【AWS】SAA資格取得 出題要点/用語整理ノート

Post Views: 92

１．はじめに
２．AWS SAAとは
３．出題要点・用語集
終わりに

１．はじめに

本投稿はAWS SAA(Certified Solutions Architect)の以下の方向けの記事です。

AWS SAAの資格勉強中の方
過去取得したが、有効期限延長のために再受験を検討中の方
AWSの資格には興味がないが、AWSを業務/個人で利用の予定がある方

特にAWS SAAはAWSサービスの特徴を幅広く学習できる資格の位置づけである事から、取得を検討される方も多いはず。本記事ではAWSの初心者向けにも各サービスの要点や用語をまとめた記事となります。短期での受験を検討されている方への一夜漬けにおすすめな内容としています。

章立てについては可能な限り統一性を持たせて執筆していますが、精緻な状態にはなっていないため、多めに見てください。

２．AWS SAAとは

前述のとおりAWS SAAは幅広くAWSのサービスならびにアーキテクトに関する考え方を網羅する資格となります。（↓AWS SAA 公式HP）

certified-solutions-architect-associate

カテゴリ、Associate。試験時間、130 分。出題形式、65 個の試験問題 (複数選択または複数回答のいずれか)。コスト、150 USD。

試験コード	SAA-C03
出題数	65問（択一選択問題または複数選択問題）
試験時間	130分
合格ライン	720点（1000点中）
受験費用	150 USD
受験方法	ピアソンVUEテストセンター
有効期間	3年

資格受験は公式HPより”試験の予約”と進むことで、最寄りのテストセンターにて気軽に受験可能です。

３．出題要点・用語集

本サイトでは以下で各サービスを分類しています。

１．セキュアなアーキテクト設計

IAM(ポリシー、ロール、最小権限)、多層防御、暗号化(KMS) VPCのセキュリティ(セキュリティグループ vs NACL) 頻出:IAM / KMS / Security Group / WAF / Cognito / S3アクセス制御

２．弾力性・回復性に優れたアーキテクト設計

マルチAZ / マルチリージョン設計、疎結合アーキテクチャ障害時の自動復旧、バックアップ/DR戦略(RTO/RPO) 頻出:ELB / Auto Scaling / RDS Multi-AZ / SQS / Route 53フェイルオーバー / EFS

３．高性能なアーキテクト設計

要件に合ったコンピューティング・ストレージ・DBの選定キャッシュとコンテンツ配信、スケーリング戦略頻出:EC2インスタンス選定 / EBS vs EFS vs S3 / ElastiCache / CloudFront / DynamoDB vs RDS

４．コスト最適化されたアーキテクト設計

料金モデルの使い分け(オンデマンド / リザーブド / スポット / Savings Plans) ストレージクラスの選定(S3のライフサイクル、Glacier) 頻出:S3ストレージクラス / EC2購入オプション / データ転送コスト

３－１．セキュアなアーキテクト設計

IAM（AWS Identity and Access Management）

作成したユーザ（IAM）毎にAWSアカウントおよびサービスへのアクセス権限を制御するサービス

ルートユーザ	アカウント作成時の初期ユーザ　最高権限保有
IAMユーザ	個人やサービスに割り当てるユーザー
IAMロール	認証情報を得るための権限群 EC2,Lambda等のサービス毎に存在するプリセット
IAMポリシー	IAMロールより詳細に権限を定義できるJSONドキュメントユーザー/グループ/ロールにアタッチする

相関図

IAMポリシー　補足
ポリシー内にはJSONでサービスへのアクセスに関する記述がある事がわかる

　ポリシー例：接続元IP200.0.0.0/24からのEC2インスタンスの起動/再起動を許可

{
  "Version": "2012-10-17",　　　　　
  "Statement": [
    {
      "Sid": "AllowStartAndRebootFromSpecificNetwork",
      "Effect": "Allow",　　　　← Allow 許可　Deny 拒否
      "Action": [
        "ec2:StartInstances",　　← EC2インスタンスの起動
        "ec2:RebootInstances"　　← EC2インスタンスの再起動
      ],
      "Resource": "*",
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": "200.0.0.0/24"   ← 接続元IP 200.0.0.0/24
        }
      }
    }
  ]
}

