セキュアなアーキテクチャの設計

AWS IAMのプリンシパル、認証情報、ユーザー・グループ、ポリシー評価、最小権限、ルートユーザーとOrganizationsのガードレールをDVA向けに解説します。

AWS IAMポリシーをアタッチ先と管理方法で分類し、JSON要素、Condition演算子、権限評価、権限制限ポリシー、AWSサービス間連携の許可設定までDVA向けに解説します。

VPC、サブネット、アベイラビリティゾーン、インターネット接続、NAT、Site-to-Site VPN、ルートテーブルとアクセス制御の関係を解説します。

VPCとサブネットの基本概念、パブリック/プライベートサブネットの違いを学びます。

Amazon VPCとサブネットの役割、CIDRによるIPv4アドレス設計、パブリックIPv4アドレスの種類と料金を解説します。

セキュリティグループ、ネットワークACL、AWS Network Firewall、AWS WAF、Route 53 Resolver DNS Firewall、AWS Shield、Firewall Managerの役割と、ステートフル／ステートレスの違いを学びます。

セキュリティグループとネットワークACLの適用範囲、ステートフル／ステートレスの違い、デフォルトルール、エフェメラルポートを理解します。

AWS WAFのWeb ACL、評価順序、マネージドルールとカスタムルール、レートベースルール、各アクション、関連付け先を学びます。

VPC Flow Logsで記録できる通信メタデータと制約、ENIの役割、仮想ネットワークアプライアンスを使う際のソース／宛先チェックを解説します。

VPCピアリングのプライベート接続、ルートと通信許可の設定、CIDR重複や推移的ルーティングの制約、Transit Gatewayとの使い分けを解説します。

ENIがVPCとEC2インスタンスをつなぐ仕組み、IPアドレスやセキュリティグループなどの属性、プライマリ／セカンダリENIの使い分けと付け替えを解説します。

VPCの基本構成とSecurity Group / NACLの役割、適用範囲の違いを整理します。

VPC内通信を制御する3要素（ルートテーブル / SG / NACL）の役割と使い分けを整理します。

IAM・バケットポリシー・ACL・アクセスポイント、ブロックパブリックアクセス、事前署名付きURL、クロスアカウント共有の考え方を整理します。

データ、システム、アセットを保護し、クラウドのセキュリティを高めるための設計原則と対応領域を整理します。

S3のHTTPSによる転送時暗号化と、SSE-S3・SSE-KMS・SSE-C・クライアント側暗号化の違いを試験向けに整理します。

Amazon S3のポリシー、ACL、アクセスポイント、署名付きURL、CORS、暗号化、Object Lock、バージョニングを現行仕様に沿って整理します。

インターネット接続・NAT・VPN・VPC間接続・エンドポイントなど、VPC外部との通信手段を整理します。

Internet Gateway、NAT Gateway、NAT instance、Egress-only Internet Gatewayの役割とルーティング、通信制御、可用性の違いを学びます。

AWS KMS によるマスターキー管理、エンベロープ暗号化、キーポリシー、CloudHSM、Secrets Manager の仕組みと使い分けを学びます。

API Gatewayで使う認証・認可手法（IAM / Lambda Authorizer / Cognito / Resource Policy / mTLS）を整理します。

バックアッププラン、ボルト、リソース割り当て、ライフサイクル、コールドストレージ、クロスアカウントコピー、バックアップボルトロック、Organizations統制を試験向けに厚く整理します。

AWS WAF、Shield、Network Firewall、DNS Firewall、セキュリティグループ、ネットワーク ACL、Firewall Manager による多層防御のアーキテクチャと、各レイヤーでの脅威対策を学びます。

GuardDuty、Inspector、Macie、Security Hub、Detective による脅威検知・脆弱性診断・機密データ保護・インシデント調査の統合運用を学びます。

AWS Configでリソースの構成変更を記録し、Configルールの準拠性評価、複数アカウント・リージョンの集約、Systems Manager Automationによる修復まで行う仕組みをDVA向けに解説します。

CloudFrontのTLS、AWS WAFとShield、地域・IP制限、S3オリジンのOAC、カスタムオリジンの保護、署名付きURLとCookieを解説します。

CloudTrailの管理イベント・データイベント・Insights、イベント履歴とTrailの違い、長期保存、暗号化、改ざん検知を整理し、AWS API操作の監査設計を学びます。

AWSの同一アカウント／クロスアカウントにおけるポリシー評価、EC2インスタンスプロファイル、一時認証情報、IAMロールとS3バケットポリシーの連携をDVA向けに解説します。

IAM権限境界がユーザーやロールの実効権限をどのように制限するか、権限を付与しない理由、AWS OrganizationsのSCPとの違いと評価上の注意点をDVA向けに解説します。

AWS STSが発行する一時認証情報の構成と期限、IAMロールの引き受け、クロスアカウントアクセス、外部IDフェデレーション、コンソールのSwitch RoleをDVA向けに解説します。

AWS IAMの混乱した代理問題がクロスアカウントで起きる仕組みと、最小権限・STSセッション期限・ExternalIdを使った対策、信頼ポリシーとAssumeRoleの実装例をDVA向けに解説します。

IAMのデフォルト拒否、明示的Denyの優先、アイデンティティ／リソースベース許可、権限境界・セッションポリシー・SCPの評価を、同一アカウントとクロスアカウントの違いを含めて解説します。

Amazon Cognitoの認証と認可を区別し、ユーザープールとIDプール、JWT、外部IdP連携、SAML 2.0、MFAやLambdaトリガーをDVA向けに解説します。

AWS DVA向けに保存時・転送時暗号化、平文・暗号文、共通鍵・公開鍵・ハイブリッド暗号、ハッシュと電子署名、鍵管理とFIPS準拠の考え方を詳しく解説します。

AWS KMSのキーとキーマテリアル、アクセス制御、ローテーション、削除、外部キーマテリアルのインポート、マルチリージョンキーをDVA向けに解説します。

AWS KMSのキーポリシー、IAMポリシー、キー管理者と利用者の権限分離、S3のSSE-KMSオブジェクトを取得する際の許可、Grantの委任・即時利用・取消しをDVA向けに詳しく解説します。

AWS KMSのGenerateDataKeyで生成するデータキーの役割、エンベロープ暗号化によるアプリケーションデータの暗号化・復号、平文キーと暗号化済みキーの安全な扱いをDVA向けに詳しく解説します。

AWS KMSのキーとAPIリクエストにかかる料金、リージョン別クォータとスロットリング、データキーキャッシュの設計、Parameter Store・Secrets Manager・データベース・ストレージでの暗号化を解説します。

AWS Secrets Managerで認証情報を安全に保存・取得する方法、KMS暗号化、IAMとリソースポリシー、CloudTrail監査、自動ローテーション、Parameter Storeとの使い分けをDVA向けに解説します。

AWS Certificate Manager（ACM）によるパブリック／プライベート証明書の発行、インポート、更新、CloudFront・ALBでのTLS終端、EC2までの暗号化区間をDVA向けに詳しく解説します。

Gateway型とInterface型のVPCエンドポイント、AWS PrivateLink、ハイブリッド接続、エンドポイントポリシーを整理します。

Amazon DynamoDBのIAMによるテーブル・インデックス・Streamsの権限制御、アイテム単位の条件、暗号化、GatewayとInterface VPC endpointの違いを解説します。