AWS SAA-C03 試験直前対策｜迷いやすいサービスの違いを総復習

AWS Certified Solutions Architect – Associate（SAA）の直前対策では、サービス名を新しく暗記するよりも、似た選択肢を要件で切り分けられるかが重要になる。

この記事は、試験前日にもう一度見直すための要点集。特に混同しやすいIAMポリシー、VPCエンドポイント、Multi-AZとリードレプリカ、S3ストレージクラス、監視サービスを重点的に整理した。個々の機能のすべてを網羅する試験ガイドではなく、最後の確認に使うためのまとめだ。

対象は2026年10月25日時点でAWS公式サイトが案内しているSAA-C03。サービスの仕様・試験の詳細は更新されるため、受験前には末尾の公式リンクも確認してほしい。

まず試験の形式と配点を確認する

AWS公式の案内では、試験時間は130分、全65問。内訳は採点対象50問と採点対象外15問で、どれが採点対象外かは分からない。合格基準はスケールドスコア720/1,000であり、「正答率72%で必ず合格」という意味ではない。

未回答は不正解扱いだが、推測解答そのものに減点はない。迷った問題も必ず選択しておくこと。

選択肢を絞る5つの質問

問題文を読んだら、まず次の条件を探す。

1. 何を最優先するか？ 高可用性、低レイテンシー、最小コスト、最小運用負荷、セキュリティなど。
2. どの障害まで耐えるか？ EC2の故障、AZ障害、リージョン障害は対策が異なる。
3. どんなアクセス方法か？ HTTP、TCP/UDP、NFS、SMB、SFTP、APIなど。
4. データの性質は？ 読み取りが多い、書き込みが多い、順序が重要、リアルタイム性が必要など。
5. 既存の制約は？ オンプレミス連携、プライベート接続、運用人員、予算、復旧時間など。

「技術的には実現できる」選択肢が複数あっても、問題が問うのは要件に最も合う設計。要件にない大がかりな仕組みを足した選択肢が正解とは限らない。

1. IAM・セキュリティ：最優先で復習

IAMポリシーとSCPの違い

覚える順番は原則拒否 → 必要な明示的許可 → 適用される制限を確認 → 明示的Denyがあれば拒否。

例えばIAMポリシーでS3の読み取りを許可していても、SCPに該当操作の明示的Denyがあれば実行できない。権限の最終判定は、ポリシーの種類やリクエスト元・対象アカウントによって変わるため、単純に「Allowが一つあればOK」ではない。

Action と Resource を見分ける

次の例は、オブジェクトの取得だけを許可するアイデンティティベースポリシーだ。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::example-bucket/*"
    }
  ]
}

• Effect：許可（Allow）か拒否（Deny）か。
• Action：どのAPI操作を対象にするか。
• Resource：どのリソースに対する操作か。
• Condition：IPアドレスやタグなど、追加の判定条件。
• Principal：主にリソースベースポリシーやロールの信頼ポリシーで、対象の主体を表す。

s3:GetObject と s3:ListBucket は別の権限。前者のリソースはオブジェクトARN（末尾/*）、後者はバケットARN（末尾/*なし）を使う。このJSONだけでバケット内の一覧取得は許可されない。

認証・暗号化・防御で選ぶサービス

WAF・Shield・Firewall Managerは役割が違う。「通信を遮断」「DDoS」「組織全体へルール展開」のどれを問われているかを見る。

2. VPC・ネットワーク：通信経路で見分ける

Security GroupとNetwork ACL

NACLではエフェメラルポートなど応答側のポート範囲も考慮する。Security GroupでDenyルールを作ることはできない。

IGW・NAT・VPCエンドポイント

重要なのは、S3とDynamoDBはゲートウェイ型とインターフェイス型の両方に対応していること。単純に「S3だから必ずゲートウェイ型」とはせず、オンプレミスからの経路やネットワーク構成も確認する。