VPC（Amazon Virtual Private Cloud）

AWSクラウドの論理的に分離されたセクションである仮想ネットワーク内にAWSリソースを起動できるサービス。

サブネット	VPC内で利用可能なIPアドレス範囲を分割したもの。アベイラビリティーゾーン(AZ)ごとに作成する。
ルートテーブル	サブネットやゲートウェイからのネットワークトラフィックの転送先を指定する経路情報。
インターネットゲートウェイ(IGW)	VPCをインターネットと接続させるための機能。1つのVPCに対し1つしか作成できない。
NATゲートウェイ	プライベートサブネット内のリソースが外部インターネットと通信するために利用する機能。
VPCエンドポイント	インターネットゲートウェイやNATデバイスを使用せずに、プライベートにAWSのサービスへ接続できる機能。
セキュリティグループ	リソース(EC2インスタンス等)単位でインバウンド・アウトバウンドトラフィックを制御する。許可ルールのみ設定可能(ステートフル)
ネットワークACL(NACL)	サブネット単位でインバウンド・アウトバウンドトラフィックを許可または拒否する。許可・拒否どちらも設定可能(ステートレス)
VPCフローログ	VPC内のネットワークインターフェイスとの間で行き来するIPトラフィック情報をキャプチャする機能。

※ステートフル
　通信の復路を追加のルール設定なしに自動的に許可する。
※ステートレス
　往路を復路を、それぞれ個別にルールとして明示的に許可・拒否する必要がある。

AWS VPN

VPN接続にて拠点もしくはクライアントとAWS間を接続するサービス。AWS VPC同士やAWS VPCとオンプレミス環境、AWS VPCとクライアントPCとの接続に利用可能であり、主に下記２サービスがある。

AWS Site-to-Site VPN	VPCとVPC以外のネットワーク(オンプレミス拠点など)とのサイト間接続。
AWS Client VPN	個々のクライアント端末とVPC間のリモートアクセス接続。OpenVPN互換クライアントがあればアクセス可能

AWS Direct Connect

ユーザ利用の内部ネットワークと標準イーサネット光ファイバケーブルを介してDirect Connectロケーションという接続拠点をリンクし、インターネットを経由せずにAWSへ接続できるようにするネットワークサービス。

Amazon Cognito

Webアプリケーションやモバイルアプリケーションに「認証(Authentication)」「認可(Authorization)」「ユーザー管理」の機能を提供するマネージドサービス。自前でユーザーデータベースやログイン基盤を構築せずに、サインアップ/サインイン機能を実装できる。

KMS（AWS Key Management Service）

AWSが基盤(HSMを含む)を管理する、マネージド型の鍵管理サービス。バックエンドではAWS所有のマルチテナントHSMを使用しているが、ユーザーはそのハードウェアを意識する必要がなく、APIを通じて鍵の作成・管理・利用を行える。

ACM（AWS Certificate Manager）

HTTPS暗号化通信を行うためのSSL/TLS証明書鍵の発行・保存・自動更新を無料で行うサービス。

パブリック証明書
Amazon自身の認証局(CA) ACM。料金無料
インターネット公開のWebサイト・アプリ用
プライベート証明書
AWS Private CAの利用料金が発生(有料)
社内システムなどの内部PKI用途

AWS CloudHSM

ユーザー専用(シングルテナント)の物理HSMアプライアンスをクラウド上で提供するサービス。AWSはハードウェアの設置・電源・ネットワークなど物理層の管理は行うが、HSM内部の鍵データそのものにはAWSも一切アクセスできない。

※Hardware Security Module(ハードウェアセキュリティモジュール)
暗号鍵の生成・保管・演算処理を、専用のハードウェア機器内で安全に行うための装置

Amazon Macie

Amazon S3バケット内の機密データ（個人情報や認証情報）やバケットの公開設定やセキュリティ上の問題を機械学習(ML)とパターンマッチングによって検出・分類するマネージドサービス。セキュリティリスクのアラート通知が行える。

検出するルールについては下記をはじめいくつか用意されている。

マネージドデータ識別子　・・・　クレジットカード番号等の代表的な識別をしたい場合
カスタムデータ識別子　・・・社員番号や機密情報など独自情報から識別をしたい場合

AWS Control Tower

AWSのマルチアカウント環境についてAWS Organizationsをベースとしてベストプラクティスに則ってセキュリティリスクのあるサービスのコントロール、不要な権限の早期発見、AWS運用の支援として活用できる。
　例：S3バケットがインターネットに公開されている
　　：SSHポートが解放されている
　　：アカウントのログイン分析

