【AWS初学者向け】AWS認定資格CLF直前対策

アクセスキーとシークレットアクセスキーのペア

1つのIAMユーザに対して最大2つ。これは，古いAPIキーを削除する際には一時的に2つのAPIキーが必要になるからであり，実用上最低限の上限となっている。

APIキーを利用しないこと。代わりにIAMロールの利用が推奨されている。

• IDとパスワード
• キーペア
• APIキー
• アクセス制御および権限管理

許可を設定する。デフォルトで全てのトラフィックは拒否されているため，ホワイトリスト形式での指定となる。

• L7対応
• L3/L4/L7の攻撃通知およびレポート作成
• DDoS Response Teamによる24時間365日サポート
• DDoSによるコスト増加分のクレジット提供

• AWS Shield プランの比較｜AWS公式

1. CloudFront
2. Application Load Balancer
3. API Gateway

• AWS WAF FAQ「どのようなサービスをサポートしますか？」｜AWS公式

マルチサイトアクティブアクティブ

• AWS Local Zones
  • エンドユーザの近くでアプリケーションをデプロイ。ゲームやAR/VRに重宝。
• AWS Wavelength
  • 5Gデバイス向けの超低レイテンシーアプリケーションをデプロイ。
• AWS Outposts
  • クラウドとオンプレミスのハイブリッドアーキテクチャをデプロイ。

• 耐久性：データを失わない度合い
  • (1-平均年間予測消失率)で表される
• 可用性：システムが稼働し続ける度合い
  • 1年あたりの稼働率で表される

できない。CloudFrontには，ELBやRoute53のように可用性を担保するAutoScaling機能は存在しない。

特定エリアに展開されたインフラ上でアプリケーションを作成することができるサービス。低レイテンシを実現することができる。具体的には，既存のAWSリージョンをエンドユーザーにより近い場所まで拡張し，ゾーン内のAWSサービスに対して一桁ミリ秒のレイテンシーを提供する。

マルチAZ。要件に大きな災害の対策が含まれる場合はマルチリージョンを選択する。

下記を参照されたい。特に，API Gatewayと連携するのはCloudFrontである点に注意する。

有する。

DynamoDBの機能で，マルチリージョンにマルチマスターデータベースをデプロイすることができる。

DynamoDB AcceleratorはDynamoDBと互換性のある高速なインメモリキャッシュサービスであるのに対し，グローバルテーブルは複数のリージョンにアクティブ状態のデータベースをデプロイするサービス。DynamoDB Acceleratorはデータベースそのものを指しており，グローバルテーブルはデプロイ方法のことを指している。

エッジロケーションはAWSで標準的に用意しているグローバルインフラストラクチャで，LocalZonesは標準的に用意しているグローバルインフラストラクチャであるVPCを拡張することで，別のAZに存在するVPCとしてエンドユーザの近くでアプリケーションを動作させるサービス。低レイテンシーを実現できる。

1. 稼働時間
   • Amazon Linuxでは秒単位で課金
2. データ転送アウト
   • データ転送インおよび同一AZ内の通信には課金されない
3. ストレージ
   • EC2の料金ではなくEBSの料金として加算

• Amazon Linux：ec2-user
• Ubuntu：ubuntu

これらのユーザはsudo権限を有している。

下記を参照されたい。なお，クラウドプラクティショナーの試験範囲からはやや逸脱している。

下記の記事をご参照ください。なお，クラウドプラクティショナーの試験範囲からはやや逸脱しています。

vCPUはvirtual CPUの略称で，AWSが管理するホストOSから我々のゲストOSに割り当てる仮想的なCPUのことを指します。なお，クラウドプラクティショナーの試験範囲からはやや逸脱しています。

