【全999問（801～900）】AWS認定ソリューションアーキテクトアソシエイト【AWS Certified Solutions Architect - Professional】SAP-C02の練習問題集と解析
◐８０１．会社はAWS上でアプリケーションを構築しています。アプリケーションは、Amazon Elasticsearch Service (Amazon ES) クラスターにログを送信して分析します。すべてのデータはVPC内に保存されなければなりません。会社の開発者の中には、自宅で作業している者もいれば、3つの異なる会社のオフィスから作業している者もいます。開発者は、ローカル開発マシンから直接Amazon ESにアクセスしてログを分析および視覚化する必要があります。これらの要件を満たすソリューションはどれですか？
選択肢:
A. AWS Client VPNエンドポイントを設定および構成します。Client VPNエンドポイントをVPC内のサブネットに関連付けます。Client VPNのセルフサービスポータルを構成します。開発者にClient VPN用のクライアントを使用して接続するように指示します。
B. トランジットゲートウェイを作成し、VPCに接続します。AWS Site-to-Site VPNを作成します。トランジットゲートウェイにアタッチメントを作成します。開発者にOpenVPNクライアントを使用して接続するように指示します。
C. トランジットゲートウェイを作成し、VPCに接続します。AWS Direct Connect接続を注文します。Direct Connect接続にパブリックVIFを設定します。パブリックVIFをトランジットゲートウェイに関連付けます。開発者にDirect Connect接続に接続するように指示します。
D. VPCのパブリックサブネットにバスティオンホストを作成および構成します。バスティオンホストのセキュリティグループを構成して、会社のCIDR範囲からのSSHアクセスを許可します。開発者にSSHを使用して接続するように指示します。
正解: A
解説:
A: AWS Client VPNを使用することで、開発者が自宅や会社のオフィスから安全にVPC内のリソースにアクセスできます。Client VPNエンドポイントをVPCのサブネットに関連付け、セルフサービスポータルを構成することで、開発者がVPNクライアントを使用して簡単に接続できるようになります。これにより、開発者がAmazon ESに直接アクセスできるようになります。
B: トランジットゲートウェイとSite-to-Site VPNは、大規模なネットワーク接続に適していますが、開発者のような個々のユーザーがリモートから接続するには適していません。また、OpenVPNクライアントを使用する場合、ユーザーの設定が複雑になる可能性があります。
C: AWS Direct Connectは高帯域幅の専用接続を提供しますが、開発者がリモートから接続する場合には過剰であり、セットアップも複雑になります。Direct Connectは通常、オンプレミスのデータセンターとAWS間の接続に使用されます。
D: バスティオンホストを使用する方法もありますが、SSHを使用してAmazon ESにアクセスするには、セキュリティとアクセス制御が複雑になります。また、バスティオンホストのセキュリティ管理が必要で、リモートユーザーの管理が難しくなることがあります。
◐８０２．ある会社がAWS上にサーバーレスのマルチテナントコンテンツ管理システムを構築しています。このアーキテクチャには、カスタムAWS Lambda認証機能を使用するAmazon API Gateway APIと連携するWebベースのフロントエンドがあります。認証機能は、ユーザーをテナントIDに認証し、情報をJSON Web Token (JWT) トークンにエンコードします。認証後、API Gatewayを通じて行われる各API呼び出しは、リクエストを処理するために単一のAmazon DynamoDBテーブルとやり取りを行うLambda関数をターゲットにします。セキュリティ基準に準拠するために、会社はテナント間の隔離を強化する必要があります。会社は、最初の1年で数百の顧客を見込んでいます。どのソリューションが最も少ない運用オーバーヘッドでこれらの要件を満たすでしょうか？
選択肢:
A. テナントIDをテーブル名に使用して、各テナント用のDynamoDBテーブルを作成します。JWTトークンを使用して適切なLambda実行ロールを取得するサービスを作成します。IAMポリシーを実行ロールにアタッチして、テナント専用のDynamoDBテーブルへのアクセスのみを許可します。
B. DynamoDBテーブルのパーティションキーにテナントID情報を追加します。JWTトークンを使用して適切なLambda実行ロールを取得するサービスを作成します。IAMポリシーを実行ロールにアタッチして、テーブル内のアイテムにアクセスできるようにし、キーがテナントIDと一致する場合のみ許可します。