３－２．弾力性・回復性に優れたアーキテクト設計

Route 53

提供するフルマネージド型の DNS(Domain Name System)サービスです。単なる権威 DNS サーバーとしての機能に加え、ドメイン登録、ヘルスチェック、トラフィックルーティングを統合的に提供する。

Route 53 ルーティングポリシー

フェイルオーバーポリシー	プライマリのヘルスチェックが異常な場合は、セカンダリのIPアドレスを回答
位置情報ルーティングポリシー	ユーザーの地域固有の言語で表示するために、クライアントの位置情報から対象言語のコンテンツがあるリソースのIPアドレスを回答
レイテンシールーティングポリシー	ユーザーから最も遅延の少ないリージョンのリソースのIPアドレスを回答
地理的近接性ルーティングポリシー	ユーザーと地理的に近いリソースのIPアドレスを回答

ELS（AWS Elastic Load Balancing）

単体または複数のAZへアプリケーショントラフィックを自動的に分散する。常に分散先のターゲットをモニタリングし、正常なターゲットのみにトラフィックをルーティングする。

種類	動作層	用途
ALB（Application Load Balancer）	アプリケーション層（レイヤー7）	HTTP/HTTPSトラフィック負荷分散
NLB（Network Load Balancer）	トランスポート層（レイヤー4）	TCP/UDPトラフィックの負荷分散
GWLB（Gateway Load Balancer）	ネットワーク層（レイヤー3）	ファイアウォール、侵入検知・防止システム、ディープパケットインスペクションなどのサードパーティ製仮想アプライアンスの導入・スケーリング・管理
CLB（Classic Load Balancer）	レイヤー４ or ７	ALBやNLBでカバーできない特殊なケース。（旧世代の位置づけ）

AWS Auto Scaling

AWSリソース数を設定した閾値に応じて自動的にスケーリング(Scaling)させるサービスの総称。
主以下ターゲットに対してCloudWatchのメトリクスと連動してスケーリングを行う。

Amazon EC2 Auto Scaling
Amazon Aurora
Amazon Elastic Container Service
Amazon DynamoDB

Amazon EC2 Auto Scalingポリシー

種別	スケーリングポリシー	内容
デフォルト	–	スケーリングポリシーやスケジュールされたアクションをアタッチしていない状態。固定
静的	手動	希望容量（Desired Capacity）の更新およびインスタンスの終了によって調整する
静的	スケジュール	特定の時刻にグループのリソース容量を増減させる
動的	ターゲット追跡	CloudWatchメトリクスの値に基づいてリソース容量を増減させ目標値に寄せるよう調整される。例：CPU 利用率30%に向けてON/OFF調整
動的	ステップ	ターゲット追跡よりより細かく自動調整し目標に合わせることが可能。例：CPU利用率30%に向けてスロットル調整
動的	簡易	一定の閾値を超えた場合にリソースを調整させる。例：CPU利用率が80を超えたらリソース増強
他	予測	過去の負荷データを分析し容量ニーズを予測する

Amazon EC2 Auto Scaling のターゲットトラッキングスケーリングポリシー – Amazon EC2 Auto Scaling

最適なパフォーマンスとコスト効率を実現するために、メトリクスターゲットに基づいて Auto Scaling グループの EC2 キャパシティを自動的に調整するようにターゲット追跡スケーリングポリシーを設定します。

その他設定

ヘルスチェック猶予期間	リソース起動から初回ヘルスチェックまでの待機時間

AWS Lambda

サーバーの管理を行うことなくコードを実行できるコンピューティングサービス。Lambda関数という単位でコードを作成し管理を行う。スケールアップとスケールダウンが自動的に実行され、従量課金制の価格設定が適用される。

Amazon API Gateway

REST、HTTP、およびWebSocket APIを作成、公開、維持、モニタリング、およびセキュア化するためのAWSのサービス。API開発者は、AWSまたは他のウェブサービス、AWSクラウドに保存されているデータにアクセスするAPIを作成できる。

API Gateway Lambdaオーソライザー
認証情報を含んだリクエストをLambdaより受付認証する。開発者自身がロジックを作成できるため、APIアクセス制御への柔軟性は高くなる。

