AWS認定資格 WEB問題集＆徹底解説
会員登録/ログイン

DevOpsエンジニア-プロフェッショナル

正解 B問題

分野2：構成管理と IaC タスクステートメント2.1：システムをライフサイクル全体でプロビジョニング・管理するためのクラウドインフラと再利用可能なコンポーネントの定義タスクステートメント2.3：複雑なタスクと大規模環境向けの自動化ソリューションの設計・構築

1 2 3 4

次の問題前の問題

問題文と選択肢

ある製造業の企業は、複数の工場に設置したオンプレミスサーバー群と、東京リージョン (ap-northeast-1) で稼働するAmazon EC2インスタンス群を、AWS Systems Managerで一元的に管理したいと考えています。具体的には、SSM Run Commandをハイブリッドなサーバー群全体に対して実行できるようにし、将来サーバー台数が増減しても最小限の追加作業で管理対象に組み込めるようにする必要があります。

DevOpsエンジニアとして、オンプレミスサーバーをこの目的のためにどのように設定しますか。

オンプレミスサーバー1台ごとにIAMユーザーを作成し、発行したアクセスキーIDとシークレットアクセスキーをSSM Agentの設定ファイルに埋め込んで登録する。登録されたサーバーはコンソール上で「mi-」から始まるIDで表示される
Systems Managerサービスへの信頼関係(AssumeRole)を許可するIAMサービスロールをアカウントに一度だけ作成する。ハイブリッドアクティベーションを作成してアクティベーションコードとアクティベーションIDを取得し(登録可能台数の上限を指定できる)、これをオンプレミスサーバーのSSM Agentに設定して登録する。登録されたサーバーはコンソール上で「mi-」から始まるIDで表示される
オンプレミスサーバー1台ごとに個別のIAMサービスロールとハイブリッドアクティベーションを作成し、サーバーごとに異なるアクティベーションコードで登録する。登録されたサーバーはコンソール上で「i-」から始まるIDで表示される
オンプレミスサーバーには、EC2インスタンスに付与しているものと同じIAMインスタンスプロファイルを、AWS IAM Identity Centerのフェデレーションを使って直接アタッチし、SSM Agentをインストールするだけで登録する

解説頻出度★★★★★

この問題は、「オンプレミスサーバーを Systems Manager の管理下に置く × 台数の増減に強い」の要件で、IAM サービスロール 1 つ＋ハイブリッドアクティベーションという唯一の正規手順（登録後は「mi-」で始まる ID）を選べるかがポイント

A. オンプレミスサーバー1台ごとにIAMユーザーを作成し、発行したアクセスキーIDとシークレットアクセスキーをSSM Agentの設定ファイルに埋め込んで登録する。登録されたサーバーはコンソール上で「mi-」から始まるIDで表示される

サーバー 1 台ごとに IAM ユーザーを作り、長期のアクセスキーを設定ファイルに埋め込む方式は、AWS のセキュリティベストプラクティスに反するうえに Systems Manager の正規の登録手順でもない。
台数が増えるたびに IAM ユーザーとキーの発行・配布・ローテーションが必要になり、「最小限の追加作業で組み込む」という要件にも反する。
「mi-」で始まる ID という記述だけは正しいが、そこに至る手順が誤り。

正解

B. Systems Managerサービスへの信頼関係(AssumeRole)を許可するIAMサービスロールをアカウントに一度だけ作成する。ハイブリッドアクティベーションを作成してアクティベーションコードとアクティベーションIDを取得し(登録可能台数の上限を指定できる)、これをオンプレミスサーバーのSSM Agentに設定して登録する。登録されたサーバーはコンソール上で「mi-」から始まるIDで表示される

ハイブリッド環境の正規手順そのもの。まず Systems Manager を信頼する IAM サービスロールをアカウントに一度だけ作成し、ハイブリッドアクティベーションを作成してアクティベーションコードとアクティベーション ID を取得する。
作成時に登録可能台数（登録上限）を指定でき、同じコードと ID を各サーバーの SSM Agent に設定するだけで登録が完了するため、台数が増減しても新しい IAM 設定は不要。
登録されたサーバーは EC2 の「i-」と区別される「mi-」で始まるマネージドノード ID で表示され、EC2 と同じように Run Command の対象にできる。

C. オンプレミスサーバー1台ごとに個別のIAMサービスロールとハイブリッドアクティベーションを作成し、サーバーごとに異なるアクティベーションコードで登録する。登録されたサーバーはコンソール上で「i-」から始まるIDで表示される

サーバーごとに IAM サービスロールとアクティベーションを個別に作る必要はなく、1 つのアクティベーションを複数台で使い回せる（登録可能台数の指定で制御する）。台数分の作成作業が発生する時点で要件の「最小限の追加作業」に反する。
加えて、ハイブリッドアクティベーションで登録したノードの ID は「mi-」で始まり、「i-」ではない（「i-」は EC2 インスタンス）。
手順・表示 ID の両方が誤っている。

