AWS認定資格 WEB問題集＆徹底解説
CloudOpsエンジニア -アソシエイト
合格に向けて、もっと深く学習する
豊富な問題と詳細なAWSサービス解説を、24時間無料でお試しいただけます
問題文と選択肢
ある企業が AWS CloudTrail を使用しています。この企業は、ログファイルが削除または修正されていないことを CloudOps アドミニストレーターが簡単に検証できるようにしたいと考えています。
この要件を満たすには、どうすればよいですか。
この要件を満たすには、どうすればよいですか。
- ログファイルの暗号化に使用された AWS Key Management Service (AWS KMS) キーに対するアクセス権限を、CloudOps アドミニストレーターに付与する。
- トレイルの作成時または更新時の CloudTrail ログファイル整合性検査を有効化する。
- ログファイルの格納先バケットに対する Amazon S3 サーバーアクセスロギングを有効化する。
- ログファイルを別のバケットにレプリケートするよう、S3 バケットを構成する。
解説
頻出度★★★★★
この問題は、「ログが削除・改ざんされていないことを簡単に検証したい」という要件で、そのものずばりの機能である CloudTrail のログファイル整合性検証を選べるかがポイントです。暗号化・アクセスログ・レプリケーションはいずれも「改ざんされていないことの証明」にはならない点が決め手です。
A. ログファイルの暗号化に使用された AWS Key Management Service (AWS KMS) キーに対するアクセス権限を、CloudOps アドミニストレーターに付与する。
AWS KMS キーへのアクセス権限は、暗号化されたログを復号して読めるようにするための権限にすぎません。
暗号化 (SSE-KMS) が守るのは機密性であり、ファイルが削除・改ざんされていないこと（完全性）を証明する仕組みではありません。管理者が中身を読めるようになっても、改ざんの有無は分かりません。
正解
B. トレイルの作成時または更新時の CloudTrail ログファイル整合性検査を有効化する。
これが正解です。トレイルの作成時または更新時にログファイルの整合性検証を有効化すると、CloudTrail は配信したログファイルのハッシュを含むダイジェストファイルを 1 時間ごとに S3 へ出力し、秘密鍵で署名します。
管理者は aws cloudtrail validate-logs コマンドを実行するだけで、ログファイルが配信後に変更・削除されていないかを検証できます。「簡単に検証できるようにしたい」という要件に正面から応える標準機能です。
C. ログファイルの格納先バケットに対する Amazon S3 サーバーアクセスロギングを有効化する。
S3 サーバーアクセスログは、バケットへのリクエスト（誰が何をしたか）を記録するもので、ログファイル自体の中身が変わっていないことを保証するものではありません。
改ざんの有無を知るにはアクセスログを収集・分析する追加の作業が必要で、しかもログ配信はベストエフォート（欠落し得る）です。「簡単に検証できる」という要件を満たしません。
D. ログファイルを別のバケットにレプリケートするよう、S3 バケットを構成する。
別バケットへのレプリケーションは可用性・耐久性を高めるコピーの作成であり、元のファイルが改ざんされていないことの証明にはなりません。
コピー元とコピー先を突き合わせる運用は手間がかかるうえ、レプリケーション後に両方が変更される可能性も否定できません。整合性の検証手段としては不適切です。
これだけ覚える（記憶フック）
ログの改ざん・削除を検証するなら CloudTrail のログファイル整合性検証。暗号化は「見せない」、整合性検証は「変えさせない（変えたら分かる）」。
ログの改ざん・削除を検証するなら CloudTrail のログファイル整合性検証。暗号化は「見せない」、整合性検証は「変えさせない（変えたら分かる）」。
正解への思考ルート
問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。| 要件 | 判断ポイント |
|---|---|
| ログファイルが「削除または修正されていない」ことを知りたい | 求めているのは完全性（改ざん検知）。機密性（暗号化）や可用性（コピー）とは別の概念 →選択肢（A・D）を消す |
| 管理者が「簡単に」検証できること | ダイジェストファイル＋validate-logs コマンドで検証できる標準機能が最短 →選択肢（B）が正解 |
| 追加の分析作業を必要としない | S3 サーバーアクセスログは収集・分析の追加作業が必要で「簡単」ではない →選択肢（C）を消す |
| 設定はトレイル側で完結するか | 整合性検証はトレイルの作成／更新時のオプションを有効にするだけで済む →選択肢（B）が正解 |
ひっかけポイント
- 暗号化（KMS）＝改ざん防止と思い込ませるのが定番の引っかけ。暗号化は「中身を見られない」であって「変えられたら分かる」ではない
- S3 サーバーアクセスログは「削除した犯人を追跡できそう」に見えるが、要件は「簡単に検証できること」。ログを解析する運用が増える時点で最適解ではない
- レプリケーションは耐久性のためのコピー。バックアップがあっても「オリジナルが改ざんされていない証明」にはならない
- 整合性検証はトレイル作成時だけでなく更新時にも有効化できる（後付け可）。「最初に有効にしていないと使えない」と思い込まないこと
出題バリエーション
同じ知識が本番では条件を変えて出題されます。| 問題文がこう変わったら | 正解はこう変わる |
|---|---|
| 「ログの中身を特定の担当者にしか読ませたくない」 | SSE-KMS＋KMS キーポリシーによる暗号化・権限制御が正解軸に。 |
| 「保存後の一定期間、誰にも（管理者でも）削除させたくない」 | S3 Object Lock（コンプライアンスモード / WORM）が正解軸に。 |
| 「組織内の全アカウントの証跡を 1 か所に集約したい」 | AWS Organizations の組織証跡（organization trail）が正解軸に。 |
| 「特定の API 呼び出しを検知して即座に通知したい」 | CloudTrail → CloudWatch Logs → メトリクスフィルタ＋アラーム（SNS）、または EventBridge が正解軸に。 |
＋ 質問 / コメント
解答・解説に疑問がある場合や、よりよい解説がある場合など、お気軽にコメントください。ただし、短文コメントは表示されません。また、中傷などコメントの内容によっては、会員機能を停止させて頂きます。教え学び合える場になれば嬉しいです。（コメント投稿にはログインが必要です）
正答率 83%
No.10 解説
ある企業が AWS CloudTrail を使用しています。この企業は、ログファイルが削除または修正されていないことを CloudOps アドミニストレーターが簡単に検証できるようにしたいと考えています。
この要件を満たすには、どうすればよいですか。
この要件を満たすには、どうすればよいですか。
- ログファイルの暗号化に使用された AWS Key Management Service (AWS KMS) キーに対するアクセス権限を、CloudOps アドミニストレーターに付与する。
- トレイルの作成時または更新時の CloudTrail ログファイル整合性検査を有効化する。
- ログファイルの格納先バケットに対する Amazon S3 サーバーアクセスロギングを有効化する。
- ログファイルを別のバケットにレプリケートするよう、S3 バケットを構成する。