C. 各テナントのアプリケーション用に別々のAWSアカウントを作成します。各テナント専用のインフラストラクチャを使用します。クロスアカウントのネットワーク接続が存在しないことを確認します。
D. DynamoDBテーブルにテナントIDをソートキーとして追加します。各Lambda関数にロジックを追加して、JWTトークンから取得したテナントIDをDynamoDBテーブルのすべての操作でソートキーとして使用します。
正解: A
解説:
A: 各テナント用に独立したDynamoDBテーブルを作成することで、テナント間のデータの隔離が強化され、セキュリティが向上します。JWTトークンを使用して、テナント専用のLambda実行ロールを取得し、IAMポリシーをそのロールにアタッチすることで、各テナントのテーブルへのアクセスを制限できます。この方法は、管理が比較的簡単で、各テナントのデータの隔離が確実に行えます。
B: テナントIDをパーティションキーにする方法でも隔離は可能ですが、すべてのテナントデータが同じテーブルに保存されるため、テーブルの管理が複雑になります。また、IAMポリシーでアイテムへのアクセス制御を行うためには、追加のロジックが必要です。
C: 各テナントのために別々のAWSアカウントを作成する方法は、隔離が非常に強力ですが、管理と運用のオーバーヘッドが大きくなります。これにはコストや管理の複雑さが伴います。
D: テナントIDをソートキーとして使用する方法では、データの隔離がソートキーによって行われますが、テーブルのデータが混在するため、管理とパフォーマンスの面で難易度が高くなる可能性があります。
◐８０３．ある会社がAWSクラウドでカスタムデータベースを運用しています。このデータベースはAmazon EC2をコンピュートに、Amazon Elastic Block Store (Amazon EBS)をストレージに使用しています。データベースは最新世代のEC2インスタンス上で動作し、データにはGeneral Purpose SSD (gp2) EBSボリュームを使用しています。 現在のデータボリュームの特性は以下の通りです：
ボリュームサイズ: 512 GB
ボリュームの使用量は常に256 GB以下
ボリュームは常に約1,500 IOPSを使用
ソリューションアーキテクトは、現在のデータベースストレージ層を分析し、コスト削減のための推奨事項を提供する必要があります。データベースのパフォーマンスに影響を与えずに最もコスト削減を実現するソリューションはどれですか？
選択肢:
A. データボリュームをCloud HDD (sc1)タイプに変換します。ボリュームサイズを512 GBのままにし、ボリュームのIOPSを1,500に設定します。
B. データボリュームをProvisioned IOPS SSD (io2)タイプに変換します。ボリュームサイズを256 GBに変更し、ボリュームのIOPSを1,500に設定します。
C. データボリュームをProvisioned IOPS SSD (io2) Block Expressタイプに変換します。ボリュームサイズを512 GBのままにし、ボリュームのIOPSを1,500に設定します。
D. データボリュームをGeneral Purpose SSD (gp3)タイプに変換します。ボリュームサイズを256 GBに変更し、ボリュームのIOPSを1,500に設定します。
正解: D
解説:
D: gp3タイプは、ボリュームサイズに応じたコスト削減が可能です。gp3は、gp2と比べてコスト効率が高く、IOPSとスループットの設定が独立しているため、必要なIOPSに基づいてコストを最適化できます。ボリュームサイズを256 GBに変更し、必要なIOPSを設定することで、コスト削減を図りながらパフォーマンスも維持できます。
A: sc1はCold HDDで、主に低スループットのワークロードに適しています。データベースのような高IOPSが必要なアプリケーションには適しておらず、パフォーマンスに影響が出る可能性があります。
B: io2は高IOPSを提供するため、コストが高くなる可能性があります。ボリュームサイズを256 GBに変更すると、IOPSのコストも下がるかもしれませんが、io2の料金はgp3よりも高いです。
C: io2 Block Expressは高性能なストレージですが、高コストであるため、必要以上にコストがかかる可能性があります。gp3で十分なパフォーマンスが得られる場合には、io2 Block Expressは過剰です。
