AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. Amazon SES のデフォルト設定は既に TLS を必須としているため、追加の設定変更は不要である

Amazon SES の既定の動作は日和見的（opportunistic）TLS です。受信側のメールサーバーが STARTTLS に対応していれば TLS で配送しますが、対応していなければ暗号化せずに配送します。
つまり「必ず TLS」でも「確立できなければ失敗」でもないため、要件を満たしません。
「デフォルトで安全だから設定不要」という選択肢は、既定値の中身を知っているかを試す典型的な誤答です。

正解

B. 設定セット (configuration set) を作成し、その配信オプションで TlsPolicy プロパティを Require に設定する

正解です。設定セット（configuration set）の配信オプションで TlsPolicy を Require に設定し、SendEmail などの API 呼び出しでその設定セットを指定します。
これにより SES はTLS 接続を確立できた受信サーバーにだけメッセージを配送し、確立できない場合はメッセージを配送せず破棄します。
「暗号化できないなら送らない」という要件をそのまま表現できる、唯一の設定です。

C. 送信ドメインの ID に AWS Certificate Manager (ACM) で発行したパブリック証明書をアタッチし、TLS 1.2 以上を必須にするオプションを有効化する

SES の送信ドメイン ID に ACM のパブリック証明書をアタッチするという機能自体が存在しません。
ドメイン ID の検証は DNS レコード（DKIM の CNAME や TXT）で行い、配送時の TLS は SES と受信側サーバーの間で処理されるため、利用者が証明書を用意する余地はありません。
ACM は ELB や CloudFront など、AWS 上のエンドポイントにサーバー証明書を提供するサービスです。

D. SES の SMTP インターフェース向けに STARTTLS メカニズムを構成し、クライアントとの間に TLS 暗号化接続を確立する

STARTTLS の構成は、SES の SMTP インターフェースに接続するクライアントと SES の間の区間を暗号化する話です。
本問はメールを API 経由で送信しており、かつ守りたいのは SES から受信側メールサーバーへ配送される区間なので、対象とする経路が違います。
そもそも SES の SMTP エンドポイントは接続時に TLS が必須であり、ここを構成しても配送区間の TLS 必須化にはつながりません。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
メールは Amazon SES の API 経由で送信している	STARTTLS の構成は SMTP インターフェースを使う場合の話で、API 送信には効かない →選択肢（D）を消す
転送中は必ず TLS で暗号化されるようにしたい	SES の既定は日和見 TLS（相手が対応していなければ平文）なので、追加設定は必要 →選択肢（A）を消す
TLS 接続を確立できない場合は送信そのものを失敗させたい	設定セットの TlsPolicy = Require なら、TLS を確立できない宛先には配送せずメッセージを破棄する →選択肢（B）が正解
AWS 側で行う設定として妥当なものを選ぶ	送信 ID に ACM 証明書をアタッチする設定は存在しない（ドメイン ID の検証は DNS レコードで行う） →選択肢（C）を消す

ひっかけポイント

• 選択肢 A の「デフォルトで TLS 必須」は半分だけ正しい。SES は「可能なら TLS」であって必須ではないため、「設定不要」と結論づける部分が誤り
• 選択肢 C は ACM という正しいサービス名で信憑性を装うが、SES の送信ドメイン ID に証明書をアタッチする機能は無い。実在しない操作を選ばせる誤答
• 選択肢 D の STARTTLS は暗号化する区間が違う（クライアント → SES であって SES → 受信サーバーではない）。設問が API 経由と明記している点が判定の決め手
• TlsPolicy を Require にすると、TLS 非対応の宛先へのメールは届かず破棄される。セキュリティ要件と到達率のトレードオフを理解しているかも問われる

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「送信は SMTP インターフェース経由で行っている」	SES の SMTP エンドポイントは接続時に TLS（STARTTLS / TLS Wrapper）が必須で、論点はクライアント側の設定に移る。
「受信側が TLS 非対応でもとにかく届けたい（到達率優先）」	TlsPolicy は Optional（既定）のままにするのが正解に。
「TLS 必須化が守られているかを継続的に監査したい」	AWS Config のマネージドルール（ses-sending-tls-required）による検出が正解軸に。
「メール本文を送信者から受信者まで暗号化したい」	転送区間の TLS ではなく、S/MIME や PGP によるコンテンツ暗号化が正解軸に。
「SES への API 呼び出しをインターネットに出さずに行いたい」	SES 用のインターフェース VPC エンドポイント（AWS PrivateLink）が正解に。

関連サービスの解説

Amazon Simple Email Service (Amazon SES)

リファレンス

この問題を解くために必要な知識を扱う公式ドキュメントです。

知識項目	公式ドキュメント
SES の配送時 TLS の既定動作と必須化	Amazon SES and security protocols
設定セットの作成と配信オプション（TlsPolicy）	SES での設定セットの作成