Amazon CloudFront

コンテンツ配信ネットワーク(CDN)サービス。世界中に分散配置されたエッジロケーションを通じてコンテンツをキャッシュ・配信し、オリジン(S3やEC2等)への負荷とレイテンシーを低減する。CloudFrontディストリビューションに「エッジ関数」と呼ばれるコードを記述・アタッチすることで、CloudFrontを通過するリクエスト・レスポンスをカスタマイズできる。

AWS CloudFormation

AWSリソースをJSONおよびYAML形式のコードでテンプレートとして定義し、自動的に構築・管理できるInfrastructure as Code (IaC)サービス。リソースの単位を”スタック”というグループでくくりまとめて管理できる。複数のサービスを組み合わせたシステムを自動的に関連付け起動設定を行えるため、品質の担保に寄与できる。

３－３．高性能なアーキテクト設計

Amazon EC2（Elastic Compute Cloud）

AWSにて仮想マシンを作成運用できるAWSの中心的なサービス。ユーザはAWSが対応している様々なOSから選択し、インスタンスタイプと呼ばれるスペックの組み合わせから必要なリソースを選択するだけで、素早く仮想マシンの作成ができる。作成する仮想マシンはインスタンスと呼ばれる。

EC2インスタンスの作成にてマシンイメージ(OS)とインスタンスタイプ(スペック)を選定

EC2 インスタンス（仮想マシン）の作成時に選択するインスタンスタイプには表記ルールがある。
　例：インスタンスタイプ　t2.micro
・インスタンスファミリー（上記の「t」）
　下記のファミリーを初め、多く存在する。t3,t4,m6等。

Tファミリー	バースト可能なパフォーマンスを提供する低コストのインスタンス
Mファミリー	汎用ワークロード向けのバランスの取れたインスタンス
Cファミリー	高いCPU性能と計算処理の速さが特徴なインスタンス
Xファミリー	大規模なメモリ、負荷の高いワークロード向け

・インスタンスサイズ（上記の「micro」）
　vCPUやメモリ、ストレージ等のリソースのサイズを示す。下記の順に数字や表現が大きくなるほど
　インスタンスサイズも大きくなる。
　nano ⇒ micro ⇒ small ⇒ medium ⇒ large ⇒ xlarge ⇒ 2xlarge ⇒ 4xlarge ⇒ 8xlarge

また、EC2インスタンスにはいくつかの要素で構成される。
・AMI（Amazon Machine Image）　
　OS、初期インストールのソフトウェア、設定情報を含むテンプレート
・インスタンスタイプ
　vCPUおよびメモリ
・EBS（Elastic Block Store）
　ブロックストレージ。HDD等のストレージのイメージ
・ENI（Elastic Network Interface）
　仮想ネットワークインターフェース

加えてEC2の利用料金には様々なプランが存在しており、EC2上で稼働させるサービスや利用用途に応じて最適なプランを選択することで最適な費用対効果を得ることが出来る。

プラン名	詳細	活用例	割引目安
オンデマンドインスタンス	従量課金制で利用時間に応じて課金される	手軽にEC2を利用する場合	割引なし従量課金
リザーブドインスタンス	１～３年分のリソースを先行して契約して利用する	長期的に利用の計画がある場合	最大72% OFF
スポットインスタンス	AWSの余剰リソースを活用できるプラン。その反面、AWSの需要に応じてインスタンスが中断される場合もある。	ML・分析等の利用タイミングをコントロールできるタスク等	最大90% OFF
Compute Savings Plans	EC2、Fargate、Lambdaの全てにおいて、事前に利用リソース量を設定する事で割引となるプラン先行契約して利用する	先の予定で利用するリソース量があらかじめ判明している場合	最大72% OFF
EC2 Instance Savings Plans	EC2において、事前に利用リソース量を設定する事で割引となるプラン先行契約して利用する	先の予定で利用するリソース量があらかじめ判明している場合	最大66% OFF

AWSの見積もりについては下記の公式見積もりツールが優秀なため、一度操作してみると費用感がつかみやすいかと思います。

AWS Pricing Calculator

AWS Pricing Calculator lets you explore AWS services, and create an estimate for the cost of your use cases on AWS.