◐８０４．イギリス（UK）の企業がAmazon WorkSpacesでの概念実証を成功裏に完了しました。企業にはアメリカ（US）にも大きなオフィスがあり、各オフィスのスタッフは定期的に両拠点を行き来しており、WorkSpacesクライアントの再設定なしで企業のWorkSpaceにアクセスする必要があります。企業はAmazon Route 53を使用して接続エイリアス用のドメインを購入しました。ソリューションアーキテクトは、2つのAWSリージョンでのWorkSpacesの構成を使用し、リージョンごとのレジリエンシーを提供する完全なソリューションを設計する必要があります。この要件を満たすソリューションはどれですか？
選択肢:
A. UKリージョンとUSリージョンで接続エイリアスを作成します。接続エイリアスをUKリージョンのディレクトリに関連付けます。接続エイリアスのドメインにDNSサービスを設定します。ジオロケーションルーティングポリシーを設定します。WorkSpacesユーザーに接続文字列を配布します。
B. UKリージョンで接続エイリアスを作成します。接続エイリアスをUKリージョンのディレクトリに関連付けます。接続エイリアスのドメインにDNSサービスを設定します。重み付きルーティングポリシーを設定し、UKリージョンを1、USリージョンを255に設定します。WorkSpacesユーザーにUKリージョンの接続文字列を配布します。
C. UKリージョンとUSリージョンで接続エイリアスを作成します。接続エイリアスをそれぞれのリージョンのディレクトリに関連付けます。接続エイリアスのドメインにDNSサービスを設定します。ジオロケーションルーティングポリシーを設定します。WorkSpacesユーザーに接続文字列を配布します。
D. USリージョンで接続エイリアスを作成します。接続エイリアスをUKリージョンのディレクトリに関連付けます。接続エイリアスのドメインにDNSサービスを設定します。マルチバリューアンサールーティングポリシーを設定します。WorkSpacesユーザーにUSリージョンの接続文字列を配布します。
正解: C: UKリージョンとUSリージョンで接続エイリアスを作成します。接続エイリアスをそれぞれのリージョンのディレクトリに関連付けます。
解説: このソリューションは、UKとUSの両リージョンに接続エイリアスを作成し、それぞれのリージョンでWorkSpacesのディレクトリに関連付けることで、各リージョンでの冗長性と地域ごとの自動ルーティングを提供します。ジオロケーションルーティングポリシーを使用して、ユーザーは自分の現在地に基づいて最適なリージョンのWorkSpaceに接続できます。
◐８０５．小売会社が、AWS上で複数のAWSリージョンにわたるeコマースウェブサイトをホストしています。会社は、オンライン購入のためにウェブサイトを常に稼働させたいと考えています。ウェブサイトはAmazon RDS for MySQL DBインスタンスにデータを保存しています。 データベースのために最高の可用性を提供するソリューションはどれですか？
選択肢:
A. Amazon RDSで自動バックアップを設定します。障害が発生した場合、自動バックアップを単独のDBインスタンスに昇格させます。データベーストラフィックを昇格されたDBインスタンスに向けます。昇格されたDBインスタンスをソースとして新しいリードレプリカを作成します。
B. Amazon RDSでグローバルテーブルとリードレプリカを設定します。クロスリージョンスコープを有効にします。障害が発生した場合、AWS Lambdaを使用してリードレプリカを別のリージョンにコピーします。
C. Amazon RDSでグローバルテーブルと自動バックアップを設定します。障害が発生した場合、AWS Lambdaを使用してリードレプリカを別のリージョンにコピーします。
D. Amazon RDSでリードレプリカを設定します。障害が発生した場合、クロスリージョンリードレプリカを単独のDBインスタンスに昇格させます。データベーストラフィックを昇格されたDBインスタンスに向けます。昇格されたDBインスタンスをソースとして新しいリードレプリカを作成します。
正解: A
解説:
A: 自動バックアップを設定し、障害が発生した場合に自動バックアップを単独のDBインスタンスに昇格させることで、高可用性を確保できます。新しく昇格されたDBインスタンスにデータベーストラフィックを向けることができ、また新しいリードレプリカを作成して冗長性を確保します。これにより、データベースの可用性を最大限に高めることができます。
B: グローバルテーブルとリードレプリカを設定してクロスリージョンスコープを有効にすることは、Amazon DynamoDBでのソリューションです。Amazon RDSでは、これを適用することはできません。また、AWS Lambdaを使用してリードレプリカをコピーすることは、手動での対応が必要になるため、可用性が最も高いとは言えません。
