AWS認定SAA コンプリートマスター

【正解】AWS のエッジネットワークからアナウンスされる静的(アナキャスト)IP アドレスを固定のエントリポイントとして提供し、その IP 宛のトラフィックを 1 つまたは複数リージョンのエンドポイント(NLB・ALB・EC2・Elastic IP)へ AWS グローバルネットワーク経由で振り分ける。／TCP や UDP を含むトラフィックを AWS グローバルネットワーク上で最寄りの正常なリージョンのエンドポイントへ振り分け、ヘルスや構成の変化に即座に反応して不健全なエンドポイントを避ける。

本問は Global Accelerator が CloudFront に対して持つ差別化ポイントを問う複数選択問題である。選択肢 0 は公式ドキュメントの『provides you with static IP addresses ... anycast from the AWS edge network』および『Endpoints for standard accelerators can be Network Load Balancers, Application Load Balancers, Amazon EC2 instances, or Elastic IP addresses that are located in one AWS Region or multiple Regions』に一致し正しい。選択肢 1 は『uses the AWS global network to route traffic to the optimal regional endpoint based on health, client location, and policies』『reacts instantly to changes in health or configuration to ensure that internet traffic from clients is always directed to healthy endpoints』に一致し、TCP/UDP を含む通信をリージョンのエンドポイントへ振り分け即時にフェイルオーバーする点が正しい。選択肢 2 と 3 は CloudFront の説明であり、CloudFront は『delivers your content through a worldwide network of data centers called edge locations』でキャッシュ可能な HTTP/HTTPS Web コンテンツをエッジに保持して配信する。これらは Global Accelerator の特徴ではないため誤り。選択肢 4 も誤りで、Global Accelerator はまさに静的 IP を固定エントリとして提供するのが特徴であり、DNS 解決に依存するという記述は事実と反対である。よって正しい差別化ポイントは 0 と 1 の 2 つである。

【正解】レプリケーションを利用するには、ソースバケットと送信先バケットの両方でバージョニングを有効化する必要がある。／S3 はデフォルトでは SSE-KMS 暗号化オブジェクトをレプリケートしないため、レプリケーション設定で SseKmsEncryptedObjects を有効化して明示的にオプトインし、送信先リージョンにある KMS キーを ReplicaKmsKeyID として指定する。／レプリケーション用の IAM ロールに、ソースオブジェクトを復号するための kms:Decrypt 権限 (ソースキー) と、レプリカを暗号化するための kms:Encrypt 権限 (送信先キー) を付与する。

S3 レプリケーションで暗号化オブジェクトを扱う際の要点を問う問題である。【バージョニング必須】公式手順は『Create source and destination buckets and enable versioning on these buckets.』としており、レプリケーションはソース・送信先双方でバージョニングが前提となる。【SSE-KMS はデフォルトでレプリケートされない】『By default, Amazon S3 doesn't replicate objects that are encrypted with SSE-KMS or DSSE-KMS.』そのため SourceSelectionCriteria の SseKmsEncryptedObjects を Enabled にして明示的にオプトインし、Destination の EncryptionConfiguration に ReplicaKmsKeyID を指定する。重要な制約として『The KMS key must have been created in the same AWS Region as the destination bucket.』とあり、KMS キーはリージョンをまたげないため送信先リージョンのキーを使う。【IAM ロールの KMS 権限】レプリケーション用ロールには『You must grant kms:Decrypt permissions for the AWS KMS key that's used to decrypt the source object.』『You must grant kms:Encrypt permissions for the AWS KMS key that's used to encrypt the object replica.』が必要。【既存オブジェクト】ライブレプリケーションは設定後に作成・更新されたオブジェクトが対象で、既存オブジェクトの複製には S3 バッチレプリケーションを使う (『To replicate existing objects in your buckets, use S3 Batch Replication.』)。【クロスアカウント】『AWS managed keys don't allow cross-account use, and therefore can't be used to perform cross-account replication.』のため、クロスアカウントではカスタマー管理キーが必須。

【正解】EC2 インスタンスのゲスト OS のパッチ適用は運用チームが担い、RDS の基盤 OS とデータベースエンジンのパッチ適用は AWS が実施するため、運用チームは RDS のメンテナンスウィンドウを設定して適用タイミングを管理する。

責任共有モデルにおける「インフラストラクチャサービス」と「マネージドサービス」の分界点を問う問題である。公式ドキュメントは『Customers that deploy an Amazon EC2 instance are responsible for management of the guest operating system (including updates and security patches), any application software or utilities installed.』と明示しており、EC2 のゲスト OS のパッチ適用は顧客責任である。一方 Amazon RDS はマネージドサービスであり、公式は『AWS operates the infrastructure layer, the operating system, and platforms』とし、RDS のメンテナンスドキュメントも『Periodically, Amazon RDS performs maintenance on Amazon RDS resources.』『Maintenance most often involves updates to the following resources in your DB instance: Underlying hardware / Underlying operating system (OS) / Database engine version.』と述べる。したがって RDS の基盤 OS とデータベースエンジンのパッチは AWS が実施する。顧客に対して RDS ホストへのシェル/OS アクセスは提供されず、RDS のセキュリティドキュメントも『You don't have to configure security access for processes that Amazon RDS manages.』としている。顧客が制御できるのはメンテナンスウィンドウ(適用タイミング)であり、『The maintenance window is an opportunity to control when modifications and software patching occur.』とされる。【試験のポイント】EC2 = インフラサービス = ゲスト OS は顧客責任。RDS = マネージドサービス = OS/エンジンのパッチは AWS 責任・顧客はウィンドウ制御。この分界点の取り違えが頻出の引っかけである。