ALBでは常にクロスゾーン負荷分散が有効になっているため，ALBを2つの異なるAZに属させればよい。

• Elastic Load Balancing の仕組み | AWS公式

垂直スケーリングではサーバのダウンタイムが発生してしまうことに加え，性能の上限も存在するため，ダウンタイムを発生させずに事実上無限のスケーラビリティを確保できる水平スケーリングを推奨している。

ユーザーデータを用いてEC2の初回起動時に同一の処理を行うことにより，ソフトウェアの最新化を自動化すること。

• アカウント：できる
• リージョン：できない

AutoScaling自体は無料で利用できる。

スポットインスタンスとオンデマンドインスタンスを組み合わせたようなインスタンスクラス。単純にスポットインスタンスだけを使うと急に停止される可能性があるため，オンデマンドインスタンスを使ってキャパシティを維持するような仕組みになっている。

単一AZ内のパフォーマンスを向上させるために，インスタンスを論理的にグルーピングする機能。

• クラスター
  • 低レイテンシーかつ高スループット
• スプレッド
  • 異なるラックに別々に配置されるため冗長化される
• パーティション
  • クラスターとスプレッドのいいとこ取り

NewestInstance。新しくスケールしたインスタンスから削除されるため，既存のインスタンスが残り続ける。

ある。Quotaで具体的な制限が指定されている。

Fargateは提供し，Batchは提供しない。BatchはFargateなどのコンピューティングリソースを利用する側。

利用時間とリクエスト数。コンピューティング容量は，ある閾値を超えると課金されるが，非常に安価。

オンプレミスでEKS/ECSを動かすことを可能にするサービス。

ボリュームのサイズとして確保した容量

同一のAZ内に自動的にレプリケートされる。複数のAZにまたがってレプリケートされる訳ではないため注意。

ルート（ブート）ボリュームは，汎用SSDとプロビジョンドIOPS SSDから選ぶことができる。汎用SSDのIOPSは最大でも16000であり，常に最大の性能を発揮できるわけではない一方で，プロビジョンドIOPS SSDでは最小のIOPSを指定することができる。また，追加のボリュームとしては，スループット最適化HDDとCold HDDも選択することができる。両方ともHDDであるためSSDより性能は劣るが，コスト面で節約することができる。Cold HDDは，スループット最適化HDDよりもアクセス頻度が低い場合に利用される。

詳しくは下記を参照されたい。

停止することができず，削除しかできない。

• 耐久性：99.999999999%（イレブンナイン）
• 可用性：99.99%

ACLは簡易的なアクセス制御の設定，バケットポリシーは詳細なアクセス制御の設定に用いられる。

下記を参照されたい。ポイントとしては，データへのアクセス頻度に基づいて適切なストレージクラスを選択することにより，コスト最適化を図ることができる点。

下記を参照されたい。ポイントとしては，S3の料金は主にストレージ容量・リクエスト容量・データ転送容量に依存して決定するという点。

• ブロックタイプストレージ（EBSなど）
  • 階層構造を必要としないため高速かつ細やかな制御（更新処理等）が可能
• ファイルストレージ（EFSなど）
  • 階層構造で管理するため直感的に分かりやすく，NFSなどによるネットワーク経由でのアクセスが可能※
• オブジェクトストレージ（S3など）
  • インデックスによる検索高速化と，HTTPSによるネットワーク経由でのアクセスが可能

※ EFSはHTTPS経由でアクセスできないため，ネットワーク経由のアクセスができないと表される場合もある

ネットワーク経由でされ，EC2とは独立して管理される。一方，インスタンスストアは物理ストレージを直接使う。

できる。EBSは基本的に単一のインスタンスにしかアタッチできない点に注意。

ALB等と同様にインターネットGWは水平スケーリングされるため，単一障害点とならず，高い可用性を有する。

セキュリティグループはデフォルトで全てのトラフィックを拒否するホワイトリスト形式，ネットワークACLはデフォルトで全てのトラフィックを許可するブラックリスト形式である。