C: グローバルテーブルと自動バックアップは、DynamoDBで使用する用語であり、Amazon RDSには適用されません。AWS Lambdaを使用してリードレプリカを別のリージョンにコピーするのも、手動での操作が多く、最高の可用性を提供するとは言えません。
D: クロスリージョンリードレプリカの昇格は、データベースの可用性を高める手段ですが、リードレプリカの昇格には時間がかかる場合があります。さらに、複雑な手順が必要となり、管理の負担が増える可能性があります。
◐８０６．会社は、オンプレミスのファイルストレージソリューションをAmazon S3にバックアップしたいと考えています。オンプレミスのファイルストレージソリューションはNFSをサポートしており、新しいソリューションもNFSをサポートする必要があります。会社は、バックアップファイルを5日後にアーカイブし、災害復旧のためにアーカイブされたファイルを取得する際には、数日間の待ち時間が許容されます。この要件を最もコスト効率良く満たすソリューションはどれですか？
選択肢:
A. AWS Storage GatewayファイルゲートウェイをS3バケットに関連付けてデプロイし、オンプレミスのファイルストレージソリューションからファイルをファイルゲートウェイに移動します。S3ライフサイクルルールを作成して、5日後にファイルをS3 Standard-Infrequent Access (S3 Standard-IA) に移動します。
B. AWS Storage GatewayボリュームゲートウェイをS3バケットに関連付けてデプロイし、オンプレミスのファイルストレージソリューションからファイルをボリュームゲートウェイに移動します。S3ライフサイクルルールを作成して、5日後にファイルをS3 Glacier Deep Archiveに移動します。
C. AWS Storage GatewayテープゲートウェイをS3バケットに関連付けてデプロイし、オンプレミスのファイルストレージソリューションからファイルをテープゲートウェイに移動します。S3ライフサイクルルールを作成して、5日後にファイルをS3 Standard-Infrequent Access (S3 Standard-IA) に移動します。
D. AWS Storage GatewayファイルゲートウェイをS3バケットに関連付けてデプロイし、オンプレミスのファイルストレージソリューションからファイルをテープゲートウェイに移動します。S3ライフサイクルルールを作成して、5日後にファイルをS3 Standard-Infrequent Access (S3 Standard-IA) に移動します。
E. AWS Storage GatewayファイルゲートウェイをS3バケットに関連付けてデプロイし、オンプレミスのファイルストレージソリューションからファイルをファイルゲートウェイに移動します。S3ライフサイクルルールを作成して、5日後にファイルをS3 Glacier Deep Archiveに移動します。
正解: A: AWS Storage GatewayファイルゲートウェイをS3バケットに関連付けてデプロイし、オンプレミスのファイルストレージソリューションからファイルをファイルゲートウェイに移動します。
解説: ファイルゲートウェイを使用してNFSプロトコルに対応し、5日後にファイルをコスト効率の高いS3 Standard-Infrequent Access (S3 Standard-IA) に移動することで、頻繁にアクセスしないデータを効率的に保存できます。このソリューションは最もシンプルでコスト効率が高く、要求を満たします。
◐８０７．ビデオ処理会社が、AWS上で機械学習（ML）モデルを構築するために、数千のファイルとして保存されている600 TBの圧縮データを使用したいと考えています。会社のオンプレミスネットワークアタッチドストレージシステムにデータが保存されており、オンプレミスでML実験のための必要な計算リソースを持っていません。データをAWSに移行する必要があります。データ転送は一度限りであり、転送中にデータを暗号化する必要があります。会社のインターネット接続の測定されたアップロード速度は100 Mbpsであり、複数の部門で接続が共有されています。 最もコスト効率よくこれらの要件を満たすソリューションはどれですか？
選択肢:
A. AWS Management Consoleを使用して、複数のAWS Snowball Edge Storage Optimizedデバイスを注文します。デバイスをS3バケットの宛先として設定します。データをデバイスにコピーし、デバイスをAWSに返送します。
B. 会社のロケーションと最寄りのAWSリージョンとの間に10 GbpsのAWS Direct Connect接続を設定します。データをVPN接続を通じてリージョンに転送し、Amazon S3に保存します。
