高い ElastiCache (Memcached) のクラスターで、ノードごとの負荷を下げる・スナップショットから復元した RDS の DB インスタンスで、接続のタイムアウトとタイムゾーンを本番にそろえる・CRR の送信元のバケットにあるオブジェクトのうち、デフォルトで複製されないものを選ぶ・子のヘルスチェックが正常のまま、一時的にプライマリからセカンダリへ切り替える操作を選ぶ
デプロイ、プロビジョニング、自動化 #6プレミアム
別アカウントの 2 つのリージョンへコンテナイメージを複製する・Linux と Windows の EC2 インスタンスにセキュリティ更新を毎週自動でインストールし、未適用を一覧で確認する・一部のアカウントだけ StackSet のスタックインスタンスが作成されない原因を直す・S3 に置いた Terraform のステートファイルを、上書きされる前の状態に戻せるようにする・ターゲットは正常なのにロードバランサーが active_impaired になる原因
セキュリティとコンプライアンス #6プレミアム
カスタマーマネージドキーを無効化したあとに停止した RDS DB インスタンスを復旧する手段を選ぶ・一括請求の機能だけの組織で SCP を使えるようにし、メンバーアカウントのリージョン利用を組織から制限する・承認済みの 2 つのリージョン以外での操作を禁止し、グローバルサービスは使える SCP を選ぶ・有効期限を 7 日にした署名付き URL が、翌日にはダウンロードに使えなくなる原因・別のリージョンのバケットも解析し、ポリシーの修正で検出結果が解決されたことをすぐに確認する
ネットワークとコンテンツ配信 #6プレミアム
攻撃時に SRT から連絡を受けて支援を依頼するための前提をそろえる・OAC の S3 オリジンで、SSE-KMS に変えた後のオブジェクトだけ 403 になる・ピアリング済みの 2 つの VPC で、ピア VPC のゲートウェイエンドポイント経由で Amazon S3 に出られない原因への対処を選ぶ・リクエストごとのクライアントの IP アドレスと ALB・ターゲットの処理時間を後から確認できるように記録する・IPv4 の範囲を使い切った 172.20.0.0/20 の VPC に、新しいサブネットを作る範囲を足す
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #7プレミアム
タグで束ねたアプリケーション全体の CPU アラームと、unlimited モードの追加料金の通知の構成を選ぶ・追加画面の一覧に出てこないカスタムメトリクスを、ダッシュボードのウィジェットに載せる・インスタンスストアに保存しているファイルを、停止と起動の後も保持する・失敗したマルチパートアップロードで残ったデータを、継続的に自動で削除する・サブスクリプションフィルターの配信エラーの種類ごとに、ログが届くかどうかを見分ける
信頼性とビジネス継続性 #7プレミアム
ElastiCache Auto Scaling のスケーラブルターゲットを登録できない原因を取り除く・同じアプリケーションのデータのうち、一部だけ以前のバージョンを残さないようにする・7 年間保持する EFS のバックアップを低コストの階層へ自動で移す・Lambda の同時実行の急増で枯渇するデータベース接続を、インスタンスを大きくせずに解消する・同じアカウントの別のリージョンに縮小版の復旧環境を用意し、本番と 1 つのテンプレートで管理して、変更を 1 回の操作で両方に反映する
デプロイ、プロビジョニング、自動化 #7プレミアム
VPC のセキュリティグループを送信元に指定するプロパティ・同じリージョンの別のスタックの出力を参照し、参照中はそのスタックの削除を防ぐ仕組みを選ぶ・サービスマネージド型の StackSet で管理アカウントにだけロールがない状況を解決する・5xx エラーのアラームを設定済みの ECS サービスで、タスクが起動しないデプロイも直前のデプロイへ自動的に戻す・ロール名で起動制約を指定した Service Catalog の製品が、メンバーアカウントでだけ起動に失敗する
セキュリティとコンプライアンス #7プレミアム
RDS の自動スナップショットを別のアカウントに渡して、DB インスタンスを復元できるようにする・分類タグの表記と値を組織で標準化し、非準拠のタグ付け操作を失敗させる・組織の OU ごとに、長期間使用されていない AWS サービスを少ない作業で把握する・ALB の後ろの予約サイトに向かう、SQL 文を埋め込んだリクエストをサイトに届く前に遮断する・増え続けるバケットのどれにもパブリックアクセスを許可させない設定を、最小の運用負担で行う
ネットワークとコンテンツ配信 #7プレミアム
