AWS Certified Solutions Architect - Associate (SAA-C03)
SAA-C03 試験対策ノート
2026 年 10 月 時点の公式試験ガイドの出題範囲に基づく読了 約 30 分
SAA-C03 の出題範囲を、試験の直前 30 分で読み返せる分量にまとめた総まとめです。学習コースで 4 分野を一通り学び、練習問題で弱点を確かめた後の最終確認に使います。問題文の合図から正解の方向を引く表と、誤答の型と引っかけを先に読みます。
試験の数字と姿勢
- 問題数は 65 問で試験時間は 130 分、うち採点されない 15 問が含まれ、どれが採点されないかは見分けられない。
- 結果は 100〜1,000 の換算点で示され、合格点は 720 点である。
- 補償型の採点なので、分野ごとの合格ラインはなく全体で 720 点に届けばよい。
- 形式は 1 つを選ぶ択一の問題と、2 つ以上を選ぶ複数選択の問題の 2 種類である。
- 答えなかった問題は不正解として数え、推測で答えても減点はないので、全問に答える。
- 配点は分野 1 セキュアが 30%、分野 2 弾力性が 26%、分野 3 高性能が 24%、分野 4 コスト最適化が 20% である。
- ほとんどの問題は状況の説明から要件を読み、最も適した構成を選ぶ形である。
- 「運用の負荷が最も低い」「最もコスト効率が良い」のような条件の語が、もっともらしい選択肢を 1 つに絞る鍵になる。
問題文の合図と正解の方向
| 問題文の合図 | 正解の方向 |
|---|
| 運用の負荷が最も低い | マネージドサービスかサーバーレス (自作のスクリプトや EC2 の管理を避ける) |
| 最もコスト効率が良い | 要件を満たす中で最も安い選択肢 (要件を超える性能は不要) |
| 長期間有効なアクセスキーを使わない | IAM ロールの一時的な認証情報 |
| 組織の全アカウントで、管理者も含めて禁止 | AWS Organizations のサービスコントロールポリシー |
| 社員が複数のアカウントに 1 回のサインインで入る | AWS IAM Identity Center |
| 一般の利用者のアプリの登録とサインイン | Amazon Cognito |
| インターネットを経由せずに S3 か DynamoDB へ | ゲートウェイエンドポイント |
| 他の VPC に自社のサービスだけを見せる | AWS PrivateLink のエンドポイントサービス |
| 鍵を使える人を自社で決め、毎年自動で更新 | AWS KMS のカスタマーマネージドキー |
| データベースのパスワードを自動で定期的に変える | AWS Secrets Manager |
| SQL インジェクションや 1 つの IP からの大量のリクエスト | AWS WAF |
| 怪しい通信や API の呼び出しに気付きたい | Amazon GuardDuty |
| AZ の障害でデータベースを自動で切り替える | RDS のマルチ AZ 配置 |
| 急な増加で処理が追いつかず注文が失われる | Amazon SQS のキューと、キューの滞留に応じた Auto Scaling |
| 1 つのイベントを複数のシステムがそれぞれ受け取る | Amazon SNS から複数の SQS のキューへのファンアウト |
| リージョンの障害でも 1 分程度で書き込みを再開 | Aurora Global Database |
| 複数のリージョンのどこでも読み書き | DynamoDB のグローバルテーブル |
| 複数の AZ のインスタンスから同時に使う共有のファイル | Amazon EFS |
| DynamoDB の読み取りをマイクロ秒に | DynamoDB Accelerator (DAX) |
| 固定の IP アドレスと TCP や UDP の通信 | AWS Global Accelerator か Network Load Balancer |
| S3 に置いたデータにときどき SQL | Amazon Athena |
| 中断しても続きから再開できる処理 | スポットインスタンス |
| アクセスの頻度を予測できない S3 のデータ | S3 Intelligent-Tiering |
| 数年保存し、取り出しは 12 時間以内で良い | S3 Glacier Deep Archive |
| EC2 のファミリーやリージョンを変えても割引を続けたい | Compute Savings Plans |
誤答の型
- アクセスキーを設定ファイル、ユーザーデータ、AMI、アプリに埋め込む選択肢は切る。
- セキュリティグループに拒否のルールを書く選択肢は切る。セキュリティグループには許可のルールしか書けない。
- GuardDuty、AWS Config、Inspector のような見つけるサービスで、操作や攻撃を止めるとする選択肢は切る。
- インスタンスを大きくするだけで、可用性や急な増加の問題を解こうとする選択肢は疑う。