1. VPC側に仮想プライベートGWまたはトランジットGW，オンプレミス側にカスタマーGWを設置する
2. VPC側に仮想プライベートGWまたはトランジットGWを設置し，AWS DirectConnectを利用する

詳しくは下記を参照されたい。

いずれもVPCにアタッチして外部と接続する際の出入り口となるが，仮想プライベートGWは一つのVPCに対してアタッチされ，トランジットGWは複数のVPCに対してアタッチされるという違いがある。

1. VPCピアリング
   • 同じVPCのように各VPCのプライベートIPアドレスをルーティングする
2. トランジットGWピアリング
   • Transit GWをピアリングする
3. AWSマネージドVPN
   • 仮想プライベートGWとカスタマーGWを用いたVPN接続

接続させたいVPCの数が少なければ1.がお手軽で，多ければ2.が便利。また，1.で接続するVPCが同一リージョンの場合，セキュリティグループを参照し合うことができるが，2.ではそれができない。

サブドメインを含まないドメイン名のこと。例えば，www.academ-aid.comではなく，academ-aid.comをZone Apexという。

AWS独自のレコードで，CNAMEレコードのドメイン名と同じドメイン名を持つソースレコードを登録できないというRFC1912の制約を回避するもの。Zone Apexに対しては必ずNSレコードで権威サーバを設定する必要があるため，CNAMEレコードはNSレコードと重複してしまい，RFC1912の制約に引っかかってしまう。この問題を解決するため，AWSでは独自のエイリアスレコードを定義しており，このレコードを利用することでNSレコードとの重複を許してZone Apexの擬似的なCNAMEレコードを設定することが可能になる。

• エイリアスレコードと非エイリアスレコードの選択｜AWS公式
• RFC1912

VPCは独立したプライベートネットワークとして定義されるため，CIDRは重複してもよい。ただし，VPCピアリングを利用する場合は，CIDRが重複したVPC同士を接続することはできないことに注意する。

AWS Network Firewall。WAFはアプリケーションに向けたインターネット経由のトラフィックに対してFWを提供します。

• Private Link
  • アカウント間やリソース間のプライベート接続。差し当たりはインタフェース型のVPCエンドポイントとおされておけばよい。AWS内の接続方式。
• Virtual Private Network
  • オンプレミスネットワークとAWS ネットワーク間のプライベート接続。

ただのイメージでしかないが，規模でいうとVPC < AWSネットワークなので，Private Link < VPNとなる。

• AWS WAF
• AWS Shield

特に，GuardDutyはDDoS以外の攻撃に対して，可視化と修復のための詳細なセキュリティ調査結果を提供する脅威検出サービスであることに注意する。

インスタンスが登録解除される場合、もしくは異常が発生した場合に新規リクエスト送信を中止する機能。

• 可用性：RDSはマルチAZの設定を明示的に行う必要がある一方で，DynamoDBはフルマネージド型であるためデフォルトでマルチAZに冗長化される。
• スケーリング：RDSではプライマリインスタンスは一つであるため，垂直スケーリングを行うことになる。一方で，DynamoDBでは水平スケーリングも可能であるため，可用性が優れている。

• EMR
  • Hadoop・Spark・Hiveといったデータ分析フレームワークを利用
  • 大規模データの蓄積・分析を分散処理技術によって実現するミドルウェア
• Redshift
  • 列データ処理に最適化されたPostgresベースのリレーショナル型データベースの一種
  • ビッグデータの格納と並列演算を可能にするサービス

両者とも実現できる技術は似ているため，最初は，分析対象に非構造化データが含まれる場合はEMR，分析対象が構造化データであればRedshiftを検討するくらいの認識でよい。

