AWS認定クラウドプラクティショナー（CLF-C02）「セキュリティとコンプライアンス」の練習問題9問です。よくある誤解は「クラウドにすればセキュリティはAWS任せ」というもの。実際は責任が分担され、設定の多くは利用者側に残ります。まずは”誰が何を守るか”を線引きしてから解くと、選択肢の狙いが見えます。
「誰の責任か」を先に判定する — セキュリティ設問の読み方
この分野の設問は、次の順で自問すると迷いません。①それはAWSの責任か、利用者の責任か（責任共有モデル）。物理施設・ハードウェア・基盤ネットワークはAWS、データ・権限設定・暗号化の選択・OSやアプリの設定は利用者です。②利用者側なら、権限をどう渡すか。人やサービスにキーを直書きせず、必要な権限だけを持つIAMロールを割り当て、範囲は最小権限に絞ります。③最上位のルートユーザーは日常では使わず、MFAで保護します。④データは保管時（ストレージ上）と転送時（通信中）の両方を暗号化し、鍵はKMSで一元管理します。
セキュリティ設計を15年以上見てきた実務目線で言うと、事故の多くは高度な攻撃ではなく、キーのコード直書きやルートユーザーの常用といった基本の緩みから起こります。だからこの4段の判定は、試験だけでなく現場のチェック順としてもそのまま使えます。監査レポートなどの証跡が要るときはAWS Artifactから取得します。
・「クラウドの”of”はAWS、”in”は利用者」… of the cloud（基盤）はAWS、in the cloud（中身の設定）は利用者。この前置詞で責任の側が決まる。
・鍵は「渡す」より「貸す」… 固定キーを配るのではなく、IAMロールで一時的な権限をその都度貸す。
「これは誰の責任で、鍵はどう渡すか」を毎問セルフチェックしながら、9問どうぞ。
Q1. AWSの「責任共有モデル」の考え方として、もっとも適切なものはどれですか？
回答
解説
正解は「C」です。
責任共有モデルは、AWSと利用者がセキュリティの責任を分担する考え方です。AWSは「クラウドそのもの（of the cloud）」、つまり物理的な施設やハードウェア、基盤となるインフラの安全を守ります。利用者は「クラウド内（in the cloud）」、つまり自分が置いたデータやアクセス権限の設定などの安全に責任を持ちます。
A と B は、どちらか一方だけが全責任を負う説明で誤りです。D のように担当がくじ引きで決まることはありません。
Q2. 責任共有モデルで「利用者（クラウド内のセキュリティ）」の責任にあたるものとして、もっとも適切なものはどれですか？
回答
解説
正解は「A」です。
利用者が担う「クラウド内（in the cloud）」のセキュリティには、IAMの権限設定や、保存するデータの暗号化の選択、ネットワークの設定などが含まれます。自分が置いたものや設定したものを守るのが利用者の役割です。
B の入退室管理、C のハードウェア保守、D の物理ネットワークの維持は、いずれも基盤を守るAWS側（クラウドそのもののセキュリティ）の責任です。
Q3. AWS IAMの「ロール」の説明として、もっとも適切なものはどれですか？
回答
解説
正解は「B」です。
IAMロールは、必要なときに一時的に引き受けて権限を得る仕組みです。固定のパスワードを持たず、AWSのサービスや利用者に付与できます。たとえばサーバーに付与すると、そのサーバーが他サービスへ安全にアクセスできます。来客用の入館証を必要なときだけ貸し出すイメージに近いです。
A は固定パスワードの説明で一時的に引き受けるロールとは異なり、C は請求情報、D は暗号鍵の保管で、いずれもロールとは異なります。
Q4. IAMで推奨される「最小権限の原則」の説明として、もっとも適切なものはどれですか？
回答
解説
正解は「D」です。
最小権限の原則は、各利用者やサービスに、業務に必要な最小限の権限だけを与える考え方です。余分な権限を持たせないことで、万が一アカウントが乗っ取られても被害を小さく抑えられます。必要な部屋の鍵だけを渡し、全部屋のマスターキーは配らない発想に近いです。
A は権限を与えすぎる例で原則と逆、B は業務が回らなくなるため誤りです。C の権限の共有は、誰が何をしたか追えなくなりセキュリティ上も望ましくありません。
Q5. AWSアカウントの「ルートユーザー」の扱い方として、もっとも適切なものはどれですか？
回答
解説
正解は「B」です。
ルートユーザーはアカウント作成時にできる最上位の利用者で、ほぼあらゆる操作ができる強力な権限を持ちます。そのため日常作業には使わず、普段は権限を絞ったIAMユーザーを使い、ルートユーザーにはMFA（多要素認証）を有効にして厳重に保護することが推奨されます。
A は強力な権限を日常で使う点で危険、C は権限が弱いという誤りで共有も不適切です。D はルートユーザーが存在しないという前提が誤りです。
Q6. 「MFA（多要素認証）」の説明として、もっとも適切なものはどれですか？
回答
解説
正解は「A」です。
MFA（多要素認証）は、パスワード（知っているもの）に加えて、スマホアプリが出すコードや専用デバイス（持っているもの）など、別の要素も使って本人確認を強める仕組みです。パスワードが漏れても、もう一つの要素がないとログインできないため、不正アクセスを防ぎやすくなります。鍵に加えて暗証番号も必要にするイメージです。
B はパスワードの長さだけの話、C は認証をなくす逆の発想、D はバックアップの話で、いずれもMFAとは異なります。
Q7. 「保管時の暗号化」と「転送時の暗号化」の違いとして、もっとも適切なものはどれですか？
回答
解説
正解は「C」です。
保管時の暗号化は、ストレージに保存されたデータ（保管中のデータ）を守ります。転送時の暗号化は、ネットワークを通って移動中のデータを守ります。たとえば金庫にしまった書類を守るのが保管時、配送中の荷物を封印するのが転送時のイメージです。両方を組み合わせると安全性が高まります。
A は別物のため誤り、B は保管時と転送時の説明が入れ替わっています。D は守る対象を特定の情報に限定する誤りです。
Q8. AWS KMS（Key Management Service）の主な役割として、もっとも適切なものはどれですか？
回答
解説
正解は「D」です。
AWS KMS（Key Management Service）は、暗号化に使う鍵を作成・管理し、データの暗号化を支援するサービスです。鍵を安全に保管・管理する金庫の管理人のような役割で、多くのAWSサービスと連携して、保存データの暗号化をかんたんに行えます。
A はコード生成、B は料金の割引、C は台数の自動増減（オートスケーリング）の話で、いずれも鍵管理を担うKMSとは異なります。
Q9. AWS Artifact の説明として、もっとも適切なものはどれですか？
回答
解説
正解は「B」です。
AWS Artifactは、AWSのコンプライアンスに関する文書（第三者による監査レポートや認証情報など）を入手できるサービスです。利用者は、自社が法令や基準を満たしていることを示す資料として、これらの文書を活用できます。必要な証明書をまとめて取り出せる書庫のような役割です。
A の研修実施、C のパスワード変更、D の障害の自動復旧は、いずれもAWS Artifactの役割とは異なります。
試験全体の流れを俯瞰したい時は、AWS クラウドプラクティショナー 試験全体概要 に戻れます。
学習の全体像と次に進む分野は、AWS クラウドプラクティショナー 学習ロードマップ で確認できます。