- マネージドの機能がある処理を、定期実行のスクリプトや自作の複製で置き換える選択肢は、運用の負荷の条件があれば切る。
- マルチ AZ 配置のスタンバイに読み取りを振り分けるとする選択肢は切る。読み取りの分散はリードレプリカである。
- リードレプリカで障害のときに自動で切り替わるとする選択肢は切る。切り替えには昇格の操作が要る。
- 1 つの SQS のキューを複数のシステムで共有して全部に届くとする選択肢は切る。
- CloudFront で UDP の通信を扱うとする選択肢は切る。
- 夜だけ動く処理のためにリザーブドインスタンスを買う選択肢は切る。
- すぐに取り出す要件に、Glacier Flexible Retrieval や Glacier Deep Archive を選ぶ選択肢は切る。
分野別の要点
- 人のサインインは IAM Identity Center、アプリケーションには IAM ロール、別のアカウントには信頼ポリシーで引き受けを許可したロールを使う。
- サービスコントロールポリシーは組織のアカウントの権限の上限を決め、管理者でも拒否された操作はできない。
- セキュリティグループはインスタンスの単位の許可だけのルールで戻りの通信は自動で許可され、ネットワーク ACL はサブネットの単位で許可と拒否を番号の順に評価する。
- 保存時の暗号化は AWS KMS、鍵を使える人を決めるならカスタマーマネージドキー、通信の暗号化は TLS と aws:SecureTransport の条件である。
- S3 の公開を止めるのはブロックパブリックアクセス、CloudFront だけに読ませるのはオリジンアクセスコントロール、期限付きで渡すのは署名付き URL である。
- 処理の間に SQS のキューを置いて疎結合にし、処理する側はキューの滞留に応じて台数を増減する。
- Auto Scaling グループと ALB は 2 つ以上の AZ に広げ、ヘルスチェックで異常なインスタンスを入れ替える。
- RDS のマルチ AZ 配置は同期の複製と自動の切り替え、リードレプリカは非同期の複製と読み取りの分散である。
- リージョンの障害には、Aurora Global Database、DynamoDB のグローバルテーブル、S3 のリージョン間のレプリケーション、Route 53 のフェイルオーバールーティングで備える。
- 災害対策はバックアップと復元、パイロットライト、ウォームスタンバイ、マルチサイトの順に RTO と RPO が短くなり、費用は高くなる。
- 1 台のインスタンスのブロックは EBS、共有のファイルは EFS、計算の負荷の高い処理の高速な読み込みは FSx for Lustre、オブジェクトは S3 である。
- gp3 は容量と別に IOPS を指定でき、io2 は高い IOPS と耐久性が要るときに使う。
- 繰り返しのクエリは ElastiCache、DynamoDB の読み取りは DAX、重い読み取りは Aurora レプリカで書き込みから切り離す。
- Web のコンテンツの配信は CloudFront、固定の IP アドレスと TCP や UDP は Global Accelerator、超低遅延の TCP は Network Load Balancer である。
- 大量のデータの順序を保った取り込みは Kinesis Data Streams、S3 の上の SQL は Athena、大規模な集計は Redshift である。
- 安定した利用は Savings Plans かリザーブドインスタンス、中断できる処理はスポットインスタンス、短期や予測できない利用はオンデマンドである。
- Compute Savings Plans は EC2 のファミリー、サイズ、リージョン、OS に関係なく割引が適用され、Fargate と Lambda にも効く。
- S3 は予測できないアクセスに Intelligent-Tiering、まれだがすぐ読むものに Glacier Instant Retrieval、長期保存に Glacier Deep Archive を使い、ライフサイクルのルールで移す。
- 不定期で少ない呼び出しは API Gateway と Lambda、予測しにくいデータベースの負荷は Aurora Serverless v2 で、使った分だけ払う。
- 費用の傾向は Cost Explorer、予算と予測の通知は Budgets、種類と大きさの見直しは Compute Optimizer で行う。
サービス名を一言で
| 名前 | 一言 |
|---|
| AWS IAM Identity Center | 社員の複数のアカウントへのシングルサインオン |
| Amazon Cognito | 一般の利用者のアプリの登録とサインイン |
| AWS Secrets Manager | パスワードなどの保存と自動のローテーション |
| AWS WAF | Web のリクエストの検査と遮断 |
| AWS Shield Advanced | 大規模な DDoS 攻撃への備えと専門チームへの相談 |