共有 VPC とそれぞれピアリング接続している 2 つの VPC どうしを通信させる・Network Synthetic Monitor のプローブの往復時間が常に 1 ミリ秒未満になる原因を取り除く・ルートテーブルの中から宛先に一致するルートを選び、通信の送り先を読み取る・本番のウェブ ACL にマネージドルールグループを、誤検知を確かめてからブロックを始める形で追加する・パブリックホストゾーンが受け取ったクエリの内訳を記録する設定を選ぶ
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #8プレミアム
EC2 の CPUUtilization を 1 分ごとのデータポイントでグラフに表示する最小の運用負荷の方法・数週間の並列解析で中間ファイルを失わず、S3 のデータをコピーの手順なしで使う・I/O のパターンが違う 2 つのボリュームを、パフォーマンスを下げずに料金の安いタイプへ変更する・アラームの ALARM への変化からステートマシンを自動で開始する経路を選ぶ・ターゲットのロールのアクセス許可が壊れた後、イベントが再試行されずにすぐ DLQ へ入る理由
信頼性とビジネス継続性 #8プレミアム
テーブルに追加したインデックスへのクエリがスロットリングされない構成を選ぶ・AZ の障害で使えなくなった EC2 と EBS のデータを、別の AZ でできるだけ早く直近の状態に戻す・ALB で有効にしていない AZ のインスタンスが unused のままリクエストを受け取らない原因を解消する・重要な Lambda 関数の同時実行を確保し、初期化による応答の遅れもなくす設定を組み合わせる・RDS for MySQL のクロスリージョンリードレプリカで、昇格の開始から書き込みの再開までに数分かかる。この時間を短縮する
デプロイ、プロビジョニング、自動化 #8プレミアム
フィルターのないイベント通知があるバケットに、条件付きの通知を追加できない・同じテンプレートから作る複数のスタックで、バケット名の重複を避けつつバケットポリシーを適用する・ネットワークアカウントのサブネットとセキュリティグループを各部門のインスタンスで使わせる・Config の自動修復がデプロイ中に割り込んでスタックの作成が失敗する・管理者を含めて誰も使用中の AMI を登録解除できないようにする
セキュリティとコンプライアンス #8プレミアム
ロールの作成を開発者に任せつつ、作成されるロールのアクセス許可の上限を強制する・既知の活動による GuardDuty の検出結果を、GuardDuty には残したまま通知と Security Hub CSPM に送らない・作成方法によらず、今後作られる EBS ボリュームをすべて自動的に暗号化する設定を選ぶ・CloudFront のビューワーとの通信と S3 バケットへのすべてのリクエストを TLS に限る・SCP で止まらない Auto Scaling の起動をどこで制御するか
ネットワークとコンテンツ配信 #8プレミアム
IPv6 のワークロードから外向きだけの通信を許す出口を用意する・ログの宛先を設定してもファイアウォールのログが出ない原因を取り除く・Transit Gateway で開発環境の VPC の到達範囲だけを共有サービス VPC に絞る構成を選ぶ・VPC 内の 2 台のインスタンスの接続を妨げている設定を特定する・Internet Monitor が検出した問題を、運用の負担を抑えて E メールで自動的に通知する
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #9プレミアム
IA への移行を設定した EFS で、3 か月たっても IA にファイルが移らない原因・CLI で作成したルールから Lambda 関数が実行されない原因を取り除く・新しい 3 つの非現行バージョンを残し、それより古いものを 30 日後に削除するライフサイクルルール・途中でベースラインまで下がる gp2 ボリュームで、3,000 IOPS を超える性能を最小のコストで継続して確保する・Bedrock の呼び出しの入出力の本文を、漏れなく保管できる記録の仕組みを選ぶ
信頼性とビジネス継続性 #9プレミアム
FSx for Windows File Server で、書き込みの集中後にシャドウコピーがすべて削除される問題を解決する・ALB が異常と判定したインスタンスを、Auto Scaling グループに置き換えさせる・シングル AZ の RDS DB インスタンスで、ホストや AZ の障害時にも書き込みを自動で再開させる構成を選ぶ・RDS の自動バックアップで、時刻を指定して戻せる最も新しい時点 (RPO) を確認する・Aurora のフェイルオーバーで、レポート用の小さいリーダーではなく大きいリーダーを昇格させる