D. オンプレミスサーバーには、EC2インスタンスに付与しているものと同じIAMインスタンスプロファイルを、AWS IAM Identity Centerのフェデレーションを使って直接アタッチし、SSM Agentをインストールするだけで登録する

IAM インスタンスプロファイルは EC2 インスタンスにしかアタッチできない仕組みであり、オンプレミスサーバーに直接付与することはできない。
AWS IAM Identity Center は人間のユーザーに対するシングルサインオンの仕組みで、サーバーへ認証情報を配るためのフェデレーションではない。
SSM Agent を入れただけでは登録されず、アクティベーション（または IAM Roles Anywhere などの別手段）による認証情報の取得が必ず必要になる。

構成図

IAM サービスロール（SSM を信頼・アカウントに 1 つ）
   ▼
ハイブリッドアクティベーション（登録可能台数を指定）
   │ アクティベーションコード / ID
   ▼
工場のオンプレサーバー（SSM Agent） ──登録──▶ マネージドノード mi-xxxxxxxx
Amazon EC2（インスタンスプロファイル） ────────▶ マネージドノード i-xxxxxxxx
                                                    ▼
                                          Run Command を全体へ実行

これだけ覚える（記憶フック）
オンプレを SSM に載せるならハイブリッドアクティベーション。ロールは 1 つ、ID は「mi-」始まり。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
オンプレミスサーバーを Systems Manager の管理対象にする	非 EC2 のマシンはハイブリッドアクティベーションで登録する。インスタンスプロファイルは EC2 専用 →選択肢（D）を消す・選択肢（B）が正解
将来サーバー台数が増減しても最小限の追加作業で組み込む	サービスロールは 1 つ、アクティベーションも 1 つを使い回せる。1 台ごとに何かを作る案は運用が破綻する →選択肢（A・C）を消す
認証情報の持たせ方（セキュリティ）	長期のアクセスキーを設定ファイルに埋め込むのは非推奨であり、SSM の正規手順でもない →選択肢（A）を消す
登録後にコンソールへどう表示されるか	ハイブリッド登録のノードは「mi-」始まり、EC2 は「i-」始まり。ここで選択肢の正誤が分かれる →選択肢（C）を消す・選択肢（B）が正解
Run Command をハイブリッドなサーバー群全体へ実行する	マネージドノードになれば EC2 とオンプレを区別せず同じドキュメントを実行できる →選択肢（B）が正解

ひっかけポイント

選択肢 A と B は末尾の「mi- から始まる ID」まで同じ文言。違いは認証情報の渡し方（IAM ユーザーのアクセスキーかサービスロール＋アクティベーション）だけなので、そこだけを比較する
選択肢 C は手順が「1 台ごと」に見える点だけでなく、ID が「i-」始まりという記述でも誤り。「i-」は EC2 インスタンスの ID
IAM インスタンスプロファイルは EC2 にしかアタッチできない。オンプレサーバーに「同じプロファイルを付ける」という選択肢 D は仕組みとして成立しない
IAM Identity Center は人間のサインオンのための仕組み。サーバーへ認証情報を配る文脈で出てきたら疑う
アクティベーション作成時に指定する登録可能台数（登録上限）と有効期限を過ぎると新規登録ができなくなる。台数が増える前提なら上限に余裕を持たせる

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「オンプレサーバーに一時的な認証情報を X.509 証明書で取得させたい」	IAM Roles Anywhere を使う構成が正解軸に（アクティベーション以外の選択肢）。
「オンプレノードでも Session Manager や Patch Manager を使いたい」	登録手順は同じ。マネージドノードになれば SSM の各機能をそのまま利用できる。
「1,000 台を超えるハイブリッドノードを登録したい」	以前は上限が壁になったが、2026 年 6 月 30 日にハイブリッドマネージドノードの 1,000 台制限は撤廃された。
「オンプレサーバーがインターネットに出られない」	Systems Manager の VPC エンドポイント＋Direct Connect / VPN 経由で接続する設計が問われる。
「EC2 インスタンスを SSM 管理下に置きたい」	アクティベーションは不要で、SSM 権限を持つインスタンスプロファイル（またはデフォルトホスト管理設定）を使う。

知識項目	公式ドキュメント
ハイブリッドアクティベーション（アクティベーションコード / ID、ノード数の上限）	AWS Systems Manager ハイブリッドアクティベーション
ハイブリッドアクティベーションの作成とノードの登録（IAM サービスロール、mi- で始まるノード ID）	ハイブリッドアクティベーションを作成して、Systems Manager にノードを登録する

AWS認定資格 WEB問題集＆徹底解説
会員登録/ログイン

D. オンプレミスサーバーには、EC2インスタンスに付与しているものと同じIAMインスタンスプロファイルを、AWS IAM Identity Centerのフェデレーションを使って直接アタッチし、SSM Agentをインストールするだけで登録する

構成図

次の問題 前の問題

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報