| Amazon GuardDuty | ログから怪しい通信や操作を見つける |
| Amazon Macie | S3 の中の個人情報などの機密データを見つける |
| AWS PrivateLink | 他の VPC のサービスへのプライベートな接続 |
| Amazon SQS | メッセージを預かるキュー |
| Amazon SNS | メッセージを登録した宛先の全部へ配る |
| AWS Step Functions | 複数の手順を再試行と分岐つきでつなぐ |
| AWS Backup | 複数のサービスのバックアップを 1 つの方針で管理 |
| AWS Global Accelerator | 固定のエニーキャスト IP で最寄りのリージョンへ届ける |
| Amazon RDS Proxy | データベースへの接続をまとめて共有させる |
| Amazon EFS | 複数の AZ から同時に使う共有のファイルシステム |
| Amazon FSx for Lustre | 計算の負荷の高い処理のための高速なファイルシステム |
| DynamoDB Accelerator (DAX) | DynamoDB 専用のメモリのキャッシュ |
| Amazon Kinesis Data Streams | 大量のデータを順序を保って受け取り複数で読む |
| AWS Compute Optimizer | 利用の記録から種類と大きさの見直しを提案 |
| AWS Budgets | 予算と予測の金額の通知 |
引っかけトップ 15
- サービスコントロールポリシーは権限を与えない。上限を決めるだけで、IAM ポリシーでの許可も要る。
- AWS マネージドキーのキーポリシーは利用者が書き換えられない。
- ACM にインポートした証明書は ACM が自動で更新しない。自動で更新されるのは ACM が発行した証明書である。
- ゲートウェイエンドポイントが使えるのは S3 と DynamoDB だけである。
- VPC ピアリングは IP アドレスの範囲が重なると結べず、ピアリングを経由した先の VPC へは届かない。
- EBS のボリュームは 1 つの AZ の中の資源で、別の AZ のインスタンスには付けられない。
- インスタンスストアのデータはインスタンスを止めると消える。
- CloudWatch のアラームの復旧のアクションは、同じ AZ の別のハードウェアでの復旧で、AZ の障害には効かない。
- S3 のレプリケーションには、複製元と複製先の両方のバケットのバージョニングが要る。
- Lambda の 1 回の実行時間の上限は 15 分である。
- SQS の標準キューは順序を保証せず、同じメッセージが 2 回届くことがある。順序と重複の排除が要るなら FIFO キューを使う。
- gp2 の基準の IOPS は容量に比例し、gp3 は容量と別に指定できる。
- Shield Advanced の専門チームへの相談には、Business 以上のサポートプランも要る。
- Dedicated Hosts と Dedicated Instances は、ライセンスの持ち込みや規制 / コンプライアンスのための選択肢で、単に費用を下げる目的では選ばない。
- Amazon Data Lifecycle Manager が扱うのは EBS のスナップショットと AMI で、RDS や DynamoDB は AWS Backup で扱う。
直前チェック
- 問題数、試験時間、採点されない問題の数、合格点を言える。
- 4 分野の名前と配点を言える。
- IAM ロール、サービスコントロールポリシー、IAM Identity Center、Cognito の使い分けを言える。
- セキュリティグループとネットワーク ACL の違いを 3 つ言える。
- ゲートウェイエンドポイントとインターフェイスエンドポイントの違いを言える。
- KMS のカスタマーマネージドキーと AWS マネージドキーの違いを言える。
- WAF、Shield、GuardDuty の役目を 1 文ずつ言える。
- RDS のマルチ AZ 配置とリードレプリカの違いを言える。
- SQS、SNS、Kinesis Data Streams の使い分けを言える。
- 災害対策の 4 つの戦略を RTO の短い順に並べられる。
- Route 53 のフェイルオーバー、加重、レイテンシー、位置情報のルーティングを区別できる。
- EBS、EFS、FSx for Lustre、S3 の使い分けを言える。
- ElastiCache と DAX の違いを言える。
- CloudFront と Global Accelerator の違いを言える。
- オンデマンド、Savings Plans、リザーブドインスタンス、スポットインスタンスの使い分けを言える。
- S3 のストレージクラスを、取り出しの速い順に並べられる。
- Cost Explorer、Budgets、Compute Optimizer の役目を言える。