一方，RDSでマルチAZを有効にすると自動フェールオーバーが実施されます。リードレプリカによって自動フェールオーバーは行われません。

そのような機能は存在しない。EBSでは，スナップショットを保存することでバックアップを実現している。

できない。スナップショットは対象のEBSと同一リージョンに保存される。

許可されていない。ファイルシステムをOS設定と読みかえれば，RDSはマネージド型サービスなので接続が許可されていないことが分かる。

同一リージョン内の別AZに作成される。

AWS側ではOS以上のユーザ情報を取得することはできないため，例えばアプリケーションの情報をCloudWatchに連携したい場合は，CloudWatchエージェントをユーザがインスタンスにインストールする必要がある。このようにして集められた情報を，カスタムメトリクスと呼ぶ。

インスタンスをステートレスにできること。例えば，EC2インスタンスでログを取得していないと，ログを取得するまでEC2インスタンスを削除できないという依存関係が発生してしまうが，CloudWatchエージェントを仕込んでおくことで，外部の状態に関わりなくEC2インスタンスを削除することができるようになる。

AWSリソースの設定変更をモニタリングし，プロジェクトのポリシーやベストプラクティスに準拠しているかどうかを評価できるサービス。

ユーザ側。これは，暗号化に関わる部分までAWSが管理できないからと理解する。

Service control policyの略称で，複数アカウントのAWSサービスに対するアクセス許可/拒否を設定できる。SCPはIAMポリシーの一種で，ざっくりとしたアクセス境界を設定するガードレールの役割を果たす。詳しくは下記を参照されたい。

できない。

IAMは特定アカウント内のユーザ単位，Organizationsは複数アカウントの組織単位でアカウントの制御と管理を行う。

下記の記事をご参照ください。

• IAMユーザ
• IAMグループ
• IAMロール

詳しくは下記を参照されたい。

• コンパクトであるため省スペースで持ち運びやすい
  • Snowcore（8TB）
  • Snowcore Solid State Drive（14TB）
• エッジコンピューティングを提供
  • Snowball Edge Storage Optimized（80TB）
  • Snowball Edge Compute Optimized（40TB）
• 14mの丈夫な輸送で超大規模データの扱いが可能
  • Snowmobile（100PB=100000TB）

AWS Systems Manager。AWS CnofigはAWSリソースの設定を継続的にモニタリングしますが，運用タスクは自動化できません。

AWSの請求およびアカウントのベストプラクティスを提供するサービス。エンタープライズプランで利用可能。

Technical Account Managerの略称で，技術的なサポートを行うAWS専門部隊のことを指す。

Elastic Beanstalkはアプリケーション管理プラットフォーム，OpsWorksは設定管理プラットフォームと説明している。ざっくりとしたイメージとしては，Elastic Beanstalkは「アプリ」の簡易デプロイ，OpsWorksは「サーバ」の高度なカスタマイズ構成を管理するサービスとおさえておけばよい。

AWS Control Towerでは，AWS Organizationsによるマルチアカウントの一元管理に加え，SSOやConfig，CloudTrailなどのセットアップも行うことができる。ただし，タグやバックアップなどの細かな設定はAWS Organizationsで行う。

• AWS Control Tower と AWS Organizations の違いは何ですか?｜AWS公式

語弊を恐れずに表現すると，マネージド型サービスはメンテナンスやバックアップ，スケーリングといった運用管理をAWS側に委譲するサービスで，アンマネージド型サービスは裸の（とはいえインフラの管理自体はAWS側に委譲できる）サーバをそのまま貸し出すサービス。差分として「メンテナンスやバックアップ，スケーリングといった運用管理をAWS側に委譲するかどうか」と押さえておきたい。例えば，EC2は裸のサーバを貸し出すサービスであり，これらの運用管理をユーザ側が行う必要があるため，アンマネージド型サービスとなる。

一言で表すと，KMSよりもCloud HSMの方がセキュアで高価。KMSでは，他ユーザと共有したサーバ上で暗号化キーを管理するが，Cloud HSMでは各ユーザ専用のサーバ上で暗号化キーを管理できる。

