SAP-C02-023 · 理解確認
理解確認:信頼性・回復力・DRの設計指標
単一選択 9 / 複数選択 2 / 穴埋め 0 · 11問
この理解確認の目的
ビジネス要件から信頼性 / レジリエンス / 可用性 / 災害復旧を区別し、ダウンタイムをRTO、データ損失をRPOへ変換できるか確認します。
あるECサイトは、インフラストラクチャの一部で障害が発生しても、注文・決済・注文保存というビジネス機能を期待どおり継続または復旧できる必要がある。この要件を最も広く表す概念はどれか。
B. 災害復旧
C. 信頼性
D. 復旧ポイント目標
答えと解説
答え:C
信頼性は、ワークロードが期待された機能を正しく、一貫して提供できる能力です。単一の可用性メトリクスやDR目標より広い概念です。
ワークロードについて、インフラストラクチャ障害から復旧し、トラフィック増加時には必要なコンピューティングリソースを追加し、一時的なネットワーク問題の影響を軽減できるアーキテクチャが要求されている。最も直接的に対応する概念はどれか。
B. 災害復旧計画
C. 可用性の割合
D. レジリエンス
答えと解説
答え:D
障害からの復旧、需要への適応、中断の緩和はレジリエンスの中心です。
企業は顧客向けアプリケーションについて「1年間のうち99.99%以上、必要な機能を正常に利用可能にする」と定義した。これは主に何の要件か。
B. RPO
C. 災害復旧
D. RTO
答えと解説
答え:A
一定期間でワークロードを利用可能だった割合を示しているため可用性要件です。
注文システム全体のRTOは30分である。アプリケーションサーバーは10分で復旧できるが、注文処理に必須の認証サービスのRTOは60分で、代替手段はない。最も適切な判断はどれか。
B. 認証サービスは別ワークロードなので、注文システムの重要依存関係であっても復旧目標には影響しない
C. RPOを30分以下へ変更すれば認証サービスの60分RTOも短縮され、注文システム全体のRTO 30分を満たせる
D. 重要依存関係の復旧機能を改善するか回避策を設計しなければ、ワークロード全体のRTO 30分を成立させられない
答えと解説
答え:D
ワークロードの復旧目標は、必須の下流依存関係が実現できる復旧機能に制約されます。代替手段がない重要依存関係のRTOが60分なら、そのままではワークロード全体のRTO 30分を成立させられません。
企業の重要ワークロードには、サービス停止は最大30分まで許容し、データ損失は最大2分分まで許容するという要件がある。最も適切な解釈はどれか。
B. RTO ≤ 2分、RPO ≤ 30分
C. 可用性 30分、RTO ≤ 2分
D. RPO ≤ 30分、可用性 2分
答えと解説
答え:A
ダウンタイムはRTO、データ損失はRPOへ変換します。
ビジネスチームは「夜間バッチシステムは障害時に8時間停止してもよく、最大4時間分のデータ損失を許容できる。復旧アーキテクチャのコストは最小化したい」としている。ソリューションアーキテクトが最初に行うべき判断はどれか。
B. RTO 8時間・RPO 4時間を復旧目標として扱い、それを満たす候補を比較する
C. 可用性を99.999%へ設定してからDR方式を選択する
D. マルチリージョンアクティブ-アクティブを基準構成としてコストを削減する
答えと解説
答え:B
アーキテクチャが先ではなく、ビジネス要件から復旧目標を定義します。要件以上に厳しい復旧機能を無条件に採用すると過剰なアーキテクチャになる可能性があります。
重要アプリケーションについて、通常のコンポーネント障害ではサービスを可能な限り継続したい。リージョン規模の災害時には15分以内にサービスを再開し、失われるトランザクションデータは最大1分分までにしたい。ここから直接読み取れる設計指標を3つ選択してください。
B. 通常障害でもサービス継続を求めるため、可用性 / レジリエンス 要件がある
C. サービス再開が15分以内なので、データ損失を示すRPOも15分以下である
D. リージョン災害時に15分以内でサービス再開するため、RTOは15分以下である
E. 失われるトランザクションデータを最大1分分にするため、RPOは1分以下である
答えと解説
答え:B / D / E
通常のコンポーネント障害へのサービス継続は可用性 / レジリエンス、災害後15分以内の復旧はRTO、最大1分分のデータ損失はRPOへ対応します。
顧客向けシステムはマルチAZ構成で、1つのAZを失ってもサービスを継続できる。一方、リージョン全体を失った場合には30分以内の復旧と5分以内のデータ損失が要求されている。最も適切な設計判断はどれか。
B. 可用性が99.99%以上なら、リージョン障害時も同じ復旧時間が保証される
C. AZ障害とリージョン障害を同じ障害範囲として、1つのRTO/RPOだけを定義する
D. 通常のコンポーネント / AZ障害への可用性と、リージョン災害へのRTO/RPOを別の要件として定義する
答えと解説
答え:D
マルチAZによる高可用性だけでリージョン規模のDRが完成するわけではありません。通常のコンポーネント / AZ障害への可用性と、リージョン災害への復旧目標は別の要件として定義します。
設計書ではRTO 30分・RPO 5分を満たすアーキテクチャになっているが、実際の災害復旧テストを一度も実施していない。最も適切な判断はどれか。
B. RPOが5分以内に設定されていればデータ復旧が速いため、RTOも自動的に30分以内になると判断する
C. 復旧テストを実施し、検知からサービス再開までの時間と利用可能な復旧ポイントを実測してRTO/RPO達成を検証する
D. マルチAZ構成ではコンポーネント障害へ自動対応できるため、リージョン災害を想定した復旧テストは省略できる
答えと解説
答え:C
RTO / RPOは復旧目標です。設計値だけで達成済みとは判断せず、復旧テストを実施し、検知からサービス再開までの時間と、実際に利用できる復旧ポイントを確認して達成可否を検証します。
1か月720時間のうち、サービスが合計36分利用不能だった。可用性の考え方として最も適切なのはどれか。
B. 36分の停止時間を、そのままRPO 36分として評価する
C. 可用性はマルチAZを利用しているかだけで決まる
D. 可用性は災害発生時の1回の復旧時間だけを表す
答えと解説
答え:A
可用性は一定期間に必要なワークロードを利用できた時間の割合です。アーキテクチャ名ではなく達成したいサービスレベルとして扱います。
災害復旧戦略を決める前に障害範囲として明示的に検討すべきものを3つ選択してください。
B. データ破損や運用者エラー
C. EC2インスタンスタイプの命名規則
D. サイバー攻撃による重大なサービス/データ影響
E. ダッシュボードの配色テーマ
答えと解説
答え:A / B / D
DRは何を災害とするかから始めます。インフラストラクチャ障害だけでなくデータ破損、人エラー、サイバー攻撃などでも必要な復旧機能が変わります。