Gateway型はルートテーブルに関連付ける。Interface型はENIとプライベートIPを利用し、通常は時間・データ処理に応じた料金がかかる。

VPC間接続とDNS

• VPC Peering：2つのVPCを直接接続。推移的なルーティングはできない。
• Transit Gateway：多数のVPC・オンプレミス接続をハブ型に集約。
• Site-to-Site VPN：インターネット経由の暗号化された接続。
• Direct Connect：専用線経由の接続。接続そのものが自動的に暗号化されるわけではない。
• Route 53 Resolverインバウンドエンドポイント：オンプレミス等からVPC側のDNS名を解決したい。
• Route 53 Resolverアウトバウンドエンドポイント：VPCからオンプレミス等のDNSサーバーへ問い合わせたい。

Route 53のルーティングポリシーも押さえる。フェイルオーバーは正常性に応じた切り替え、レイテンシーは遅延を基準とした誘導、加重は割合での振り分け、位置情報は利用者の場所による振り分けに使う。

ALB・NLB・CloudFront・Global Accelerator

「URLのパス別に転送」はALB、「UDPを負荷分散」はNLB、「静的コンテンツの配信高速化」はCloudFrontが基本的な判断材料になる。

3. 可用性・災害対策：何が壊れる想定か

• Multi-AZ：同一リージョン内のAZ障害に備える設計。アプリケーション層では複数AZのEC2をALB＋Auto Scalingで運用する構成が代表例。
• Multi-Region：リージョン規模の障害にも備えたい場合に検討する。ただしデータ複製・DNS切り替え・運用は複雑になる。
• Auto Scaling：需要変動に応じてEC2台数を増減し、ヘルスチェックに応じて異常なインスタンスを置き換える。
• バックアップ：データ削除・破損・誤操作への備え。冗長化とは別に必要になる。
• RTO：どれだけ早く復旧すべきか。RPO：どれだけ過去のデータ損失まで許せるか。

RDS Multi-AZとリードレプリカは別物

よくある「Multi-AZは読み取りスケールアウトできない」という説明は、主に従来のRDS Multi-AZ DBインスタンス配置を指す。現在は読み取りに対応するMulti-AZ DBクラスター配置もあるため、問題文の構成を読み分ける。

災害対策の設問では、バックアップ＆リストア、パイロットライト、ウォームスタンバイ、マルチサイト（アクティブ/アクティブ）の順に、一般に復旧時間を短くできる一方でコスト・運用負荷が増えやすいと考える。ただし実際のRTO/RPOは設計次第だ。

4. ストレージ：プロトコルで一気に絞る

NFSならEFSが基本、WindowsのSMBならFSx for Windows、SFTP転送ならTransfer Familyとまず連想する。ただしFSx for ONTAPなど、複数プロトコルに対応するサービスもある。

S3ストレージクラスを用途別に暗記する

「アーカイブ」と書いてあっても即時の取得が必要ならDeep Archiveではない。最低保存期間や取り出し料金も考慮する。

S3のバージョニングは誤削除・上書きからの復元に役立ち、レプリケーションは指定したバケット間にオブジェクトを複製する。リージョン間レプリケーションを設定しただけで、アプリケーションの自動フェイルオーバーまで完了するわけではない。

5. データベース・非同期処理：ワークロードに合わせる

データベースとキャッシュ

データベースの読み取りが重いとき、結果をキャッシュするのか、DBの読み取り先を増やすのかを区別する。ElastiCacheは通常、永続データを置くRDSの単純な置き換えではない。

SQS・SNS・EventBridge・Kinesis

SQSはバッファ、SNSはファンアウト、EventBridgeはイベントの条件分岐と覚える。処理失敗のメッセージを隔離するDLQや、SQSの可視性タイムアウトも確認したい。順序・重複排除の要件ではSQS FIFOなどを検討する。

6. 運用・監査・コスト：最後に見落としを防ぐ

ログ・監視・変更履歴

CloudTrail＝操作の監査、Config＝設定変更、CloudWatch＝メトリクス・ログ・アラーム。CloudTrailログをS3へ保管し、必要に応じてAthenaなどで分析する構成も判断材料になる。

