AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. Amazon CloudWatch

Amazon CloudWatch は、メトリクスの収集・監視、ログの集約、アラームによる通知を行うモニタリングサービス。
CPU 使用率やアプリケーションログなど「リソースがどう動いているか」は分かるが、「誰がどの API を呼び出したか」という操作の証跡は記録しない。
実務では CloudTrail のログを CloudWatch Logs に送って監視するという組み合わせで使うが、記録の主体は CloudTrail 側。

正解

B. AWS CloudTrail

AWS CloudTrail は、AWS アカウント内のAPI コールをイベントとして記録するガバナンス／監査サービス。
マネジメントコンソール・AWS CLI・AWS SDK のいずれからの操作でも、「誰が・いつ・どこから・何に対して・何をしたか」が記録され、既定でも直近 90 日の管理イベントを追跡でき、証跡（証跡＝Trail）を作成すれば S3 に長期保管できる。
セキュリティ分析・コンプライアンス監査・変更追跡という要件に直結する唯一の選択肢であり、これが正解。

C. AWS Config

AWS Config は、AWS リソースの構成（設定内容）とその変更履歴を記録し、ルールへの準拠を評価するサービス。
「セキュリティグループがいつ開放された設定になったか」といったリソースの状態は分かるが、操作の呼び出し元やユーザーを記録する監査証跡そのものは CloudTrail の役割。
CloudTrail と併用して「設定変更の中身（Config）」と「実行者（CloudTrail）」を突き合わせるのが定石。

D. AWS Health

AWS Health（AWS Health Dashboard）は、AWS 側のサービス障害やメンテナンス、アカウントに影響するイベントを通知するサービス。
「AWS が起こしたこと」を知らせる仕組みであり、「利用者が行った操作」を記録・監査する機能はない。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
アカウント内の API アクティビティを継続的に記録	API コールの記録は CloudTrail の定義そのもの →選択肢（B）が正解
マネジメントコンソール・SDK でのユーザーアクションを含む	「誰が操作したか」まで残す必要がある。性能メトリクス（CloudWatch）でも構成情報（Config）でも代替できない →選択肢（A・C）を消す
監査・コンプライアンスに利用できる	証跡を S3 に保管し、長期保存・改ざん検知（ログファイル検証）ができるのは CloudTrail →選択肢（B）が正解
AWS 側の障害情報ではなく、自アカウントの操作履歴が必要	AWS Health は AWS 側のイベント通知であり、利用者の操作は記録しない →選択肢（D）を消す

ひっかけポイント

• CloudWatch と CloudTrail の名前が似ているのが最大の罠。Trail＝証跡（操作の足跡）、Watch＝監視（動作状況）と切り分ける
• AWS Config も「記録」「監査」の語感が強いが、記録するのはリソースの構成と変更履歴であって API コールの実行者ではない
• 「CloudTrail のログを CloudWatch Logs で監視する」という実運用の組み合わせを知っていると、逆に CloudWatch を選びたくなる。問われているのは“記録する主体”
• AWS Health は「Health＝健全性チェック」に見えるが、対象は自分の操作ではなく AWS 側のサービス状態

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「リソースの設定が社内ルールに準拠しているかを継続的に評価したい」	AWS Config（Config ルール）が正解に変わる。
「EC2 のCPU 使用率が閾値を超えたら通知したい」	Amazon CloudWatch（アラーム）が正解に。
「AWS 側のメンテナンスや障害の影響を事前に知りたい」	AWS Health Dashboard が正解に。
「不審な API 呼び出しや脅威を自動検知したい」	Amazon GuardDuty（CloudTrail ログ等を分析）が正解軸に。
「監査証跡を数年間、改ざん不可で保管したい」	CloudTrail の証跡を S3（Object Lock） に出力する構成が問われる。

関連サービスの解説

Amazon CloudWatch
AWS CloudTrail
AWS Config