AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. 修正したポリシーをそのままアップロードし、initiate-vault-lockオペレーションを呼び出して更新後のポリシーを反映させる。

ボールトロックが InProgress の状態では、新たに initiate-vault-lock を呼び出して進行中のポリシーを上書きすることはできません（すでにロック処理が進行中であるためエラーになります）。
Vault Lock は「開始 → 24 時間以内に検証 → 完了」という一方向のプロセスとして設計されており、進行中のポリシーを差し替える API は用意されていません。
誤ったポリシーを訂正するには、いったん中止する手順が必ず必要です。

正解

B. AbortVaultLockオペレーションを呼び出し、ポリシーを修正したうえで、再度initiate-vault-lockオペレーションを呼び出す。

正解です。ボールトロックが InProgress の間は AbortVaultLock オペレーションでロック処理を中止でき、ボールトロックポリシーは削除されてロックなしの状態に戻ります。
その後、修正したポリシーで改めて initiate-vault-lock を呼び出せば、新しいロック ID とともに再び 24 時間の検証期間が始まります。
データを 1 バイトも取り出さずに設定だけをやり直せるため、取り出し料金も転送料金も発生せず、最もコスト効率の良い方法です。

C. ロックの状態がInProgressの間にマネジメントコンソールからボールトロックポリシーを直接編集して保存すれば、次回のCompleteVaultLock呼び出し時に修正内容が自動的に反映される。

ボールトロックポリシーは、マネジメントコンソール上で直接編集して保存できる種類の設定ではありません。InProgress 中のポリシーはロック ID と紐づいており、CompleteVaultLock はそのロック ID で開始されたポリシーをそのまま確定させるだけです。
「編集内容が完了時に自動反映される」という動作は存在せず、この手順を信じて CompleteVaultLock を実行すると誤ったポリシーが変更不能な形で確定してしまいます。
Vault Lock は完了後に変更・削除ができない仕組みであるため、最も危険な誤答です。

D. 新しいボールトを作成してinitiate-vault-lockオペレーションを呼び出し、データを新しいボールトにコピーしたうえで元のボールトを削除する。

技術的には新しいボールトを作れば正しいポリシーを適用できますが、約 500GB のアーカイブを新ボールトへコピーするにはいったん S3 Glacier からデータを取り出す（取り出しリクエスト）必要があり、取り出し料金とアップロード分の保管料が二重に発生します。
取り出しには数時間（標準取り出しで 3〜5 時間程度）かかり、さらに元のボールトはすべてのアーカイブを削除してからでないと削除できません。
設定をやり直すだけで済む場面でデータを丸ごと動かす案であり、「最もコスト効率が良い」という要件から最も遠い選択肢です。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
initiate-vault-lock を 5 時間前に実行し、状態は InProgress	InProgress は開始から 24 時間の検証期間。まだ確定していないため、やり直しの余地がある →選択肢（B）は候補
ポリシーの記述に誤りがあり、修正したい	進行中のポリシーは差し替えられない。AbortVaultLock で中止 → 修正 → 再度 initiate が唯一の正規手順 →選択肢（B）が正解
initiate-vault-lock を重ねて呼び出せるか	すでにロック処理が進行中のため再度の開始は受け付けられない。上書き更新という概念がない →選択肢（A）を消す
コンソールからの直接編集で修正できるか	ボールトロックポリシーは編集して保存する設定ではない。CompleteVaultLock は開始済みポリシーをそのまま確定するだけ →選択肢（C）を消す
最もコスト効率が良い方法（約 500GB のデータ）	データを動かせば取り出し料金・保管料の二重払いが発生する。設定変更だけで済む案が有利 →選択肢（D）を消す

ひっかけポイント

• 「5 時間前に実行」という記述が本問の鍵。24 時間の検証期間内であることを示しており、まだ Abort でやり直せる状態だと読み取らせる意図がある
• 選択肢 C は「InProgress なら編集できそう」という思い込みを突く罠。実際に実行すると誤ったポリシーが Locked（変更不能）として確定し、取り返しがつかない
• 選択肢 D は「新しく作り直せば確実」に見えるが、Glacier は取り出しに料金と時間がかかるストレージ。データ移動を伴う案はコスト要件のある問題ではまず外す
• Vault Lock（変更不能なコンプライアンス統制）とボールトアクセスポリシー（いつでも変更可能なアクセス制御）は別物。後者と混同すると「編集すればよい」という誤答に引き寄せられる

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「initiate-vault-lock から24 時間以上が経過していた」	ロック ID の有効期限が切れてポリシーは自動的に削除され、ロックなしの状態に戻る。修正したポリシーで再度 initiate すればよい。
「すでに CompleteVaultLock を実行済みで状態が Locked」	ポリシーは二度と変更・削除できない。新しいボールトを作ってデータを移す（＝選択肢 D の手順）しか道がなくなる。
「ロックではなく一時的にアクセスを制御したいだけ」	Vault Lock ではなくボールトアクセスポリシーが正解軸に。こちらはいつでも変更できる。
「S3 の標準的なバケットでWORM（書き込み後読み取り専用）を実現したい」	S3 オブジェクトロック（コンプライアンスモード／ガバナンスモード）が正解軸に。
「ロックポリシーが意図どおり効くかを事前に確認したい」	InProgress の 24 時間を検証期間として使う（実際にリクエストを試す）のが正しい運用、という手順そのものが問われる。

関連サービスの解説

Amazon S3 Glacier

リファレンス

この問題を解くために必要な知識を扱う公式ドキュメントです。

知識項目	公式ドキュメント
S3 Glacier ボールトロックの InProgress 状態と AbortVaultLock	S3 Glacier ボールトロック