AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. Amazon CloudWatch

Amazon CloudWatch は、CPU 使用率などのメトリクス監視・ログ収集・アラームを担うサービスです。「EC2 インスタンスが停止した」という状態の変化やリソースの健全性は把握できますが、その操作を実行した IAM ユーザーやロールまでは記録しません。
「監視」と「監査」を混同させる、この問題の最有力ディストラクタです。

正解

B. AWS CloudTrail

AWS CloudTrail は、AWS アカウント内で行われたAPI 呼び出しの証跡（イベント履歴）を記録するサービスです。EC2 インスタンスの終了であれば TerminateInstances の呼び出しについて、実行したユーザー ID（userIdentity）・発生時刻・送信元 IP アドレス・リクエストパラメータが記録されます。
「誰が」「いつ」「何をしたか」を後から追跡できる唯一の選択肢であり、これが正解です。

C. AWS X-Ray

AWS X-Ray は、マイクロサービスなど分散アプリケーション内部のリクエストをトレースし、ボトルネックやエラーの箇所を可視化するサービスです。対象はアプリケーションの処理経路であって、AWS の管理 API の呼び出し履歴ではありません。
アカウントに対する操作の監査には利用できません。

D. AWS Identity and Access Management (IAM)

AWS Identity and Access Management (IAM) は、「誰に何を許可するか」という権限を定義するサービスです。ユーザー・ロール・ポリシーを管理しますが、実際に行われた操作の履歴は保持しません。
「ユーザーを扱うサービス＝ IAM」と短絡させる罠で、事後の追跡（監査）は CloudTrail の役割です。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
API 呼び出しの実行者を特定したい	操作の証跡（誰が・いつ・どこから）を残すのは AWS CloudTrail だけ →選択肢（B）が正解
対象は EC2 インスタンスの終了（TerminateInstances）	リソースの状態やメトリクスを見る CloudWatch では「実行者」が分からない →選択肢（A）を消す
見たいのはアプリ内部ではなくアカウントへの操作	X-Ray はアプリケーションのリクエストトレース用で、管理 API の履歴は対象外 →選択肢（C）を消す
「ユーザー」というキーワードに引きずられない	IAM は権限の定義であって操作履歴の記録ではない →選択肢（D）を消す

ひっかけポイント

• 「監視といえば CloudWatch」で反射的に A を選ばせるのが最大の罠。CloudWatch はメトリクスとログ、CloudTrail は API の証跡と役割で切り分ける
• 設問に「ユーザー」とあるため IAM に引かれるが、IAM は事前の権限設定であり事後の追跡はしない
• X-Ray はアプリケーションの性能分析ツール。「トレース」という語からログ監査を連想しない

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「EC2 の CPU 使用率がしきい値を超えたら通知したい」	CloudWatch（アラーム）＋ SNS が正解軸に変わる。
「AWS ベストプラクティスに沿っているか点検したい」	AWS Trusted Advisor が正解に。
「アプリケーションのレイテンシーのボトルネックを特定したい」	AWS X-Ray が正解に浮上する。
「不審な API 呼び出しやアカウント侵害の兆候を自動検知したい」	CloudTrail のログを解析する Amazon GuardDuty が正解軸に。
「特定ユーザーに EC2 の終了を禁止したい」	記録ではなく制御なので IAM ポリシー（Deny） が正解に。

関連サービスの解説

AWS CloudTrail
AWS Identity and Access Management (AWS IAM)