Amazon S3

オブジェクトストレージサービスです。データを「オブジェクト」という単位で「バケット」に格納します。1オブジェクト当たりの最大サイズは5TB。
補足：ストレージクラス比較表高価＞安価順

クラス	価格順(降順)	用途	可用性	AZ構成	最低保存期間	取り出し時間
Express One Zone	1	超低レイテンシ・高頻度	99.95%	1AZ	なし	即時(1桁ミリ秒)
Standard	2	頻繁アクセス	99.99%	3AZ～	なし	即時(ミリ秒)
Intelligent-Tiering	3	アクセスパターン不明・変動	99.9%	3AZ～	なし	即時※アーカイブ階層有効時を除く
Standard-IA	4	低頻度・即時アクセス必要	99.9%	3AZ～	30日	即時(ミリ秒)
One Zone-IA	5	低頻度・再作成可能なデータ	99.5%	1AZ	30日	即時(ミリ秒)
Glacier Instant Retrieval	6	ほぼアクセスしないが即時取り出し必要	99.9%	3AZ～	90日	即時(ミリ秒)
Glacier Flexible Retrieval	7	アーカイブ。取り出し時間を許容	99.99%	3AZ～	90日	Expedited: 1〜5分 / Standard: 3〜5時間 / Bulk: 5〜12時間
Glacier Deep Archive	8	長期保管	99.99%	3AZ～	180日	Standard: 12時間以内 / Bulk: 48時間以内

Amazon DynamoDB

キーバリュー型のデータをサポートするフルマネージド型のデータベースサービスです。大量のアクセスに対応しており、低いレイテンシでの運用が可能。3つのAZにデータを保管することが可能で高い可用性を担保した上で利用することが可能。
補足：キーバリュー型について

ID	name	condition
1	yamada	A
2	tanaka	B
3	yamamoto	A

Amazon Aurora

MySQL/PosgreSQLと互換性をもつリレーショナルデータベースエンジン。自動的にデータを複数のAZへ複製され対障害性、可用性を有する。AWS RDSより高いスループットと可用性を持つとされている。
Aurora Serverlessを利用することでデータベースのワークロードに合わせて自動スケーリングでき使用した分だけ課金が可能。

Amazon FSx for Lustre

HPC(ハイパフォーマンスコンピューティング)、機械学習、動画処理などの計算集約型ワークロード向けに設計された、フルマネージドの高性能ファイルシステム。

AWS Snowball

物理ストレージデバイスを使用して、Amazon S3とオンサイトのデータストレージロケーションの間でデータを転送するサービス。インターネット回線を経由しない物理輸送、帯域幅が制限されている環境や厳しい通信環境にて利用する。（AWSから機器をレンタル）

AWS DataSync

オンラインのデータ移動サービス。データ移行を簡素化し、ファイルやオブジェクトのデータをAWSストレージサービスへ、迅速・簡単・安全に移動する。NFS、SMB等のファイルシステムに幅広く対応。オンプレのハイパーバイザーまたはEC2にエージェントを展開して使用する。

AWS Storage Gateway

オンプレミスとクラウドベースのストレージを接続し、AWSをクラウドストレージとして利用可能とするサービス。低遅延。

ゲートウェイタイプ	インターフェース	概要
S3 File Gateway	NFS / SMB	オンプレミスからファイル単位でアクセスし、バックエンドはS3バケットにオブジェクトとして格納
Volume Gateway	iSCSI	ブロックストレージとして以下2パターンで提供。 ①キャッシュ型ボリューム(Cached Volumes) 　⇒プライマリデータ：S3 　　頻繁にアクセスするデータ：オンプレにキャッシュ ②保管型ボリューム(Stored Volumes) 　⇒プライマリデータ：オンプレ　　非同期でS3へバックアップ
Tape Gateway	iSCSI-VTL(仮想テープライブラリ)	仮想テープストレージとしてS3 Glacierへ格納
FSx File Gateway	SMB	オンプレミスからAmazon FSx for Windows File Serverへの低レイテンシアクセスを提供

Amazon Kinesis Data Streams

ストリーミングデータをリアルタイムに取り込み、一定期間保持し、複数のコンシューマー(消費側アプリケーション)が読み取れる状態で提供するフルマネージドサービス。Data Firehoseが「配送特化」であるのに対し、KDSは「取り込み・保持」を行う。

Amazon MSK(Managed Streaming for Apache Kafka)

オープンソースの Apache Kafka を基盤としたストリーミングデータプラットフォームをフルマネージドで提供するサービス。Kafka クラスタの構築・運用(ブローカーのプロビジョニング、パッチ適用、監視、障害時の交換など)をAWSが代行し、利用者はKafka本来のAPIやツールをそのまま使ってストリーミングデータの発行・購読を行える。