AWS ソリューションアーキテクトアソシエイト向け問題 セキュリティ編

概要

今回は会社の後輩向けにAWS ソリューションアーキテクトアソシエイト向けの問題を作成したのでそちらの公開を。
元ネタは公式の問題、BlackBelt、公式サイトなどからとっております。内容としては簡単すぎかもしれません・・・

KMS

• KMSの特徴について説明している文で以下の中から正しいものを1つ選択してください。
  1. 複数のリージョンで同一のキーを使用できる。
  2. 顧客側がキーを提供しサーバで暗号化を実施できる。
  3. EBSを暗号化する際は作成済みのEBSについても暗号化できる。
  4. 複数のアカウントで暗号化キーを共有することはできない。
  5. キーのローテーションは自動でのみ実施される。

回答

• 正解は

  1. 顧客側がキーを提供しサーバで暗号化を実施できる。
     • 顧客側がオンプレ環境の暗号化を使いたい場合でも対応できます

• 以下不正解の理由

  1. キーはリージョン単位のため別のリージョンに移すときは暗号化キーを用意する必要がある
  2. EBSの暗号化の際には作成時に指定する必要がある。既存のEBSを暗号化したいときはスナップショットを取得しコピーを作成するときに暗号化を指定する必要がある。
  3. IAMユーザ、ロールを使ってのアクセス制御が行えるため他のアカウントを設定することで可能となる。
  4. デフォルトは1年でローテーションされるが、１年では長い場合に手動でローテーションを行うことも可能。

AWS Shield

• AWS Shieldの特徴について説明している文で以下の中から正しいものを1つ選択してください。
  1. AWS Shield Standardを使用することで追加料金なしでレイヤ 3 および 4の保護を行うことができる。
  2. AWS Shield Advanced を使用することで AWS WAF および AWS Firewall Manager を通常より少ない金額で使用することができる。(無料ではないが大幅な割引が行われる)
  3. AWS Shield Standardを使用することで一般的なネットワークおよびトランスポートレイヤーの DDoS 攻撃から保護される。
  4. AWS Shield Standard を使用することでDDoS攻撃等でオートスケールが行われることで発生する追加分の費用が返還される。
  5. AWSでホストされていないと AWS Shieldを使用することはできない。

回答

• 正解は

  1. AWS Shield Standardを使用することで一般的なネットワークおよびトランスポートレイヤーの DDoS 攻撃から保護される。
     • AWS Shield Standard でも通常のDDoS攻撃からの保護は機能する。またこちらは無料でも使えるのでとりあえず設定することが勧められている。

• 以下不正解の理由

  1. レイヤ3,4の保護はAWS Shield Advancedの機能
  2. AWS Shield Advanced ではAWS WAF および AWS Firewall Manager を無料で利用できる。
  3. スケーリング用 DDoS コスト保護は AWS Shield Advanced の機能です。対象はAmazon EC2、Elastic Load Balancing (ELB)、Amazon CloudFront、AWS Global Accelerator、Amazon Route 53 となっている。
  4. Amazon CloudFront のカスタムオリジンとしてAWS外のWEBサーバを使用することでAWSでホストしていないとしても使用することができる。