デプロイ、プロビジョニング、自動化 #9プレミアム
インスタンスの更新をロールバックで直前の構成に戻せるようにする・テンプレートの記述から、スタックの作成時に承認が必要な capabilities の組み合わせを判断する・メンテナンスウィンドウで、更新に失敗したインスタンスをターゲットグループに戻さずに順番に処理する・加重エイリアスの条件に反する変更を見つけ、新しいバージョンに 10% を流す・削除の途中で DELETE_FAILED に止まったスタックについて、リソース側で削除が拒否される条件の組み合わせを選ぶ
セキュリティとコンプライアンス #9プレミアム
手作業で直した直後の準拠済みセキュリティグループに、自動修復が実行された・EC2 インスタンスと EFS の間の NFS トラフィックを暗号化する・悪意のある IP アドレスからの API 呼び出しを自動で検出するサービスを選ぶ・暗号化されていない既存の RDS DB インスタンスを、カスタマーマネージドキーで暗号化された DB インスタンスに置き換える手順を選ぶ・組織単位に登録したアカウントで、既存のセキュリティグループの非準拠を一覧で確認する
ネットワークとコンテンツ配信 #9プレミアム
BGP の Site-to-Site VPN で 1 本のトンネルが確立されなくなったのに、TunnelState のアラームが通知しなかった原因を特定する・同じ VPC で一方のサブネットのインスタンスだけがピア VPC に接続できない原因を、設定の適用単位から絞る・CloudFront のリクエストごとの情報を、数秒以内に分析アプリケーションへ取り込む・Network Firewall に実際にトラフィックを検査させるための 2 つの作業・example.net をオンプレミスへ転送したまま、data.example.net だけを VPC 内のプライベートホストゾーンで解決させる
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #10プレミアム
EventBridge のルールがターゲットへイベントを届けられなくなったことを E メールで通知する・メトリクスとログとコードの変更の突き合わせを、人に代わって行うサービスを選ぶ・カスタムメトリクスのアラームが評価できない原因を、グラフの見え方から特定して直す・既存の ECS クラスターで、タスクとインスタンスの指標を CloudWatch に表示させる組み合わせを選ぶ・アラームを起点に開始されるランブックを、凍結期間は止め、それ以外は承認の記録付きで実行する
信頼性とビジネス継続性 #10プレミアム
起動失敗の原因を解消した後も Auto Scaling グループが起動を再開しない問題を解決する・独自の TCP プロトコルのアプリケーションで、クライアントが接続する固定の IP アドレスを変えずに、正常なリージョンへ自動で切り替える・本番アカウントの認証情報が漏えいしてもバックアップのコピーが残るようにする・Aurora Auto Scaling が動く前提を整え、増えたリーダーへ読み取りを届ける構成を選ぶ・ヘルスチェックに失敗して終了されるワーカーを、ほかの置き換えを止めずに終了前に待機させ、接続して状態を調べる
デプロイ、プロビジョニング、自動化 #10プレミアム
StackSet の 1 アカウントだけ保持期間を変え、同じ StackSet で管理し続ける・S3 のアップロードを、既存と同じメッセージグループで FIFO キューへコードなしで届ける・ECS の blue/green デプロイで、テストトラフィックで確認した後、担当者の承認まで本番の切り替えを止める・Run Command の実行中にアプリケーションのアラームが発報したら、残りのインスタンスで実行しない・作成が失敗しても成功したリソースを残し、修正したテンプレートで続行する
セキュリティとコンプライアンス #10プレミアム
Security Hub CSPM に集約した検出結果を 1 年間保持し、条件を指定して検索できるようにする・許可リスト型の SCP を付けた OU の配下で、アカウントに付けた許可が効かない・別のアカウントの IAM ロールに、S3 バケットの読み取りを限定して許可する・クロスアカウントのログの送信先で、CloudWatch Logs が使用する IAM ロールの信頼ポリシーを選ぶ・毎日追加される検査画像を 5 年間、ルートユーザーを含めて誰も削除や上書きできないように S3 に保存する
ネットワークとコンテンツ配信 #10プレミアム
