AWS SAA-C03 D1セキュアアーキテクチャ設計｜IAM/KMS/GuardDuty/WAF試験対策完全ガイド

1. はじめに — D1セキュアアーキテクチャ設計とは

本記事は「AWS SAA-C03 試験対策」シリーズの Vol1 です。
まだシリーズ全体像をつかんでいない方は、4ドメインの俯瞰とサービスマップを解説した Vol0 ロードマップを先にご覧ください。

SAA-C03 の出題は4つのドメインに分かれていますが、そのなかで 最大の配点（30%） を持つのが D1「Design Secure Architectures（セキュアアーキテクチャ設計）」です。
65問換算で約20問、120問の問題バンクに相当します。

なぜセキュリティが最重視されるのでしょうか。
AWS の設計原則「Well-Architected Framework」でもセキュリティは5本柱の筆頭に挙げられています。
クラウド上のシステムは適切な設計なくしてデータを守ることができません。
D1 はその設計力を問うドメインです。

1-1. D1の出題範囲を5軸で整理する

D1 は範囲が広く感じますが、問われるテーマは大きく 5つの軸 で整理できます。

試験の設問は「どのサービスを使うべきか」を問うシナリオ形式が中心です。
各サービスが どの軸に属し、何を解決するのか を結びつけて覚えることが合格への近道です。

2. IAM・STS・Identity Center — アクセス管理の核心

D1 の中でも最頻出サービスが IAM（Identity and Access Management） です。
問題バンク400問でIAMは140回出現し、S3に次ぐ第2位の頻出度を誇ります。

2-1. IAM の基本構造

IAM は「誰が（Principal）、何を（Action）、どのリソースに（Resource）、どんな条件で（Condition）実行できるか」をポリシー（JSON）で定義するサービスです。

試験で最頻出のシナリオは「EC2インスタンスからS3バケットにアクセスさせたい」です。
正解は「EC2インスタンスに IAM Role をアタッチする」です。アクセスキーをEC2に埋め込むことは絶対に避けるべきアンチパターンです。

2-2. STS（Security Token Service）とクロスアカウントアクセス

STS は 一時的な認証情報（トークン） を発行するサービスです。
IAM Role を「引き受ける（AssumeRole）」ときに内部で動作します。

クロスアカウントアクセスの典型パターンは次の通りです。

1. アカウントBに IAM Role を作成し、信頼ポリシーでアカウントAを信頼先として指定する
2. アカウントAのIAM UserやRoleが sts:AssumeRole で一時認証情報を取得する
3. 取得した一時認証情報でアカウントBのリソースを操作する

「別AWSアカウントのリソースへアクセスする方法は？」という設問では、クロスアカウントRoleのAssumeRole が正解です。

2-3. IAM Identity Center（旧AWS SSO）

IAM Identity Center は、複数のAWSアカウントやビジネスアプリケーションへの シングルサインオン（SSO） を提供します。
AWS Organizations と連携し、組織全体のユーザー管理を一元化できます。

「複数AWSアカウントへの一元的なシングルサインオンを実現したい」という設問では IAM Identity Center が正解です。

2-4. SCPとOrganizations — 予防的ガードレール

AWS Organizations の SCP（Service Control Policy） は、組織内のアカウントに対して「この操作は絶対に禁止」という 予防的なガードレール を設定できます。

SCP はアカウントの最大権限を制限するものです。
SCP でS3の削除を拒否すれば、そのアカウントのAdministratorでさえS3バケットを削除できなくなります。
「Organizations配下のアカウントで特定のリージョン以外へのリソース作成を禁止したい」という設問では SCP が正解です。

3. KMS・Secrets Manager — 暗号化戦略

3-1. KMS（Key Management Service）とCMKの種類

AWS KMS は暗号化キーの作成・管理・使用を担うサービスです。
試験では CMK（Customer Master Key）の種類 の使い分けが頻出です。

「コンプライアンス要件のためキーの使用ログを取りたい」「年1回のキーローテーションを行いたい」という設問では カスタマー管理CMK が正解です。

3-2. エンベロープ暗号化の仕組み

KMS は大量データを直接暗号化するのではなく、エンベロープ暗号化 という方式を使います。

1. KMS が データキー（DK） と呼ばれる対称キーを生成する
2. データキーで実際のデータを暗号化する
3. データキー自体を CMK で暗号化して保存する（= 封筒に入れる = envelope）

この仕組みにより、KMS に大量のデータを送らなくても高速に暗号化できます。
S3、EBS、RDS、DynamoDB は内部でこの方式を採用しています。

3-3. 主要サービスの暗号化オプション

D1 では「どのサービスをどのキーで暗号化するか」の使い分けが問われます。

「S3のデータが不正アクセスされても読み取られないようにしたい、かつ誰がいつキーを使ったか監査したい」という設問では SSE-KMS が正解です。

3-4. AWS Secrets Manager — シークレットの自動管理

AWS Secrets Manager は、データベースのパスワードやAPIキーなどの シークレット情報 を安全に保存し、自動ローテーションする機能を提供します。