C. オンプレミスネットワークストレージと最寄りのAWSリージョンとの間にVPN接続を作成します。データをVPN接続を通じて転送します。
D. オンプレミスにAWS Storage Gatewayファイルゲートウェイをデプロイします。ファイルゲートウェイをS3バケットの宛先として設定します。データをファイルゲートウェイにコピーします。
正解: A
解説:
A: AWS Snowball Edgeは、データ転送に特化したデバイスであり、データ転送を物理的に行うため、大量のデータを迅速かつコスト効率よくAWSに移行するのに適しています。600 TBのデータを3週間以内に移行するには、Snowball Edgeを複数台使用することで効率的にデータを移行できます。データ転送中は暗号化が行われるため、安全性も確保できます。
B: 10 GbpsのAWS Direct Connectは、非常に高い帯域幅を提供しますが、設置とコストが高いため、オンプレミスネットワークとの接続においてはコスト効率が悪くなります。また、VPN接続を通じてデータを転送する際には、インターネット接続の帯域幅がボトルネックとなる可能性があります。
C: VPN接続を使用してデータを転送するのは、帯域幅の制限とコストの観点から現実的ではありません。100 Mbpsのインターネット接続では、600 TBのデータ転送に非常に長い時間がかかる可能性があります。
D: AWS Storage Gatewayファイルゲートウェイは、データ転送に便利ですが、大量のデータ（600 TB）を短期間で移行する場合、コストとパフォーマンスの観点からAWS Snowball Edgeの方が適しています。
◐８０８．会社には複数のAWSアカウントがあります。開発チームはクラウドガバナンスと修復プロセスのための自動化フレームワークを構築しています。この自動化フレームワークは、集中管理されたアカウントでAWS Lambda関数を使用します。ソリューションアーキテクトは、Lambda関数が会社の各AWSアカウントで実行できるように、最小権限のポリシーを実装する必要があります。この要件を満たすために、どのステップの組み合わせが最適ですか？（2つ選択）
選択肢:
A. 集中管理されたアカウントで、Lambdaサービスを信頼エンティティとして持つIAMロールを作成します。他のAWSアカウントのロールを引き受けるためのインラインポリシーを追加します。
B. 他のAWSアカウントで、最小限の権限を持つIAMロールを作成します。集中管理されたアカウントのLambda IAMロールを信頼エンティティとして追加します。
C. 集中管理されたアカウントで、他のアカウントのロールを信頼エンティティとして持つIAMロールを作成します。最小限の権限を付与します。
D. 他のAWSアカウントで、集中管理されたアカウントのロールを引き受ける権限を持つIAMロールを作成します。Lambdaサービスを信頼エンティティとして追加します。
E. 他のAWSアカウントで、最小限の権限を持つIAMロールを作成します。Lambdaサービスを信頼エンティティとして追加します。
正解: A、C
解説:
A: 集中管理されたアカウントで、他のアカウントのロールを引き受けるためのLambda IAMロールを作成し、インラインポリシーを追加することで、Lambda関数が他のアカウントで必要な操作を実行できるようになります。
C: 集中管理されたアカウントのIAMロールに、他のAWSアカウントのロールを信頼エンティティとして追加し、最小限の権限を持たせることで、セキュリティと最小権限の原則を遵守しながら適切なアクセスを許可します。
◐８０９．ヘッジファンド会社が新しいウェブアプリケーションを開発しており、世界中のトレーダーがアプリケーションを使用します。このアプリケーションは、特にヨーロッパとアメリカの重複する作業時間中に、数十万件の取引を処理します。会社の災害復旧計画によると、生成されるデータは2番目のAWSリージョンにレプリケートされなければなりません。各取引項目は100 KB未満です。会社はCI/CDパイプラインをできるだけ簡素化したいと考えています。 最もコスト効率よくこれらの要件を満たすために、どの組み合わせのステップを取るべきですか？（2つ選択）
選択肢:
A. 複数のリージョンにアプリケーションをデプロイします。Amazon Route 53のレイテンシーベースのルーティングを使用して、ユーザーを最寄りのデプロイメントにルーティングします。
B. データを保存するためにAmazon Auroraグローバルデータベースをプロビジョニングします。レスポンスタイムを改善するためにAmazon ElastiCacheを使用します。
C. ウェブサイトをオリジンとしてAmazon CloudFrontドメインをプロビジョニングします。予想される使用地理に対してアクセスを制限します。