オリジンへ送るリクエストに DynamoDB の値のヘッダーを付け、読み取りはキャッシュミスのときだけにする・ゾーン頂点と www の両方を ALB へ向け、IP アドレスの変化への追随とクエリ料金の削減を両立させる・インターネット向け ALB にインターネットから届かないときに足りない経路・ゲートウェイエンドポイントへ切り替えたときにセキュリティグループで許可すべき通信を選ぶ・別々の AZ にある 2 台の間のデータ転送の料金を削減する
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #11プレミアム
1 つのプレフィックスに集中した書き込みで発生する 503 Slow Down を解消する・複数のアラームがそろったときだけ自動でインスタンスを操作する経路を組む・インスタンスのネットワークの上限を超えたパケットを監視し、ベースライン帯域幅を確認する・組織外の認証情報で VPC エンドポイントが使用されていないかを、エンドポイントを所有するアカウントで記録する・組織の全アカウントに同じアラームを置き、通知先だけを 1 つにまとめる
信頼性とビジネス継続性 #11プレミアム
運用チームの判断だけで、障害中でも確実に動く操作でリージョンを切り替え、両方が止まる誤操作を防ぐ・2 つのリージョンを同時に使い、異常なリージョンだけを DNS の応答から自動的に外す・マルチ AZ の FSx for Windows File Server で、フェイルオーバーとフェイルバックにかかる時間を短くする・切り替えた直後からリクエストを処理でき、平常時のコストをできるだけ抑えた別のリージョンの復旧環境を選ぶ・入札のたびに繰り返し読まれる DynamoDB の項目の応答時間を、最小の改修で大きく縮める
デプロイ、プロビジョニング、自動化 #11プレミアム
EC2 のコンソールでタグを付けた AMI をライフサイクルポリシーの削除から外す・SSM Agent の定期更新を、毎月第 2 火曜日の 2 日後にだけ実行し、作成時には実行しない・ALB の後ろの API を 2 つの AZ で動かし、リクエスト数に合わせてコンテナの数を増減する最も運用効率の高い構成・IMDSv2 を強制したアカウントで起動が拒否されないメタデータオプションを選ぶ・削除できないバケットを残して、DELETE_FAILED のスタックの削除を完了する
セキュリティとコンプライアンス #11プレミアム
組織内のプリンシパルが組織外の S3 バケットへデータを持ち出すのを止める・同じ IAM ロールの設定項目が 2 つのリージョンで二重に記録される・既存の公開スナップショットを止め、今後の公開も防ぐ設定を選ぶ・使用中のキーを誤って消さないよう、削除の予定と使用の検知を組み合わせる・AccessDenied のメッセージから、アクセス許可を直す場所と操作を決める
ネットワークとコンテンツ配信 #11プレミアム
OAI から OAC へ、CloudFront からバケットへのアクセスを途切れさせずに移行する・重み 0 の待機環境へ切り替わらない加重エイリアスレコードの構成を直す手段を選ぶ・IP アドレスが入れ替わる ECS のタスクの通信を、宛先と通信量でサービスごとに把握する・サブネットのアドレス数より少ない台数で空きがなくなった原因を特定する・ALB の後ろにある 60 台のインスタンスのパブリック IPv4 アドレスの料金を減らす
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #12プレミアム
アラームは ALARM になったのに、SNS の E メール通知が届かない原因を取り除く・CPU 使用率が高かった時間帯の、負荷を生んだ SQL と待機を確認する・遅い区間の特定と、呼び出し元の上位の把握に使う仕組みを選ぶ・gp2 から gp3 に変更した後、BurstBalance のアラームが INSUFFICIENT_DATA のままになる原因・EC2 を停止するアクション付きのアラームが作成できない原因を解消する
信頼性とビジネス継続性 #12プレミアム
予測スケーリングポリシーで予測に沿って容量が引き上げられるように設定を直す・Aurora のフェイルオーバー後に書き込みの復帰が遅れる原因を切り分け、復帰時間を短くする手段を選ぶ・AWS Backup が作成した EC2 の AMI が無効化されて復元できなくなることを、運用の負担を抑えて防ぐ・DynamoDB で、直近の任意の時点への復旧と、四半期末の状態の長期保管を両立する・オブジェクトロックを設定したバケットで、削除の後にオブジェクトを読み取れなくなった原因を特定する
デプロイ、プロビジョニング、自動化 #12プレミアム
