ベストプラクティスに基づく自動チェックと推奨事項
ビジネスサポートプランを契約中の企業が、稼働中のリソースの構成と使用状況を AWS に自動検査させ、コスト最適化、パフォーマンス、セキュリティ、フォールトトレランス、サービスクォータの観点の推奨事項をダッシュボードで確認したいと考えています。適切なツールはどれですか。
解説を読む（正解: C）
AWS Trusted Advisor は、アカウント内のリソース構成と利用状況を AWS のベストプラクティスに照らして自動的に検査し、改善のための推奨事項をダッシュボードに提示するサービスです。チェック項目はコスト最適化、パフォーマンス、セキュリティ、フォールトトレランス、サービスクォータの 5 カテゴリに分類され、使われていないリソースの削除、セキュリティグループの過剰な開放、クォータの逼迫といった具体的な指摘がリアルタイムに得られます。ベーシックおよびデベロッパープランでは限定的なチェックのみが利用できますが、ビジネス以上のサポートプランではすべてのチェックが有効になるため、ビジネスプランを契約している設問の企業は 5 カテゴリすべての推奨事項を確認できます。AWS Well-Architected Tool は設計に関する一連の質問に回答してワークロードのアーキテクチャを自己評価し、改善計画を文書化するツールであり、実リソースを自動スキャンして指摘を出すものではありません。AWS Compute Optimizer は CloudWatch のメトリクスを機械学習で分析し、EC2 インスタンスや Lambda 関数などの適正サイズを推奨するサービスで、対象がコンピューティングのサイジングに限定されます。AWS Config はリソース構成の変更履歴を記録し、定義したルールへの準拠状況を評価するサービスであり、コストやフォールトトレランスを含む横断的な推奨事項は提供しません。
S3 バケットのアクセス許可をベストプラクティス観点で点検する
ある企業が、追加のエージェント導入や個別のスクリプト作成を行わずに、アカウント内の Amazon S3 バケットのアクセス許可がベストプラクティスから逸脱していないかを推奨事項として一覧確認したいと考えています。最も適した AWS サービスまたはツールはどれですか。
解説を読む（正解: B）
AWS Trusted Advisor は、利用中の AWS 環境を AWS のベストプラクティスに照らして自動的に検査し、コスト最適化、パフォーマンス、セキュリティ、耐障害性、サービスの制限という 5 つのカテゴリで推奨事項を提示するサービスです。セキュリティカテゴリには「Amazon S3 バケットのアクセス許可」チェックが含まれており、バケットポリシーや ACL によって一般公開されている、あるいは認証済みユーザー全員に書き込みや削除を許可しているバケットを自動的に洗い出して警告します。エージェントの導入もスクリプトの作成も不要で、コンソールから推奨事項を一覧できるため、本設問の要件に合致します。Service Quotas コンソールは、サービスごとに設定された利用上限 (クォータ) を確認し、必要に応じて引き上げを申請するためのコンソールであり、アクセス許可の点検は行えません。AWS Health Dashboard は AWS 側のイベントや自社リソースへの影響を通知するサービスで、バケットの権限設定を評価する機能はありません。AWS Cost and Usage Report は課金・使用状況の明細を時間単位で出力する請求向けのレポートであり、セキュリティ設定の適正を判断する用途には使えません。
追加費用なしで実施できるセキュリティ設定の自動チェック
既存の AWS 環境について、ルートユーザーの MFA 未設定、パブリック書き込み権限を持つ S3 バケット、SSH や RDP を全世界に開放したセキュリティグループといった典型的な設定不備を、新しいツールを導入せずにすぐ点検したいと考えています。最も適切な手段はどれですか。
解説を読む（正解: A）
AWS Trusted Advisor は、アカウントの構成を AWS のベストプラクティスと自動的に照合して推奨事項を提示する仕組みで、コスト最適化・パフォーマンス・セキュリティ・耐障害性・サービスの制限という 5 つのカテゴリでチェックを行います。セキュリティカテゴリには、ルートアカウントの MFA 有効化、S3 バケットのアクセス許可、セキュリティグループで無制限に開放されたポート、IAM の使用状況、公開されたアクセスキーの検出といった項目が含まれます。すべてのサポートプランでコアのセキュリティチェックが利用でき、ビジネス以上のプランではチェックが全項目に拡張されるため、新規サービスを導入せずすぐに実施できる設定点検として A が最も適切です。B の AWS Artifact は AWS 側が取得している第三者監査レポートや契約書をオンデマンドで入手するポータルであり、AWS のコンプライアンス状況を示す資料は得られますが、利用者自身のアカウント設定の不備は検出しません。C の Cost Explorer はコストと使用量の可視化ツールで、課金の傾向は分かってもセキュリティ設定の評価はできません。D の AWS Health Dashboard は AWS 側の障害やメンテナンス、リソースに影響するイベントを通知するもので、利用者の構成ミスを指摘する機能ではありません。設定不備の是正はクラウド「内」のセキュリティであり利用者責任である点も併せて押さえておきたいところです。