問題181-問題190 (SAP)

【SCS-181】あるAmazon EC2インスタンスが、復号化動作に使用される新しく作成されたAWS KMS CMKへのアクセスを拒否されています。環境の構成は次の通りです。
・インスタンスは、すべてのリソースのIAMロールでkms:Decryptアクションを許可されています
・AWS KMS CMKステータスは有効に設定されています
・インスタンスは、構成済みのVPCエンドポイントを使用してKMS APIと通信できます
この問題の原因は何でしょうか？

【SCS-182】ある企業は、機密文書を「Sensitive」「Confidential」「Restricted」というデータ分類に基づいて、3つのAmazon S3バケットに保存します。
セキュリティソリューションは、次のすべての要件を満たす必要があります。
・各オブジェクトは、一意のキーを使用して暗号化する必要があります。
・「Restricted」バケットに格納されているアイテムは、復号化のために2要素認証が必要です。
・AWS KMSは、暗号化キーを毎年自動的にローテーションする必要があります。

次のうちどれがこれらの要件を満たしていますか？

【SCS-183】あるセキュリティエンジニアは、規制要件を満たすためにAWSサービスの使用をus-east-1リージョンに制限する必要があります。
この要件を満たすためには、どうようなIAMポリシーを実装する必要がありますか？

ある会社は現在、パブリックとプライベートサブネットでWindowsとLinuxを実行するAmazon EC2インスタンスのフリートを管理しています。
運用チームは現在、会社のネットワークに接続されていないため、インターネット経由で接続してインスタンスを管理しています。
セキュリティグループは、任意のソースIPv4アドレスからのRDPとSSHプロトコルを許可するように更新されています。
リソースへの悪意あるアクセスの報告があり、同社はインスタンスを管理するための最も安全なソリューションを導入したいと考えています。
ソリューションアーキテクトはどの戦略を推奨すべきでしょうか？

【SCS-185】ある会社は、VPC 内の Amazon EC2 インスタンスにサーバーをデプロイしました。
外部ベンダーは、インターネット経由でこれらのサーバーにアクセスします。
最近、同社は新しい CIDR 範囲の EC2 インスタンスに新しいアプリケーションをデプロイしました。
会社は、ベンダーがアプリケーションを利用できるようにする必要があります。
セキュリティエンジニアは、関連するセキュリティグループとネットワークACLがインバウンドで必要なポートを許可していることを確認しました。
しかし、ベンダーはアプリケーションに接続することができません。
ベンダーがアプリケーションにアクセスできるようにするソリューションはどれですか?

【SCS-186】ある企業では、Amazon Elastic Block Store（Amazon EBS）ボリュームが常に暗号化されている必要があります。セキュリティ事故が起こった際、侵害された恐れのあるインスタンスのEBSスナップショットは、分析のためにフォレンジックアカウントに共有されます。セキュリティエンジニアが、侵害された恐れのあるEBSスナップショットをフォレンジックアカウントに共有しようとすると、次のエラーが表示されます。
「スナップショットを共有できません。ModifySnapshotAttribute操作を呼び出すときにエラー (OperationNotPermitted) が発生しました。EBSのデフォルトキーで暗号化されたスナップショットは共有できません」

セキュリティエンジニアは、EBSの共有を実現するためにインシデントアカウントでどの手順の組み合わせを取るべきですか？(3つ選んでください)。

【SCS-187】ある企業が、従業員のみがアクセスする必要のあるアプリケーションをAWS上で実行しています。
セキュリティエンジニアは、どのようにしてこのワークロードを保護し、従業員のみがアクセスできるようにすることができますか？

あなたは、EU-west-1 リージョンで、15 分ごとに更新するニュースウェブサイトを運営しています。
このウェブサイトには世界中のユーザーがいます。
サイトはElastic Load BalancerとAmazon RDSデータベースの背後にあるAuto Scalingグループを使用しています。
静的コンテンツはAmazon S3に置かれ、Amazon CloudFrontを通じて配信されます。
Auto Scalingグループは、60%のCPU使用率でスケールアップイベントをトリガーするように設定されています。
あなたは、10,000 Provisioned IOPSを持つAmazon RDS extra large DBインスタンスを使用しています。
そのCPU使用率は約80%です。
解放可能なメモリは2GBの範囲にあります。
ウェブ解析レポートによると、ウェブページの平均ロード時間は約1.5～2秒ですが、SEOコンサルタントは平均ロード時間を0.5秒未満に短縮したいと考えています。
次のオプションのうち、ユーザーのページロード時間を改善するのに有効でないものはどれでしょうか？

【SCS-189】ある会社のAmazon EC2インスタンスのセキュリティグループが、監査の結果、無制限の受信SSHトラフィックを許可しており、会社のポリシーに違反していると判断されました。
セキュリティエンジニアは、このような違反を管理者に通知するほぼリアルタイムの監視およびアラートのソリューションを実装する必要があります。
　最も運用効率が高く、これらの要件を満たすソリューションはどれでしょうか。

IOSの開発者は、認証されたユーザーのためのメモの作成、検索、および削除などの機能を含むメモアプリを作成しています。
このモバイルアプリケーションは、サインアップとサインインの機能も必要とします。
メモアプリは、API Gatewayを介したAPIによって公開されます。
開発者は、APIに認可を実装して、認証されたユーザーを識別し、そのユーザーのコンテキストでノートの作成や削除などの操作を実行できるようにしたいと考えています。
どのようにAWS Cognitoで認可を実装することができますか？