インスタンスプロファイルを指定した起動だけが拒否される原因を特定して直す・シグナル不足で UPDATE_ROLLBACK_FAILED になったスタックを、定義との一致を保ったまま安定状態へ戻す・StackSet で展開したリソースが変更されたアカウントを最小の手間で特定する・パラメータが一定期間更新されていないことを、パラメータを削除せずに E メールで通知する・Service Catalog の製品を複数のポートフォリオで共有して改訂を 1 回で反映し、テンプレート制約で起動できるインスタンスのタイプを限定する
セキュリティとコンプライアンス #12プレミアム
実際に使われたアクションだけを許可するポリシーを作るために、IAM Access Analyzer のどの機能を使うかを選ぶ・Macie で社内固有の形式を検出し、機密データが見つからなかったファイルも含む解析記録を 1 年間残す・多数の顧客を持つベンダーにロールを引き受けさせるとき、依頼元を限定する・Trusted Advisor のセキュリティグループのチェックで、赤の原因になっているルールを見分けて直す・暗号化されていない既存の EBS ボリュームを、同じインスタンスのままカスタマーマネージドキーで暗号化する
ネットワークとコンテンツ配信 #12プレミアム
エンドポイントを経由しない取得を、バケットのオブジェクト全体について拒否する・入れ替わる多数の送信元から大量に届くリクエストを、自動で遮断する方法・S3 へのログが大半を占める NAT ゲートウェイのデータ処理の料金を、最も大きく減らす方法を選ぶ・リソースの場所で振り分けたうえで、受け持つ範囲を設定値であとから広げられるルーティングポリシーを選ぶ・オリジングループで、OPTIONS のプリフライトだけがセカンダリへ切り替わらない問題を直す
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #13プレミアム
複数インスタンスのカスタムメトリクスの合計がしきい値を超えたらすぐに通知する方法を選ぶ・DB 負荷は低いのに CPU 使用率が高い DB インスタンスで、CPU を使っているものを特定する・インバウンドトラフィックを許可していない 40 台の Windows インスタンスで、PowerShell スクリプトを 1 回だけ実行する・EventBridge のターゲットへ配信できなかったイベントの失敗の理由を、イベントごとに確認する方法を選ぶ・プレイスメントグループに属さない既存の 4 台を、インスタンス ID を変えずにクラスタープレイスメントグループへ入れる
信頼性とビジネス継続性 #13プレミアム
本番の最新データで書き込みを伴う試験を行う環境を、毎朝速く安く用意する方法・読み書きの量が予測できない新しい DynamoDB テーブルで、容量を自動で合わせ料金を使った分だけにする・2 つのリージョンのアプリケーションが、それぞれ同じリージョンのデータベースへ書き込めるようにする・MFA delete を有効にしたバケットで、MFA のコードが必要になる操作と、バージョン ID を指定しない削除の動作・登録解除の直後のエラーと、登録直後の応答悪化に効く属性の組み合わせを選ぶ
デプロイ、プロビジョニング、自動化 #13プレミアム
特定のリソースだけを更新時の置換から守りながら、ほかのリソースの更新を通し、必要なときだけ例外を出す設定を選ぶ・同じバケットへの書き込みで起きた Lambda の再帰ループを断つ・ECS のタスク実行ロールとタスクロールに、どの許可を置くか・インスタンスプロファイルを残したまま、Systems Manager のアクセス許可を Default Host Management Configuration へ移す・Terraform で作成した本番環境と同じ構成を別アカウントに作るため、手作業で記述せずに CloudFormation テンプレートを作る
セキュリティとコンプライアンス #13プレミアム
Security Hub CSPM のコントロールの検出結果を生成させ、2 つのリージョンの検出結果を 1 か所で確認する・社内基準の Config ルールと修復アクションを、1 つのまとまりとして組織の全アカウントに展開する・TLS をインスタンスで終端させたまま、ロードバランサーで HTTPS 通信を分散する構成を選ぶ・どの S3 バケットに機密データがありそうかを、資産全体で継続的に把握する・SCP が効かない管理アカウントで、同じ制限を確実に効かせる
ネットワークとコンテンツ配信 #13プレミアム
VPC 内の EC2 間や S3 向けの通信の劣化を継続的に確認し、自社側か AWS 側かを判別する・カスタムネットワーク ACL を関連付けた後にロードバランサーのターゲットが異常になった原因を取り除く・オンプレミスからプライベートホストゾーンを解決するために必要な 2 つの設定を選ぶ・対戦ごとに割り当てたゲームサーバーへ、グローバルネットワーク経由でプレイヤーを接続させる・クエリ文字列の順序と大文字小文字がばらばらの画像 URL で、幅と形式ごとの画像を保ったまま CloudFront のキャッシュヒット率を上げる
