AWS認定資格 WEB問題集＆徹底解説セキュリティ専門知識（SCS）

会員登録/ログイン

1. サービス概要

Amazon Q Businessは、社内のドキュメントや業務システムのデータにもとづいて質問への回答、要約、文章作成、簡単な業務操作を行う、フルマネージドの生成AIアシスタントです。 ユーザーごとのアクセス権限を踏まえた回答と出典（引用元）の提示が特徴で、ITヘルプデスク、人事・福利厚生の問い合わせ、社内ナレッジ検索などに使われます。

重要: Amazon Q Businessは新規顧客の受付を終了しています。既存顧客にはバグ修正とセキュリティ更新が継続されますが、新機能の追加は行われません。 AWSは後継としてAmazon Quick（旧Amazon Quick Suite）を案内しており、既存のQ Businessインデックスをそのまま接続できるBYOI（Bring Your Own Index）を起点にした段階的な移行手順が公開されています。 AIP-C01やSCS-C03の試験ガイドには対象サービスとして掲載が続いているため、本ページでは試験対策として仕組みと使い分けを整理します。

2. 主な特徴と機能

2.1 権限を考慮した回答（RAG）

Q Businessは取り込んだ社内データを検索し、その内容にもとづいて回答を生成するRAG（検索拡張生成）をマネージドに提供します。 データソースのアクセス制御リスト（ACL）とユーザー・グループ情報を取り込むため、質問したユーザーが閲覧権限を持つ文書だけが回答に使われます。 回答には出典が付き、矛盾する情報がある場合はそれぞれの内容を示します。

2.2 データソースコネクタとリトリーバー

Amazon S3、Microsoft SharePoint、Salesforce、Confluence、Google Driveなど多数のデータソース向けにコネクタが用意されています。 検索の仕組み（リトリーバー）には、Q Business自身のネイティブインデックスか、既存のAmazon Kendraインデックスを選べます。 取り込み時にLambdaでメタデータを補ったり内容を加工したりするドキュメントエンリッチメントも使えます。

2.3 ガードレールと管理者による制御

回答に社内データだけを使うか、モデルの一般知識も使うかを設定できます。 禁止ワードやトピック単位の制御で、特定の話題への回答を拒否させたり、決まった応答を返させたりできます。

2.4 プラグインとQ Apps

プラグインを使うと、Jira、ServiceNow、Salesforceなどの業務アプリに対してチケット作成などの操作をチャットから実行できます。OpenAPIスキーマで独自のプラグインも定義できます。 Q Appsは、自然言語の説明から定型業務向けの小さな生成AIアプリを作成・共有する機能です（Proプラン）。

2.5 利用の入口

ブランドに合わせてカスタマイズできるWebエクスペリエンスのほか、ブラウザ拡張、Slack、Microsoft Teams、Microsoft Officeとの統合、自社サイトへの埋め込みに対応します。 認証不要の匿名アプリケーションも作成でき、データアクセサーを使えば承認済みのISVに社内インデックスの検索を許可できます。

3. アーキテクチャおよび技術要素

1. アプリケーションを作成し、ユーザーの認証方式（IAM Identity CenterまたはIAMフェデレーション）を決める。
2. インデックス（ネイティブまたはKendra）を作成し、容量の単位（インデックスユニット）を割り当てる。
3. データソースコネクタを設定し、文書とACL・ユーザー／グループ情報を定期的に同期する。
4. ユーザーの質問に対し、権限に合う文書を検索し、Amazon Bedrock上のモデルで出典付きの回答を生成する。
5. ガードレールで回答の範囲や禁止トピックを制御し、プラグインで業務アプリの操作を実行する。
6. CloudTrailやCloudWatchで利用状況と操作を記録し、管理コンソールで運用する。

独自のRAGアプリを組む場合のAmazon Bedrockナレッジベースに対し、Q Businessはユーザー向けの画面、認証、コネクタ、権限制御までを含む「すぐ使える社内アシスタント」という位置づけです。

4. セキュリティと認証・認可

• ユーザー認証: AWS IAM Identity Centerと統合するか、IAMフェデレーション（SAML 2.0またはOIDCのIdP）でユーザーを識別する。
• 文書レベルのアクセス制御: コネクタがACLを取り込み、ユーザーごとに閲覧可能な文書だけを回答に使う。ACLの無いデータの扱いには注意が必要。
• 暗号化: 保存データはAWS KMSで暗号化され、カスタマーマネージドキーも指定できる。通信はTLSで保護される。
• プライベート接続: インターフェイスVPCエンドポイント（AWS PrivateLink）でAPIへ接続できる。
• 応答の安全性: ガードレールで禁止トピックや禁止ワードを制御し、Amazon Bedrockの不正利用検知の仕組みも適用される。
• 監査: API呼び出しをCloudTrailで記録する。

5. 料金形態

Q Businessは、ユーザーのサブスクリプション料金とインデックス容量の料金の2本立てです。

• Lite: 1ユーザーあたり月額3米ドル。権限を考慮した基本的な質問応答。
• Pro: 1ユーザーあたり月額20米ドル。Q Apps、プラグインなどすべての機能を利用できる。
• Starter Index: 1ユニットあたり時間課金。単一AZで、検証・開発向け。
• Enterprise Index: 1ユニットあたり時間課金。3つのAZにまたがり、本番向け。
• ユーザーの重複排除: 同じIAM Identity Centerインスタンスを共有する複数アプリケーションでは、ユーザーは最上位のプランで1回だけ課金される。

6. よくあるアーキテクチャ・設計パターン

• 社内ヘルプデスク: SharePointやConfluenceの規程・手順書を取り込み、従業員の質問に出典付きで回答する。
• 部署ごとの権限分離: ACLを同期し、人事文書は人事部員だけ、といった既存の権限を回答にもそのまま反映する。
• 問い合わせから操作まで: 回答で解決しない場合にプラグインでServiceNowやJiraのチケットを作成する。
• 独自アプリが必要な場合: 画面や処理を細かく作り込みたいときは、Q BusinessではなくBedrockナレッジベースとエージェントで構築する。
• Amazon Quickへの移行: BYOIで既存インデックスをQuickに接続して並行稼働し、データソースやQ Apps（Quick Flowsへ移行）を順次移す。

7. 設定・デプロイ手順（ハンズオン例）

新規顧客は利用を開始できないため、既存顧客の環境を想定した手順です（新規の場合はAmazon Quickを利用します）。

1. Q Businessコンソールでアプリケーションを作成し、IAM Identity Centerとの統合を設定する。
2. ネイティブインデックスを作成し、用途に合わせてStarterまたはEnterpriseを選ぶ。
3. S3やSharePointのデータソースコネクタを追加し、ACLの取り込みと同期スケジュールを設定する。
4. ガードレールで回答に使う知識の範囲と禁止トピックを設定する。
5. Webエクスペリエンスを作成し、ユーザーまたはグループにLite／Proのサブスクリプションを割り当てる。
6. 必要に応じて業務アプリ向けのプラグインを追加し、CloudTrailで操作を監査する。

8. 試験で問われやすいポイント