「アプリケーションのDB接続パスワードをコードにハードコードせず、定期的に自動更新したい」という設問では Secrets Manager が正解です。
Systems Manager Parameter Store と比較すると、自動ローテーション がSecrets Manager の最大の差別化ポイントです。

4. GuardDuty・Macie・Inspector — 脅威検知・データ保護

4-1. Amazon GuardDuty — インテリジェントな脅威検知

Amazon GuardDuty は、AWSアカウント内の脅威を 継続的かつ自動的に検知 するサービスです。
VPC フローログ、CloudTrail ログ、DNS ログ、S3 アクセスログなどを機械学習で分析し、不審な活動を Finding として報告します。

GuardDuty の Findings の主要なカテゴリを押さえましょう。

GuardDuty はエージェントレスで有効化でき、既存ワークロードへの影響がゼロです。
「追加コストを最小限にしながらAWSアカウント全体の脅威検知を始めたい」という設問では GuardDuty が正解です。

4-2. Amazon Macie — S3の機密データ自動検出

Amazon Macie は、S3バケット内のデータを機械学習でスキャンし、PII（個人情報） や機密情報を自動検出・分類するサービスです。

• 検出できるデータ: 氏名・メールアドレス・クレジットカード番号・マイナンバーなど
• バケットのアクセス制御の問題（パブリック公開など）も検出する
• 検出結果は Security Hub や EventBridge と連携して自動対応できる

「S3に保存された大量のデータのなかから個人情報の格納場所を発見・可視化したい」という設問では Macie が正解です。

4-3. Amazon Inspector — 脆弱性スキャン

Amazon Inspector は、EC2インスタンス・Lambda関数・コンテナイメージの ソフトウェア脆弱性とネットワーク露出 を継続的にスキャンするサービスです。

Inspector は Systems Manager Agent を活用するため、対象リソースへのエージェント管理が必要です。
「EC2インスタンスのOSとアプリの脆弱性を継続的に検出・優先度付けしたい」という設問では Inspector が正解です。

5. WAF・Shield・Network Firewall — 境界防御

5-1. AWS WAF — Webアプリの境界保護

AWS WAF（Web Application Firewall）は、HTTP/HTTPSトラフィックを検査し、SQLインジェクション・XSSなどのWebアプリへの攻撃 を遮断するサービスです。

WAF の主要概念を整理します。

WAF はネットワーク層（L3/L4）ではなく アプリケーション層（L7） で動作します。
「Webアプリへの不正なHTTPリクエストをブロックしたい」という設問では WAF が正解です。

5-2. AWS Shield — DDoS 自動防御

AWS Shield は DDoS（分散サービス拒否）攻撃 からAWSリソースを守るサービスです。

「DDoS攻撃に対してAWS専門チームのサポートと詳細なメトリクスが必要」という設問では Shield Advanced が正解です。
WAF + Shield Advanced の組み合わせが「多層防御（Defense in Depth）」の典型構成です。

5-3. AWS Network Firewall — VPC内の高度なフィルタリング

AWS Network Firewall は、VPCレベルで ステートフル/ステートレス のネットワークフィルタリングを提供するマネージドサービスです。

• ステートレスルール: IPアドレス・ポート・プロトコルのみで判断（NACLに近い動作）
• ステートフルルール: 通信の文脈（セッション）を追跡し、不審なドメインや署名でブロック
• IDS/IPS機能: Suricata互換の署名ベースの侵入検知・防御

「VPCから外部への通信を特定のドメインのみ許可し、それ以外は拒否したい」という設問では Network Firewall が正解です。

6. VPC セキュリティ — ネットワーク分離

6-1. Security Groups と NACL の対比

VPC のネットワーク制御で最頻出の論点が Security Groups（SG） と NACL（Network Access Control List） の違いです。

試験で最頻出の誤解は「Security GroupsでDenyルールを設定する」です。
SGはAllowルールしか設定できません。特定のIPを遮断したい場合は NACL のDenyルール を使います。

6-2. NAT Gateway — プライベートサブネットの通信設計

プライベートサブネットにあるEC2が外部と通信するには NAT Gateway が必要です。

• NAT Gateway はパブリックサブネットに配置する
• プライベートサブネットのルートテーブルで「0.0.0.0/0 → NAT Gateway」と設定する
• NAT Gateway は AZ（アベイラビリティゾーン）単位 のサービスのため、高可用性が必要な場合は複数AZに配置する

