Q1 — 単一選択大規模移行の最初のウェーブを開始する予定です。移行先アカウントは作成済みですが、どのOUへ配置するか、どのIAM権限・ログ・セキュリティ統制を適用するかが未確定です。
最も適切な対応はどれですか。
A. 移行を開始し、カットオーバー後にランディングゾーンの統制を決める
B. 移行前にランディングゾーンと対象アカウントの統制を確定・検証する
C. すべてのワークロードを管理アカウントへ移して統制設計を省略する
D. 移行ツールが動作すればガバナンス設計は不要と判断する
答えと解説
答え：B
移行先のアカウント、OU、IAM、ログ、セキュリティ統制は移行開始前に確定・検証します。ガバナンスをカットオーバー後に追加する前提にはしません。
Q2 — 単一選択企業では移行先のアカウント戦略とOU構成がすでに確定しています。次の移行ウェーブに含まれる200台のサーバーについて、移行担当者ごとに異なる移行先アカウントが指定されていることが判明しました。
最も適切な対応はどれですか。
A. 作業者が選んだアカウントへ移行し、完了後に正しいアカウントへ移動する
B. すべて共通の一時アカウントへ移行し、アカウント構造との対応付けを省略する
C. 移行ポートフォリオで各ワークロードと所定の移行先アカウント・OUを確定してから開始する
D. 移行先アカウントは移行ツールに自動選択させ、組織側では管理しない
答えと解説
答え：C
移行時にアカウント戦略そのものを再設計するのではなく、既存方針に基づいて各ワークロードと移行先アカウント・OUの対応関係を確定します。
Q3 — 単一選択既存のAWS OrganizationsとAWS Control Towerランディングゾーンがあります。次の移行ウェーブ用アカウントへ厳格な制御を適用したところ、移行ツールが必要とする一部アクションも制限されました。
最も適切な対応はどれですか。
A. 移行ツール用に組織の制御を恒久的にすべて解除する
B. 対象アカウントを管理アカウントへ移して制御を回避する
C. 本番移行前に対象OUの統制下で移行手順を検証し、必要な例外だけを管理する
D. 制御の影響確認を行わず、カットオーバー時に初めて実行する
答えと解説
答え：C
移行ツールと組織統制の競合は本番移行前に確認します。必要な場合も統制全体を解除するのではなく、必要な対象・操作・期間へ限定した例外として管理します。
Q4 — 単一選択中央の移行チームが25個の移行先AWSアカウントで作業します。移行サービス自身にもAWS APIを実行する権限が必要です。監査では、人による操作とサービスによる操作を区別できる必要があります。
最も適切な設計はどれですか。
A. 全アカウントで共通の管理者IAMユーザーを作成し、人と移行サービスで共有する
B. 各対象アカウントに移行作業用IAMロールを用意し、サービス用IAMロールとは分離する
C. 移行サービスのサービスロールを移行担当者も直接使用し、権限管理を一本化する
D. 管理アカウントの1つのIAMロールへ全権限を集約し、対象アカウント側にはロールを用意しない
答えと解説
答え：B
移行担当者が引き受ける作業用IAMロールと、移行サービスが使用するサービス用IAMロールを分離します。これにより、人とサービスの操作経路を区別して監査できます。
Q5 — 複数選択：3つ選択AWS Transform MGNを使用してサーバーをリホストします。移行ツールのセキュリティとして適切なものを3つ選択してください。
A. AWS Replication Agentからレプリケーションサーバーへの通信をTLS 1.2で保護する
B. レプリケーションサーバーのAmazon EBS暗号化を利用する
C. レプリケーションサーバーへの接続元をセキュリティグループなどで必要範囲に絞る
D. 移行専用アクセスキーは移行完了後も恒久的に残す
E. レプリケーションサーバーを常に全送信元からインターネット公開する
F. 暗号化を有効にするとIAM権限の確認は不要になる
答えと解説
答え：A / B / C
AWS Transform MGNではレプリケーショントラフィックをTLS 1.2で保護し、Amazon EBS暗号化やレプリケーションサーバーの公開範囲制限も行います。不要な移行専用認証情報は残しません。
Q6 — 複数選択：4つ選択AWS DMSとAWS DataSyncを利用する移行のセキュリティについて、正しいものを4つ選択してください。
A. AWS DMSでは対応する接続でSSL/TLSを使用して移行元・移行先との通信を保護できる
B. AWS DMSでは対応するエンドポイント認証情報をAWS Secrets Managerで管理できる
C. AWS DMSでは中間レプリケーションストレージや接続情報の暗号化にAWS KMSを利用できる
D. AWS DataSyncでは転送中のストレージデータを暗号化して扱う
E. AWS DataSyncが移行先ストレージの保管中暗号化を必ず一律管理する
F. AWS DMSのデータベース認証にはIAMの長期アクセスキーだけを使用できる
答えと解説
答え：A / B / C / D
AWS DMSではSSL/TLS、AWS KMS、対応エンドポイントでAWS Secrets Managerを利用できます。AWS DataSyncは転送中のデータを保護しますが、移行先ストレージ側の保護設定も別途確認します。
Q7 — 単一選択企業は20の移行ウェーブを並行して進めています。技術的な移行手順は定義されていますが、セキュリティ例外を誰が承認するか、重大な問題を誰へエスカレーションするか、カットオーバーの最終判断を誰が行うかが不明確です。
最も適切な対応はどれですか。
A. 各エンジニアが状況に応じて独自に承認・エスカレーション先を決める
B. RACI、承認者、エスカレーション経路、判断ゲートを含む移行ガバナンスモデルを定義する
C. AWS Control Towerを有効化すれば人による承認や責任分担の定義は不要になる
D. すべての判断をカットオーバー完了後の事後レビューで実施する
答えと解説
答え：B
移行ガバナンスモデルでは技術的なAWS統制だけでなく、責任分担、承認、エスカレーション、リスク・課題管理、カットオーバーの判断経路も定義します。
Q8 — 単一選択移行計画ではAWS Transform MGN、AWS DMS、AWS DataSyncを利用する予定です。社内規程では新しい移行ツールをセキュリティ部門が承認する必要があります。
最も適切な進め方はどれですか。
A. 移行開始後に実績を集め、カットオーバー直前にまとめて承認を受ける
B. ツールごとの権限・認証情報・暗号化・通信要件を整理し、移行開始前に承認する
C. AWSサービスであれば社内のセキュリティ審査を自動的に省略できる
D. 移行ツールの審査は不要とし、移行先アプリケーションだけを承認対象にする
答えと解説
答え：B
組織で事前承認が必要なら、利用予定の移行ツールとその権限、認証情報、通信、暗号化などを移行開始前に確認します。
Q9 — 単一選択企業は複数の移行ウェーブを並行して実行しています。第12移行ウェーブではAWS Transform MGNに必要なAPI操作のため、一時的な統制例外が承認されました。監査担当者は、その例外がどの移行に属し、誰が承認し、いつ終了すべきかを後から追跡できるようにしたいと考えています。
最も適切な方法はどれですか。
A. 例外が必要になった時点で担当者同士の口頭合意だけを残す
B. 対象ウェーブ、所有者、承認者、期限、終了証跡を例外記録として管理する
C. 一度承認された例外はすべての後続ウェーブでも同じ条件で再利用する
D. 例外の終了条件は定義せず、問題が発生した場合だけ事後確認する
答えと解説
答え：B
移行時のガバナンス例外は、対象ウェーブ、所有者、承認者、有効期限や終了条件、終了確認の証跡を追跡できる形で管理します。