• AWS KMS と AWS CloudHSM にはどのような違いがありますか?｜AWS公式

できる。

されない。これは，パブリックアクセスブロックの有効化を指摘すれば十分だからと理解する。

実現したいことは同じで，リソースをグルーピングすることでコスト管理の効率化を図るというもの。いずれもAWS Billingの機能ではあるが，コスト配分タグは手動で付与する必要がある一方で，Cost Categoriesでは独自に定義したルールにしたがって自動的にカテゴリを作成できる。作成したカテゴリは，Cost ExplorerやBudgetsと連携してフィルタとして利用することができる。

タグエディタ

提供しない。Trusted Adviserが提供するのは，下記の五つの観点。

1. コストの最適化
2. パフォーマンス
3. セキュリティ
4. 耐障害性
5. サービスクウォータ

• AWS re:Post
• AWS IQ

できない。

AWS Trust & Safetyチーム

Device Farmはさまざまなデスクトップブラウザやモバイルデバイスのテストを実施できるサービスで，Mobile hubはモバイルアプリケーションを構築・テスト・モニタリングできるプラットフォーム。

ビジネスプラン以上。

Pollyは音声合成，Lexは会話型インターフェース。

差分バックアップは初回との差分，増分バックアップは前回との差分。

AWS Application Migration Service（MGN）。名前からAWS Server Migration Service（SMS）を思い浮かべてしまうことが多いが，SMSは廃止されているため注意。

CloudWatch Alarm。CloudWatch Logsではログの監視しかできないため注意。

Access Advisor。IAM認証情報レポートはあくまでも認証情報のレポートファイルであることに注意。

• AWS Security Hub
• Amazon Detective

サードパーティが提供するデータをサブスクリプション方式で使用できるようにするサービス。

AWS Snowcone。Snowball Edge Compute Optimizedも同様のユースケースで利用できるが，軽量分析エンジンとしてはAWS Snowconeの方が適切。

クラウドの機能をローカル（エッジ）のIoTデバイスに拡張するソフトウェア。

Comprehendは自然言語処理によって非構造化テキストからインサイトを抽出し，Kendraは自然言語の入力に基づいたリッチな検索インタフェースを提供にするサービス。語弊を恐れずに言えば，前者は特徴量抽出，後者は検索機能を得意とするサービスになる。

機械学習とパターンマッチングによって機密データを検出・保護するセキュリティサービス。

できる。モデルの訓練およびデプロイをサポートしている。

できる。

前者は提供せず，後者はCloudTrail Insightsとよばれる機能で提供している。

IoT アプリケーションに適したフルマネージド型の時系列データベースサービス。

APNパートナー。APNはAWS パートナーネットワークの略称です。

• AWSパートナーネットワークに参加する

• ソフトウェアパス
  • ソフトウェアを開発する組織がAPNパートナーとなるために登録するパス
• ハードウェアパス
  • ハードウェアを開発する組織がAPNパートナーとなるために登録するパス
• サービスパス
  • ビジネスに付加価値を提供する組織がAPNパートナーとなるために登録するパス
• トレーニングパス
  • AWSトレーニングを提供している組織がAPNパートナーとなるために登録するパス
• ディストリビューションパス
  • AWSソリューションの開発を行う組織がAPNパートナーとなるために登録するパス

• AWSパートナーパス

下記の三段階のティアに分類される。

1. セレクトティア
   • トレーニングと認証を受けたパートナー
2. アドバンストティア
   • セレクトティア相当の技術に加え，実績のあるパートナー
3. プレミアティア
   • 地理的市場，垂直・水平市場のリーダとして認知され，アドバンストティアの技術力および実績を上回る深い専門知識と大規模な顧客との実績を持つパートナー

• AWS サービスパートナーティア

AWS Budgets

同一リージョン内の通信であれば，アカウントが異なっていても課金されることはない。

Amazon Linuxは秒単位，それ以外は時間単位で切り上げられる。