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #14プレミアム
Prometheus の監視をマネージドサービスへ移した後に、2 年前のメトリクスと比較できるようにする設定を選ぶ・スケールアウトが InstanceLimitExceeded で失敗する原因を取り除く・Aurora への接続の急増を吸収しつつ、読み取りを Aurora レプリカへ振り分ける・ランブックのステップが AccessDenied で失敗する原因を、許可の種類と相手の両面から特定する・Windows の SMB 共有を Active Directory と Windows ACL のまま、AZ の障害でも使い続ける
信頼性とビジネス継続性 #14プレミアム
aws/ebs で暗号化されたゴールデン AMI を、本番から分離した復旧用のアカウントのキーで暗号化して使う・SQS キューの滞留に応じてワーカーを増減するターゲット追跡ポリシーの、対象メトリクスと目標値を決める・遅延読み込みで古い値が残る原因を見抜き、キャッシュミスを増やさずに陳腐化を解消する方式を選ぶ・毎週の復元の検証と、復旧時間の判定のレポートを自動化する仕組みの組み合わせを選ぶ・複数の AZ から共有するファイルシステムを、どの AZ の障害でも読み書きを続けられる構成にする
デプロイ、プロビジョニング、自動化 #14プレミアム
コンテナイメージの OS と言語のパッケージの脆弱性を継続的に検査し、メールで届ける・開発環境と本番環境で、別々のパッチベースラインを使う・外部 API の数時間の停止の後でも、S3 のイベントを自動で処理し直す・CDK のデプロイが特定のエラーで失敗する原因を読み取り、環境に対して行う手当てを選ぶ・組織内の全アカウントへ Resolver ルールを共有し、追加されるアカウントにも自動で届ける
ネットワークとコンテンツ配信 #14プレミアム
Transit Gateway 経由の通信が一部の AZ のインスタンスからだけ届かない原因を取り除く・CloudFront 経由の S3 の動画を、会員ごとの期限付きの権限で有料会員だけに配信する・プライベート DNS 名を有効にするインターフェイスエンドポイントのために、VPC 側で先に済ませる設定を選ぶ・NAT ゲートウェイの同時接続の上限を引き上げ、接続を確立できなかったことを通知する・2 本のトンネルが確立されなくなった Site-to-Site VPN で、ネゴシエーションが失敗している段階と原因を特定する
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #15プレミアム
Elastic Volumes でサイズを増やした EBS ボリュームの容量を、OS 上の /data に反映させる・暗号化したトピックへ、CloudWatch アラームからの発行を通す・作成済みの Lambda 関数を毎朝決まった時刻に実行する方法を選ぶ・増減するフリート全体で CloudWatch エージェントの設定を同じ状態に保ち続ける・EFS のクレジット枯渇によるスループット低下と、読まれないファイルの保存コストを、コストを抑えて解消する
信頼性とビジネス継続性 #15プレミアム
ECS のデプロイ中にタスク数が減らなかった原因を特定する・一括更新でレプリカラグが大きくなる時間帯に、マルチ AZ DB クラスターのフェイルオーバーを速くする・オリジン負荷の集約と、オリジン障害中の配信継続を、それぞれ受け持つ CloudFront の機能を選ぶ・PITR を有効にしていた DynamoDB テーブルを誤って削除したときに、何からどこへ復元できるか・増えていく EC2 インスタンスの日次バックアップと保持を、最も少ない運用の手間で自動化する
デプロイ、プロビジョニング、自動化 #15プレミアム
テンプレートのパラメータで、実在しない値の入力そのものを防ぐ方法を選ぶ・Config の自動修復が、検出したリソースではなく毎回同じリソースを変更してしまう・エンドユーザーに基盤となるサービスのアクセス許可を付与せずに Service Catalog の製品を起動させる・スケールイン保護された台と新しいバージョンの台を残して、Auto Scaling グループのインスタンスの更新を完了させる・プライベートサブネットのインスタンスから cfn-signal が届かない原因を取り除く
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #16プレミアム
