難しいシナリオ問題を読み解く

SCS-C02の問題の多くはシナリオ形式です。段落で状況が説明され、最適な対応を問われます。複数の選択肢が技術的には機能することもよくあります。

単に機能する解答ではなく、最も安全で、最小権限に従い、AWSが推奨する解答を見つけることが重要です。

選択肢を見る前に、主要な要件を確認してください。「運用上のオーバーヘッドを最小限にする」「サーバーを管理せずに」「最も費用対効果が高い」「キーを公開せずに」といった表現に注目します。

これらの条件によって、一見正しい選択肢が除外されます。頭の中で下線を引いてください。そこが問題の本質です。

2つの選択肢がアクセスを許可する場合は、より少ない権限を付与する方が通常は正解です。

• 広範なロールより、スコープを限定したロール。
• ワイルドカードより、特定のリソース。
• 長期的なキーより、一時的な認証情報。

最小権限は、試験における基本的な原則です。

AWSでは、手作業よりもマネージドサービスと自動化が評価されます。

• 手動スクリプトよりSecrets Managerのローテーション。
• 自分で運用する踏み台よりSSM Session Manager。
• 担当者による対応よりEventBridgeの自動修復。

「運用上のオーバーヘッドを最小限にする」という条件は、これを指しています。

次のような選択肢は、すぐに除外してください。

• 通常の作業にルートアカウントを使用する。
• コードに長期的なキーを埋め込む。
• 不要に0.0.0.0/0を開放する。
• 暗号化またはログ記録を無効にする。

これらが正解になることはほとんどありません。

ひっかけの選択肢では、実在するものの、状況には完全には適合しないサービスが示されます。

たとえば、問題がMacie（データ検出）を必要としているのにGuardDuty（検出）を選ばせたり、ステートフルなセキュリティグループが必要なのにNACLを選ばせたりします。サービスの正確な用途に合うものを選んでください。

アカウント間アクセスとKMSに関する問題では、アクセスを許可するには両側の設定が必要であることを覚えているかが問われます。

信頼ポリシーだけを修正し、呼び出し元のIAM権限を修正していない選択肢や、IAMを修正せずキーのポリシーだけを修正する選択肢は不完全です。両方を対象とする選択肢を探してください。

小さいながらも、試験で問われる事実を覚えておきましょう。

• CloudFront の証明書は us-east-1 に置く必要があります。
• 既存のボリュームをその場で暗号化することはできません。スナップショットをコピーしてください。
• 暗号化されたスナップショットを共有するには、KMS key も共有する必要があります。

時間が限られているため、難しい問題1問に時間をかけすぎないようにしましょう。

• 明らかに誤っている選択肢を除外し、最善の答えを選んでから、見直し用にフラグを付けます。
• 簡単な問題も難しい問題も配点は同じです。

すべての問題に到達できるよう、ペースを調整してください。

問題文の動詞に注目してください。"Prevent" や "block" は、予防的なコントロール（SCP、セキュリティグループ、バケットポリシーの拒否）を示します。

"Detect"、"alert"、"investigate" は、検出的なコントロール（GuardDuty、Config、CloudTrail、Detective）を示します。動詞とコントロールの種類を対応させると、正しい答えをすばやく絞り込めます。

各シナリオでは、中核となる要件を特定し、条件を書き出し、安全性に欠ける選択肢や過剰な選択肢を除外して、最小権限で管理された答えを選びます。

この手順により、威圧的に見える長い文章も、明確な判断に変えられます。

読み解きの戦略を適用してください。

シナリオを読み解く方法を学びました。

• 答えを絞り込む条件を読み取ります。
• 最小権限、管理、自動化された選択肢を優先します。
• 安全性に欠ける選択肢を除外し、権限に関する両側の確認とリージョンに関する注意点を覚えておきます。