コストの選び分け

• オンデマンド：短期・予測しづらい用途。コミットメントなし。
• Savings Plans / リザーブドインスタンス：継続的に稼働する対象コンピューティング資源の割引を狙う。適用範囲・柔軟性は契約によって違う。
• スポットインスタンス：中断に耐えられるバッチ、分散ジョブ等に適する。停止できない単一構成の本番DBなどには不向き。
• Auto Scaling：不要な時間帯の余剰キャパシティを抑えられるが、設計しなければ必ず安くなるわけではない。
• S3 Lifecycle：アクセス頻度や保存期間に応じてクラス移行・期限切れ削除を自動化する。
• サーバーレス：利用量が少ない・変動が大きい場合、運用負荷や費用を減らしやすい。一方、高負荷が常時続く場合は比較が必要。
• 転送コスト：AZ間・リージョン間転送、NAT Gatewayの処理料金、外向きのデータ転送なども確認する。

「最もコスト効率が高く、運用負荷を最小化」という問題では、既存EC2を増設する前にマネージドサービス、サーバーレス、既存のエンドポイント利用を検討する。ただしコストだけで性能・可用性の必須条件を捨てない。

7. 直前のセルフチェック（7問）

答えを見ずに、サービス名となぜそれを選ぶのかを一言で答えてみる。

1. プライベートサブネットのEC2からS3へアクセスする。NAT Gatewayの通信料金を抑え、インターネット経由も避けたい。何を使う？
2. IAMで操作をAllowしているのに、所属OUのSCPが同じ操作を明示的にDenyしている。操作できる？
3. RDSの読み取り負荷が増加した。従来のMulti-AZ DBインスタンス配置のスタンバイにSELECTを振り分ければよい？
4. AZ障害時にもWebサービスを継続し、負荷に応じてEC2台数を調整したい。基本構成は？
5. WindowsアプリからSMBで共有ファイルにアクセスし、Active Directoryとの互換性も重視する。第一候補は？
6. 「誰がセキュリティグループを変更したか」と「現在のセキュリティグループ設定がルールに準拠しているか」。それぞれ何で調べる？
7. 注文APIの処理ピークを吸収し、後続処理が一時停止しても注文メッセージをキューに保持したい。何を選ぶ？

解答と判断理由

1. Gateway VPC Endpoint。S3へのプライベート経路を追加料金なしで用意できる。
2. 操作できない。適用される明示的Denyが優先する。
3. いいえ。従来のMulti-AZ DBインスタンス配置のスタンバイは読み取りに使えない。リードレプリカや読み取り対応のDBクラスターを検討する。
4. 複数AZに配置するAuto Scaling Group＋ALB。アプリの冗長性と負荷分散を両立する。
5. FSx for Windows File Server。SMBとWindows互換性の要件に合う。
6. CloudTrail / AWS Config。前者はAPI操作、後者は設定・準拠状況を追う。
7. SQS。疎結合・バッファリング・後続処理の再試行に向いている。

試験当日の進め方

全65問を130分で解く場合、単純平均は1問約2分。問題の難易度で調整しつつ、次の流れで進めると見直し時間を残しやすい。

1. 最初に設問の最後を読み、何を選べと言われているかを確認する。
2. 「最小コスト」「高可用性」「運用負荷を最小化」などの優先条件を拾う。
3. 選択肢ごとに、満たさない要件を探して消去法で絞る。
4. 長考しそうな問題は一度選択・フラグを付け、先へ進む。
5. 最後に未回答がないか確認する。採点対象外の問題は見分けられないため、どれも同じように扱う。

最後の数分で新しいサービス名を詰め込むよりも、**「なぜそのサービスを選ぶのか」「似たサービスではなぜだめか」**を説明できるか確認する方が効果的だ。

参考資料（AWS公式）

• AWS Certified Solutions Architect – Associate：試験概要
• SAA-C03 公式試験ガイド（配点・採点・対象範囲）
• IAM：ポリシーの評価論理
• VPC：ゲートウェイエンドポイント
• Amazon RDS：Multi-AZ配置
• Amazon S3：ストレージクラスの比較
• Amazon FSx for Windows File Server：概要
• Amazon S3：APIオペレーションに必要な権限