Q1 — 単一選択1つのAWSアカウントで開発と本番を運用している。開発者には開発で幅広い変更権限が必要だが、本番への誤操作の影響を強く制限したい。最も適切なアカウント戦略はどれか。
A. 同じアカウントの別VPCへ配置し、環境ごとにIAMロールを分ける
B. 本番と非本番を別AWSアカウントへ分離する
C. 同じアカウントで環境タグを必須にしてリソースを分類する
D. 同じアカウントで環境ごとに別CloudFormationスタックを使用する
答えと解説
答え：B
要件は本番と開発間の強い分離です。別VPC、IAMロール、タグ、スタックは同一アカウント内の分離であり、アカウントレベル管理 / セキュリティ境界は共有します。環境を別アカウントへ分離することで誤操作の影響範囲を限定しやすくなります。
Q2 — 単一選択一般公開ウェブサイトと、規制対象データを扱う決済ワークロードがある。両ワークロードではデータ機密度と要求されるセキュリティ制御が大きく異なる。最も適切なのはどれか。
A. 同じアカウントの別VPCへ配置してネットワークだけ分離する
B. 同じアカウントでワークロードごとにIAMロールだけを分ける
C. 同じアカウントで異なるKMSキーとリソースポリシーを設定する
D. セキュリティ要件が異なるワークロードを別AWSアカウントへ分離する
答えと解説
答え：D
データ機密度やコンプライアンス要件が大きく異なるワークロードは、アカウント境界でセキュリティ / 管理上の範囲を分離する強い候補です。同一アカウント内の個別制御だけではアカウントレベル境界は共有したままです。
Q3 — 単一選択2つのビジネス単位について、タグ運用に依存せずAWSコストを明確な請求レベルで分離したい。最も適切なのはどれか。
A. ビジネス単位ごとにAWSアカウントを分離する
B. 同一アカウントでコスト割り当てタグだけを必須化する
C. ビジネス単位ごとにVPCを分けてネットワークコストを分類する
D. ビジネス単位ごとにIAMロールを分けて利用者を区別する
答えと解説
答え：A
タグはコスト分類に利用できますが、タグ運用に依存しない明確な請求境界が要件ならアカウント分離を評価します。アカウント単位でコスト責任を分離しやすくなります。
Q4 — 単一選択互いに無関係な2つの本番ワークロードは所有者とリリースサイクルが異なる。一方の高権限操作や設定ミスが他方へ及ぼす範囲も小さくしたい。最も適切なのはどれか。
A. 同一アカウントで管理者ロールを共通化して運用する
B. 同一アカウントの別VPCへ配置してネットワークだけ分離する
C. 同一アカウントでリソースタグを分けて所有責任を表現する
D. ワークロードごとにAWSアカウントを分離する
答えと解説
答え：D
所有者・リリースサイクルが異なり、一方の管理操作による影響範囲を他方から分離したいので、ワークロード単位のアカウント分離が適切です。
Q5 — 単一選択同じリージョンの1つのAWSアカウントで2つの大規模ワークロードを運用している。ワークロード Aがリソースを急増させた結果、アカウントに適用されるサービスクォータを消費し、ワークロード Bの拡張が阻害されている。アカウント戦略として最も適切なのはどれか。
A. 2つのワークロードを同じアカウントの別サブネットへ配置する
B. 2つのワークロードで異なるIAMロールを使用して権限を分ける
C. ワークロードを別AWSアカウントへ分離してクォータ割り当てを分ける
D. リソースタグを追加してクォータをワークロードごとに分類する
答えと解説
答え：C
サービスクォータはアカウントごとに独立して適用され、クォータによってはリージョン範囲も持ちます。同じアカウントでクォータ競合が問題になっているなら、アカウント分離によってクォータ消費の境界を分けることを評価します。
Q6 — 単一選択注文API、注文ワーカー、注文データベースは1つのビジネスワークロードを構成しており、所有者、セキュリティ要件、ライフサイクル、請求責任も共通している。本番アカウントの分け方として最も適切なのはどれか。
A. 関連する1つのワークロードとして同じ本番アカウントへ配置することを評価する
B. API、ワーカー、データベースをリソースタイプごとに別AWSアカウントへ分離する
C. 各コンポーネントを1リソース1アカウントの単位で別々に分離する
D. 組織全体のデータベースだけを専用AWSアカウントへ一律集約する
答えと解説
答え：A
同じ所有者・セキュリティ要件・ライフサイクル・請求責任を持つ密接に関連したコンポーネントは、1つのワークロード単位として同じ本番アカウントへ配置することを評価できます。リソース数だけで機械的にアカウントを増やす必要はありません。
Q7 — 単一選択アーキテクトが本番と開発を別VPCへ配置したため、「AWSアカウントを分けた場合と同じセキュリティ・請求・管理上の分離を得られた」と説明している。最も適切な評価はどれか。
A. 正しい。VPCを分けると請求境界も自動的に分離される
B. 誤り。同一アカウントの別VPCではネットワーク境界は分けられてもアカウント境界は共有する
C. 誤りだが、セキュリティグループを分ければアカウント境界と完全に同等になる
D. 正しい。別VPCではアカウントレベルサービスクォータも自動的に分離される
答えと解説
答え：B
VPCはネットワーク境界であり、AWSアカウントはセキュリティ / 管理 / 請求などの境界です。別VPCへ分けても同一アカウントにある限りアカウントレベル境界は共有します。
Q8 — 単一選択企業にはワークロード A/B/Cがある。AとBは同じ所有者・セキュリティ要件・ライフサイクルを持ち密接に関連する。Cは別所有者で規制対象データを扱う。また本番と非本番は強く分離する必要がある。最も適切なアカウント戦略はどれか。
A. A/B/Cと全環境を1つのAWSアカウントへ統合してタグで分類する
B. A/B/Cの関連性を考慮せず、すべてのコンポーネントをリソース単位でアカウント分割する
C. A/Bは関連ワークロードとして同じアカウントを評価し、Cと環境は要件に応じて分離する
D. VPCだけをワークロードと環境ごとに分け、AWSアカウントは常に1つへ固定する
答えと解説
答え：C
A/Bは境界要件が共通なので関連ワークロードとして同じアカウントを評価できます。一方、Cは所有者とセキュリティ要件が異なり、本番 / 非本番にも強い分離要件があります。アカウント戦略はリソース数ではなく、必要な分離境界から決めます。