AWS SAA-C03 比較チートシート

「注文イベントで在庫更新+メール通知+分析記録を同時実行」→SQSだけでは1対1なのでNG。SNS→複数SQSのファンアウトが正解。SQS単体で複数処理はできない。

「オンプレのKafkaをそのままAWSへ」→Kinesisはコード改修が必要。MSKが正解。新規で運用を最小化したいだけならKinesisが有利。

「組織全体のセキュリティ状態を一元的に把握」→個別のGuardDutyではなくSecurity Hubで集約。原因の深掘り調査はDetective。

「固定IPが必要」「PrivateLinkで公開したい」→ALBではなくNLB。ALBは動的IPなので固定IPが欲しければNLBを前段に置くか、NLB単体を使う。GWLBはアプライアンス以外では出ない。

「Auroraは全DBエンジンに対応」は嘘。MySQL/PostgreSQL互換のみ。Oracle/SQL Serverが問題文に出たらRDS一択。また「リードレプリカ5台以上」が要件ならRDS(5台)ではなくAurora(15台)。

「DynamoDBでJOIN」はできない。問題文に「複雑なリレーション」「既存のSQLクエリをそのまま使いたい」があればRDS/Aurora。逆に「スキーマが頻繁に変わる」「無限にスケールしたい」はDynamoDB。

「ランキング機能」「リーダーボード」が出たらRedisのソート済みセット一択。Memcachedにはデータ構造がない。また「キャッシュの永続化」「フェイルオーバー」が要件ならMemcachedは除外。

「アーカイブ+すぐ取り出したい」→Deep ArchiveではなくGlacier Instant Retrieval。One Zone-IAは再作成可能なデータのみ（サムネイル等）。重要データをOne Zoneに置く選択肢は罠。

「Windowsインスタンスで共有ストレージ」→EFSではなくAmazon FSx for Windows。EFSはLinux（NFS）のみ。また「EBSを複数EC2で共有」は基本不可（io1/io2マルチアタッチは同一AZ限定の特殊用途）。

「DXはデフォルトで暗号化されている」は嘘。DX上で暗号化したければDX + VPNの組み合わせが必要。また「すぐにオンプレ接続が必要」→DXは数ヶ月かかるのでVPNが正解。

「SGの変更を検知して通知」→Config Rules（設定変更の評価）。「SGを変更した人を特定」→CloudTrail（API操作の記録）。目的が「検知」か「犯人特定」かで使い分け。CloudWatchはリソースのパフォーマンスだけ。

「S3の不正アクセスを検知」→MacieではなくGuardDuty（S3保護機能あり）。Macieは「中身に個人情報があるか」の検出。「EC2のパッチ未適用を検出」→GuardDutyではなくInspector。

「パスワードの定期的な自動ローテーション」が問題文にあればSecrets Manager一択。Parameter StoreのSecureStringでも暗号化はできるが、ローテーションの仕組みは自分で作る必要がある。コストだけならParameter Store。

「ログイン機能が欲しい」→User Pool。「ログイン後にS3にファイルアップロードしたい」→User Pool＋Identity Pool。Identity Pool単体では「誰か」を管理できない。2つセットで使うパターンを覚える。

「固定IPでHTTPを配信したい」→CloudFrontは動的IPなのでNG。Global Accelerator（固定Anycast IP）を使う。ただし「S3静的サイトを高速配信」ならCloudFront一択（GAはS3をオリジンにできない）。

「VPC AとB、BとCがピアリングしていればAからCに通信できる」→できない（推移的ルーティング不可）。3つ以上のVPCが相互通信するならTransit Gatewayが正解。ピアリングだとフルメッシュ接続が必要。

「リアルタイムダッシュボード」→Firehose（60秒遅延）ではなくData Streams。「ログをS3に保存」→Data Streams（シャード管理が面倒）ではなくFirehose。「リアルタイム」と「ニアリアルタイム」の違いを見逃さない。

「SCPで全権限を許可すれば全操作できる」→嘘。SCPは上限を決めるだけで、IAMポリシーで実際に許可しなければ何もできない。また管理アカウント（root）にはSCPが効かない→管理アカウントでの操作制限は別の仕組みが必要。

「Beanstalkはサーバーレス」→違う（内部でEC2が動いている）。サーバーレスのWebアプリならLambda + API Gateway。また「既存のVPC/サブネット構成を含めたインフラ全体をテンプレート化」はBeanstalkの範疇外→CloudFormation。

「15分以上の処理」→Lambdaは不可。Fargate or EC2。「GPUが必要」→FargateはGPU非対応→EC2。「最小の運用負荷で」→LambdaかFargate（EC2はNG）。「Dockerイメージで実行」→Lambdaもコンテナイメージ対応しているが、15分制限は変わらない。

「S3のアクセスログを月1回分析したい」→Redshift（常時稼働でコスト高）ではなくAthena。「毎日のBIレポート+大量JOIN」→Athena（スキャンコスト爆発）ではなくRedshift。分析頻度とデータ量がキーワード。

「NATインスタンスで問題が起きている」→答えはNAT Gatewayに移行。「コスト削減のためNATインスタンスにする」は罠選択肢（管理コスト増大）。「NATインスタンスの送信元/宛先チェック」の知識は試験で問われることがある。

「暗号化キーの使用ログを監査したい」→SSE-S3では監査不可→SSE-KMS。「大量のS3 GETリクエスト+SSE-KMS」→KMSのリクエストクォータ制限でスロットリングされる→S3バケットキーの有効化で解決。

「スポットインスタンスでデータベースを動かす」→中断されるのでNG。DBは安定稼働が必要→RI。「Dedicated HostとDedicated Instanceの違い」→Hostは物理サーバー丸ごと専有（ソケット/コア単位のライセンス対応）、Instanceは同じ物理HWに他テナントが来ないだけ。

「オンプレのバックアップをGlacierに保存したい」+「テープ」→Tape Gateway。「テープ」がなければFile GWかも。Volume GWの「Cached vs Stored」は頻出: データをローカルに置きたい→Stored、S3に置いてコスト削減→Cached。

「レイテンシーベース」と「地理的位置ベース」を混同しない。レイテンシーは実測の応答速度で判断、地理的位置はユーザーの所在国/地域で判断（コンプライアンス要件向き）。フェイルオーバーにはヘルスチェックが必須。