AWS認定資格 WEB問題集＆徹底解説
CloudOpsエンジニア -アソシエイト
問題文と選択肢
この要件を満たす方法として最も適切なものはどれですか？
- EBS ボリュームを作成するたびに、担当者が手動で暗号化オプションを選択する運用ルールを定める
- AWS CLI を使用して、新しく作成された EBS ボリュームを暗号化済みボリュームに置き換えるスクリプトを作成し、定期的に実行する
- Amazon EC2 の設定で、EBS 暗号化をデフォルトで有効にする（リージョンごとにアカウント全体へ適用される）
- AWS Lambda 関数を作成し、Amazon EventBridge（CloudWatch Events）で新しい EBS ボリュームの作成を検出して暗号化する
A. EBS ボリュームを作成するたびに、担当者が手動で暗号化オプションを選択する運用ルールを定める
担当者が毎回チェックボックスを選ぶ運用は、人為的ミスが必ず入り込むうえ、Auto Scaling・CloudFormation・API 経由で作成されるボリュームには適用できない。
「必ず暗号化される」という強制力（ガードレール）が無いため、セキュリティ要件を技術的に担保できない。
運用上のオーバーヘッドも最大で、要件に真っ向から反する。
B. AWS CLI を使用して、新しく作成された EBS ボリュームを暗号化済みボリュームに置き換えるスクリプトを作成し、定期的に実行する
作成済みの未暗号化ボリュームはその場で暗号化できず、スナップショットを取り、暗号化コピーを作り、そこからボリュームを再作成してアタッチし直す必要がある（デタッチを伴うためダウンタイムも発生し得る）。
スクリプトを定期実行する方式では、検知するまでの間、未暗号化のボリュームが存在してしまうため「作成時点から暗号化されていない状態を作らない」という要件を満たせない。
加えてスクリプト自体の保守・実行基盤・失敗時の再実行という運用負荷が増える。
C. Amazon EC2 の設定で、EBS 暗号化をデフォルトで有効にする（リージョンごとにアカウント全体へ適用される）
Amazon EC2 の 「EBS 暗号化をデフォルトで有効にする」設定を ON にすると、そのリージョンのアカウント内で新規に作成されるすべての EBS ボリューム（およびスナップショットのコピー）が、指定した KMS キーで自動的に暗号化される。
コンソール・CLI・API・Auto Scaling・CloudFormation など作成経路を問わず適用され、未暗号化ボリュームを作ろうとしても作れないため、作成時点から暗号化が保証される。
設定はスイッチ 1 つで、カスタムコードも定期実行も不要という、運用負荷が最も低い正解。なおリージョンごとの設定なので、利用するリージョン全てで有効化する点に注意する。
D. AWS Lambda 関数を作成し、Amazon EventBridge（CloudWatch Events）で新しい EBS ボリュームの作成を検出して暗号化する
ボリューム作成を EventBridge で検知して Lambda で対処する方式は、作成後に事後対応する仕組みであるため、検知・処理が完了するまでの間は未暗号化のボリュームが存在してしまう。
さらに、既存ボリュームは暗号化できず、スナップショットからの再作成という重い処理を Lambda に実装・保守することになる。
組み込み設定で完全に防げるものに対して、カスタムコードと追加リソースを持ち込むのは運用負荷最小の要件に反する。
新規 EBS を全部暗号化したいなら「デフォルト暗号化」を ON。チェックする運用も、後から直す Lambda も要らない。
正解への思考ルート
問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。| 要件 | 判断ポイント |
|---|---|
| 新しく作成されるすべての EBS ボリュームを必ず暗号化する | 作成経路（コンソール・API・Auto Scaling 等）を問わず強制するには、アカウント／リージョン単位のガードレールが必要 →選択肢（A）を消す |
| 作成時点から暗号化されていない状態を作らない | 事後に検知して直す方式（スクリプト・Lambda）は、検知までの間に未暗号化の期間が生じる →選択肢（B・D）を消す |
| 運用上のオーバーヘッドを最小限に抑える | 組み込みのデフォルト暗号化設定ならスイッチ 1 つ。カスタムコードの保守も不要 →選択肢（C）が正解 |
| 暗号化に使うキーの扱い | デフォルト暗号化では AWS マネージドキー（aws/ebs）か、指定したカスタマー管理キーが自動的に使われる →選択肢（C）が正解 |
ひっかけポイント
- 選択肢 B の「CLI でスクリプト」・選択肢 D の「Lambda で自動化」は、自動化＝正解に見えるのが罠。事後対応である以上、未暗号化の瞬間を消せない
- 既存の未暗号化ボリュームはその場で暗号化できない（スナップショット→暗号化コピー→ボリューム再作成が必要）。「スクリプトで暗号化する」という選択肢の言い回しをうのみにしない
- デフォルト暗号化はリージョン単位の設定。「アカウントで 1 回 ON にすれば全リージョン安心」ではない
- デフォルト暗号化は新規ボリュームにのみ適用され、既存ボリュームは暗号化されない。「既存も含めて」と問われたら別の対応が必要
出題バリエーション
同じ知識が本番では条件を変えて出題されます。| 問題文がこう変わったら | 正解はこう変わる |
|---|---|
| 「既存の未暗号化ボリュームを暗号化したい」 | スナップショット→暗号化コピー→ボリューム再作成→アタッチし直しが正解に変わる。 |
| 「暗号化されていないボリュームが作られていないか継続的に監査したい」 | AWS Config ルール（encrypted-volumes）でのコンプライアンス評価が正解軸に。 |
| 「未暗号化ボリュームの作成そのものを組織全体で禁止したい」 | AWS Organizations の SCP（条件キー ec2:Encrypted による Deny）が正解軸に。 |
| 「暗号化キーを自社で管理・監査したい」 | AWS マネージドキーではなく KMS カスタマー管理キーを既定キーに指定する構成が正解に。 |
| 「暗号化ボリュームを別アカウントと共有したい」 | カスタマー管理キーの共有（キーポリシー）が必須という論点に変わる（AWS マネージドキーでは共有不可）。 |
この要件を満たす方法として最も適切なものはどれですか？
- EBS ボリュームを作成するたびに、担当者が手動で暗号化オプションを選択する運用ルールを定める
- AWS CLI を使用して、新しく作成された EBS ボリュームを暗号化済みボリュームに置き換えるスクリプトを作成し、定期的に実行する
- Amazon EC2 の設定で、EBS 暗号化をデフォルトで有効にする（リージョンごとにアカウント全体へ適用される）
- AWS Lambda 関数を作成し、Amazon EventBridge（CloudWatch Events）で新しい EBS ボリュームの作成を検出して暗号化する