Lambda Insights 拡張機能のデバッグログを有効にする設定と、それを読む場所を選ぶ・EC2 インスタンスの状態が変わるたびに、運用担当者へ E メールを届ける・インスタンス側の EBS の上限で頭打ちになったデータベースの I/O を改善する・RDS の CPU 使用率を 1 秒間隔で記録し、1 年間クエリできる状態で残す・CPU クレジットを使い切って 30% で頭打ちになる T3 インスタンスの性能を戻す
信頼性とビジネス継続性 #16プレミアム
ヘルスチェックのポートを変えたらすべてのターゲットが Target.Timeout で unhealthy になった原因を解消する・ヘルスチェックに合格する遅い AZ から、インスタンスを残したまま期限付きでトラフィックを外す・デフォルトの終了ポリシーでスケールイン時に終了するインスタンスがどの AZ から選ばれるかを判断する・プライマリ障害から数秒で書き込みを再開し、接続先の変更を不要にする 2 つの手を選ぶ・自動スケーリングで広がった RDS の割り当てを使用量に戻す手段を選ぶ
デプロイ、プロビジョニング、自動化 #16プレミアム
Default Host Management Configuration の登録情報を削除したインスタンスを、再びマネージドノードにする・Auto Scaling グループの作成を、全インスタンスのシグナルがそろうまで完了させない・開発環境の RDS を夜間に停止し朝に起動する処理を、最小の運用負荷で自動化する・ALB の加重ターゲットグループで green が全台異常になっても約 10% のエラーが続く問題を止める・CloudFormation テンプレートで、リージョンごとの最新の AMI ID を手作業なしで使う
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #17プレミアム
FIFO トピックから、順序を保つ処理の経路と人への通知の経路の両方へ届ける・1 回の PUT では送れない大きなファイルを S3 にアップロードする・ノードと Fargate の Pod が混在する EKS クラスターで、メトリクスとログの収集を最小の手間でそろえる・計画メンテナンス中だけ複合アラームの通知を止める仕組みを選ぶ・CloudTrail のログ記録が止まったら、管理する部品を増やさずに自動で再開させる仕組みを選ぶ
信頼性とビジネス継続性 #17プレミアム
自動バックアップを無効にしていた RDS で、業務を止めずに任意の時点へ戻せる状態にする方法・オリジンの no-cache が無視されてエッジに残る保持時間を取り除く・初期化に時間のかかるインスタンスをスケールアウト直後から処理させ、待機のコストも抑える・Image Builder で作るゴールデン AMI を復旧環境の起動テンプレートに反映し、既存のインスタンスもすぐに置き換える・受注処理の RDS の DB インスタンスから、数分の遅れで足りるレポートの読み取りを切り離す方法
デプロイ、プロビジョニング、自動化 #17プレミアム
同じ時刻に集中する多数のスケジュールの呼び出しを、1 時間の中に分散させる・スタックの削除後も特定のリソースだけを残す・Parameter Store で、大きな値の保存の失敗と、同時起動時の取得のスロットリングを解消する・StackSet の更新が最初のリージョンで止まった状況で、操作を先へ進める設定を選ぶ・同じタグでプッシュした ECR のイメージを、ECS のすべてのタスクに同じイメージのまま反映する
モニタリング、ロギング、分析、修復、パフォーマンス最適化 #18プレミアム
台数が入れ替わるフリートを、1 つのアラームで「いずれか 1 台の超過」を見られる式を選ぶ・ランブックを 400 台へ段階的に適用し、失敗で止める仕組みと、スクリプトの出力の保管を両立する・CPU と帯域幅に余裕があるのに、集中時だけ新しい接続が失敗する原因を特定する・本文の値で振り分けたいのに一致しないフィルターポリシーを、受け取る側の設定で直す・ロググループのログイベントを、外部の分析基盤へほぼリアルタイムで送り続ける
信頼性とビジネス継続性 #18プレミアム
バックアップと復元の DR 戦略で、手作業の構築に時間がかかり RTO を超える問題を、平常時に料金が発生するリソースを増やさずに解消する・レプリケーションの設定前からある S3 オブジェクトを、送信先のバケットへ複製する・Aurora serverless のクラスターが受け付けられる同時接続数を増やす手順の組み合わせを選ぶ・組織の全アカウントに同じバックアッププランを適用し、設定を 1 か所で管理する・1 つのテーブルだけを誤った処理の直前の状態に戻し、ほかのテーブルのデータを失わない復旧手順