D. Amazon DynamoDBグローバルテーブルをプロビジョニングします。レスポンスタイムを改善するためにDynamoDB Accelerator (DAX)を使用します。
E. データを保存するためにAmazon Auroraマルチマスタークラスターをプロビジョニングします。レスポンスタイムを改善するためにAmazon ElastiCacheを使用します。
正解: AとD
解説:
A: 複数のリージョンにアプリケーションをデプロイし、Amazon Route 53のレイテンシーベースのルーティングを使用することで、ユーザーを最寄りのデプロイメントにルーティングし、パフォーマンスを最適化します。これにより、トレーダーがより迅速にアプリケーションにアクセスでき、全体的なパフォーマンスが向上します。
B: Amazon Auroraグローバルデータベースはデータのレプリケーションを提供しますが、ElastiCacheの使用はこのユースケースの要件を満たすのに適していない可能性があります。Auroraのグローバルデータベースは、データのレプリケーションを容易にしますが、マルチマスターの必要がなければコストが高くなることがあります。
C: Amazon CloudFrontはコンテンツ配信の最適化には有効ですが、データのレプリケーションには対応していません。また、地理的なアクセス制限は特定の要件には関連性が低いです。
D: Amazon DynamoDBグローバルテーブルは、複数リージョン間でのデータの自動レプリケーションをサポートし、データの可用性を確保します。DynamoDB Accelerator (DAX)は、パフォーマンスの改善に寄与するため、コスト効率が良い方法です。
E: Amazon Auroraマルチマスタークラスターは、高可用性を提供しますが、グローバルレプリケーションが必要な場合にはコストが高くなる可能性があります。ElastiCacheはこのユースケースにおいてもパフォーマンス向上に寄与しますが、Auroraマルチマスタークラスターはこの要件に対して最適な選択ではありません。
◐８１０．会社はいくつかのアプリケーションをAWSに移行しようとしています。会社はネットワークとセキュリティ戦略を確定した後、迅速にアプリケーションを移行・モダナイズしたいと考えています。中央のネットワークアカウントにAWS Direct Connect接続を設定しています。今後、数百のAWSアカウントとVPCが存在することが予想されています。企業のネットワークはAWS上のリソースにシームレスにアクセスでき、すべてのVPCと通信できる必要があります。また、クラウドリソースをオンプレミスのデータセンターを通じてインターネットにルーティングすることも求めています。この要件を満たすために、どの手順の組み合わせが最適ですか？（3つ選択）
選択肢:
A. 中央アカウントでDirect Connectゲートウェイを作成します。各アカウントでDirect ConnectゲートウェイとアカウントIDを使用して、すべての仮想プライベートゲートウェイに対してアソシエーション提案を作成します。
B. 中央のネットワークアカウントでDirect Connectゲートウェイとトランジットゲートウェイを作成します。トランジットゲートウェイをDirect ConnectゲートウェイにトランジットVIFを使用してアタッチします。
C. インターネットゲートウェイをプロビジョニングします。サブネットにインターネットゲートウェイをアタッチし、ゲートウェイを介してインターネットトラフィックを許可します。
D. トランジットゲートウェイを他のアカウントと共有します。VPCをトランジットゲートウェイにアタッチします。
E. 必要に応じてVPCピアリングをプロビジョニングします。
F. プライベートサブネットのみをプロビジョニングします。トランジットゲートウェイとカスタマーゲートウェイに必要なルートを開き、AWSからのインターネットアウトバウンドトラフィックがデータセンターで実行されるNATサービスを通じて流れるようにします。
正解: B, D, F
解説:
B: 中央ネットワークアカウントにDirect Connectゲートウェイとトランジットゲートウェイを作成し、トランジットVIFを使用して接続することで、オンプレミスとAWSの間で効率的なネットワーク接続を提供します。
D: トランジットゲートウェイを他のアカウントと共有することで、すべてのVPCがトランジットゲートウェイを通じて中央ネットワークに接続できます。
F: プライベートサブネットのみを使用し、必要なルートを開くことで、オンプレミスのNATサービスを通じてインターネットへのトラフィックを処理できます。これにより、オンプレミスのデータセンターを通じてインターネットにアクセスする要件が満たされます。
この記事が気に入ったらサポートをしてみませんか？