「プライベートサブネットのEC2インスタンスからセキュアに外部と通信したい」という設問では NAT Gateway が正解です。

6-3. VPC Endpoints — プライベート接続でコスト削減

VPC Endpoints を使うと、インターネットゲートウェイや NAT Gateway を経由せずに VPC内のプライベートな通信路でAWSサービスに接続 できます。

「EC2からS3への通信をインターネットを経由せず、転送コストも削減したい」という設問では S3 Gateway Endpoint が正解です。

6-4. VPC Flow Logs — 脅威検知とトラブルシュート

VPC Flow Logs は、VPCのネットワークインターフェースを通過するIPトラフィックの情報を記録するサービスです。
CloudWatch Logs または S3 に保存し、GuardDuty や Athena での分析に活用します。

「VPCへの不審なアクセスを調査したい」「どのIPからの通信が拒否されているか確認したい」という設問では VPC Flow Logs が正解です。

7. CloudTrail・Config — 監査・コンプライアンス

7-1. AWS CloudTrail — 操作ログの証跡

AWS CloudTrail は、AWSアカウント内で行われた API呼び出しのすべてを記録 するサービスです。
「誰が（Who）、いつ（When）、何を（What）、どこから（From Where）したか」を追跡する 監査証跡 として機能します。

CloudTrail ログのベストプラクティスは、マルチリージョントレイルを有効化し、S3バケットへ集約することです。
ログファイル検証を有効化すると、ログの改ざんを検出できます。

試験で最頻出のシナリオは「誰がIAMポリシーを変更したか調査したい」です。正解は常に CloudTrail です。

7-2. AWS Config — リソース設定の継続監視

AWS Config は、AWSリソースの設定変更を継続的に記録し、コンプライアンスルール への準拠状況を評価するサービスです。

CloudTrail との違いを整理しましょう。
CloudTrail は「誰が何をしたか（API操作の記録）」、Config は「何がどんな状態か（リソース設定の評価）」です。

「すべてのS3バケットのパブリックアクセスが無効かどうかを継続的に監視し、違反があれば自動修正したい」という設問では Config Rules + Auto Remediation が正解です。

8. 共有責任モデル — 試験での判断軸

8-1. 共有責任モデルの全体像

AWS のセキュリティは「セキュリティ OF クラウド（AWSの責任）」と「セキュリティ IN クラウド（顧客の責任）」に分けて考える 共有責任モデル が基本概念です。

AWSの責任範囲（クラウドの物理基盤）

• データセンターの物理セキュリティ
• ハイパーバイザー・ストレージ・ネットワーク機器のセキュリティ
• マネージドサービスのソフトウェアパッチ（RDSのOSパッチなど）

顧客の責任範囲（クラウド上の設定・データ）

• ゲストOS・アプリケーションのパッチ適用（EC2など）
• IAMポリシー・セキュリティグループ・暗号化設定
• データの分類・保護・バックアップ

8-2. サービス別の責任分界チートシート

試験では「このシナリオでセキュリティ対策の責任はどちらか」という問いが出ます。
サービス種別で責任の境界が変わることを理解しましょう。

「RDSのOSパッチはAWSが担当する」「EC2のアプリケーションの脆弱性対応は顧客の責任」という線引きを確実に理解してください。

8-3. 最小権限の原則（Principle of Least Privilege）

D1 全体を貫くもう一つの重要概念が 最小権限の原則 です。
ユーザー・ロール・サービスに対して、業務上必要な最小限の権限のみを付与することがセキュリティの基本です。

実践的なアプローチとして覚えておきたいのは次の通りです。

• AdministratorAccess を本番環境で使わない
• ワイルドカード（*）の Action/Resource を避け、必要な操作だけを明示する
• IAM Access Analyzer で意図しない外部公開ポリシーを検出する
• 定期的にIAM Credentials Reportでアクセスキーを棚卸しする

9. CertTrend LMS D1問題演習

D1「セキュアアーキテクチャ設計」の120問を本番形式で演習できます。
IAM/KMS/GuardDuty/WAF/VPC/CloudTrailの出題頻度順に問題を解き、弱点を絞り込んでください。
正答だけでなく 誤答がなぜ誤りか をAWS公式ドキュメントに基づいて解説しているため、「わかったつもり」を確実に解消できます。

10. 実務で深掘り — セキュリティ本番運用記事

試験合格後は、本番環境でどう実装するかが次のステップです。
本シリーズ「SAA-C03試験対策」は試験対策・体系暗記を主眼としていますが、実際のインフラ設計・実装の詳細は以下の本番運用記事で深掘りできます。

試験で学んだ「なぜこのサービスを使うのか」という理解を土台に、本番運用記事で「どう実装するか」まで習得すれば、試験合格だけでなく実務でも即戦力として活躍できます。

次の Vol2 では D2「レジリエントアーキテクチャ設計（104問/26%）」を解説します。
SQS/SNS/EventBridge による疎結合、Auto Scaling、DR戦略4パターンを体系的に整理します。