AWS認定セキュリティ専門知識（SCS）は、AWS資格の中でもセキュリティ職・SRE・インフラエンジニアからの需要が高い専門資格です。現行バージョンはSCS-C03で、KMS・IAM・GuardDuty・WAFといった定番サービスの理解が合否を分けます。本記事では、試験ガイド公式のドメイン別配点を整理したうえで、頻出分野の一問一答20問を根拠付きで用意しました。選択肢に頼らず「5秒で答える」想起練習として使えば、シナリオ問題を読み解く土台が一気に固まります。
AWS SCS（SCS-C03）の試験概要とドメイン別配点
まず試験の骨格を押さえます。以下はAWS公式の試験ページおよび試験ガイド（SCS-C03）に基づく情報です。
| 項目 | 内容 |
|---|---|
| 試験コード | SCS-C03（Specialtyカテゴリ） |
| 試験時間・問題数 | 170分・65問（採点対象50問＋採点対象外15問） |
| 出題形式 | 択一選択・複数選択に加え、並べ替え・内容一致の形式が含まれることがある |
| 合格ライン | 100〜1,000の換算スコアで750 |
| 受験料 | 300 USD（ピアソンVUEテストセンターまたはオンライン監督付き） |
| 対応言語・有効期間 | 日本語あり／認定は3年間有効 |
ドメイン別配点は次のとおりです。IAM（20%）とインフラ・データ保護（各18%）で過半を占めるため、この3分野を厚く対策するのが定石です。
SCSはシナリオ問題が中心ですが、シナリオを読み解く速度は「サービス名と役割が即答できるか」でほぼ決まります。選択肢の消去法に入る前に、KMS・GuardDuty・SCPといった部品の機能を想起練習で固めておくと、170分・65問でも時間が余ります。
AWS SCS頻出分野の一問一答20問（KMS・IAM・GuardDuty・WAF）
四択ではなく一問一答です。答えを見る前に、必ず自分の言葉で5秒以内に答えてください。各問に「なぜその答えになるか」の根拠を付けています。
検出（GuardDuty・Detective）
Q1．複数アカウントのGuardDuty検出結果を組織全体で一元管理する方法は？
A．Organizationsで委任管理者アカウントを指定し、メンバーアカウントを統合する。アカウントごとの個別管理は漏れが出るため、組織一括有効化＋委任管理が定石です。
Q2．GuardDutyが基盤として分析する3つのデータソースは？
A．CloudTrailイベント・VPCフローログ・DNSログ。エージェント導入不要でこれらを機械学習・脅威インテリジェンスで分析します。「導入の手間なく脅威検知」ときたらGuardDutyです。
Q3．漏えいしたアクセスキーによる不正API呼び出しの影響範囲を、グラフ形式で根本原因分析するサービスは？
A．Amazon Detective。GuardDutyの検出結果から遷移して、関連するリソース・IP・API履歴を時系列で深掘りできます。「検知」がGuardDuty、「調査」がDetectiveという役割分担です。
ログとインシデント対応（CloudTrail）
Q4．CloudTrailログが改ざんされていないことを証明する機能は？
A．ログファイル整合性検証（ダイジェストファイル）。ハッシュ値の連鎖で改ざんを検出でき、監査対応で「ログの証拠能力」を問われたらこれが答えです。
Q5．EC2インスタンスの侵害が疑われるときの初動対応は？
A．隔離用セキュリティグループへ付け替えてネットワーク隔離し、EBSスナップショットで証拠保全する。いきなり終了（terminate）すると証拠が消えるためNG。フォレンジックは隔離→保全→分析の順です。
インフラのセキュリティ（WAF・Shield・VPC）
Q6．ALB配下のWebアプリをSQLインジェクションなどL7攻撃から守るサービスは？
A．AWS WAF。マネージドルールをALB・CloudFront・API Gatewayなどにアタッチします。L7（アプリ層）の攻撃パターン名が出たらWAFを疑います。
Q7．DDoS対策で、専任チーム（SRT）の支援やコスト保護まで必要な場合に選ぶのは？
A．AWS Shield Advanced。Shield Standardは全ユーザーに自動適用のL3/L4防御のみ。「SRT」「DDoSによるコスト増の補償」が要件に入ったらAdvanced一択です。
Q8．VPC内のEC2からインターネットを経由せずS3へアクセスする構成は？
A．ゲートウェイ型VPCエンドポイント。S3とDynamoDBはゲートウェイ型（無料）、その他サービスはインターフェイス型（PrivateLink）という使い分けが頻出です。エンドポイントポリシーでアクセス先も絞れます。
Q9．SSHの22番ポートを開けずにEC2を管理する方法は？
A．Systems Manager Session Manager。インバウンド開放が不要になり、操作はIAMで制御、セッションログはS3やCloudWatch Logsに残せます。「踏み台廃止」「操作証跡」がキーワードです。
IAM（配点最大の20%）
Q10．同一リクエストに明示的Allowと明示的Denyが両方マッチしたら結果は？
A．明示的Denyが常に優先。評価論理は「暗黙のDeny→明示的Allowで許可→明示的Denyがあれば必ず拒否」。SCPやリソースポリシーが絡む問題もこの原則で解けます。
Q11．Permissions boundary（アクセス許可の境界）の役割は？
A．IAMユーザー／ロールが持てる権限の上限を定めるガードレール。それ自体は権限を付与しません。「開発者に自由にロールを作らせたいが権限の上限は縛りたい」という設問の答えです。
Q12．クロスアカウントアクセスの推奨方式と、混乱した代理（confused deputy）問題への対策は？
A．IAMロール＋sts:AssumeRole、対策はExternal ID。アクセスキーの共有は禁じ手です。サードパーティに引き受けを許可する場合はExternal IDを信頼ポリシーの条件に入れます。
Q13．Allowポリシーがあるのに S3 バケットへアクセスできない場合、確認すべき箇所は？
A．SCP・バケットポリシーの明示的Deny・ブロックパブリックアクセス・Permissions boundary・VPCエンドポイントポリシー。「どこかに1つでもDenyがあれば負け」なので、評価に関与する全レイヤーを疑うのがSCS流です。
データ保護（KMS・Secrets Manager）
Q14．KMSのエンベロープ暗号化とは？
A．データ本体はデータキーで暗号化し、そのデータキーをKMSキーで暗号化する二段構え。大容量データをKMSに直接渡さずに済み、復号時はまず暗号化データキーをKMSで復号します。SCSで最頻出級の概念です。
Q15．KMSカスタマーマネージドキーの自動ローテーションを有効化すると何が起きる？
A．既定で1年ごとにキーマテリアルが更新され、旧バージョンも保持されるため過去データはそのまま復号できる。「ローテーションしたら古いデータが読めなくなる」は誤りです。
Q16．S3の保管時暗号化、現在の既定動作は？
A．全バケットでSSE-S3（AES-256）が既定で有効。キー利用の監査証跡（CloudTrailに残るKMS API履歴）や独自のキー管理が要件ならSSE-KMSを選びます。
Q17．RDSのDB認証情報を自動ローテーションしたい。使うサービスは？
A．Secrets Manager。Parameter Storeとの比較が定番で、「自動ローテーション機能の有無」が決め手です。ローテーションが要件にあればSecrets Manager、静的な設定値ならParameter Storeです。
セキュリティ基盤とガバナンス（Organizations・Config）
Q18．組織全体で特定リージョンの利用を禁止する方法は？
A．Organizations の SCP で aws:RequestedRegion を条件にDenyする。SCPは「組織のガードレール」で、rootユーザーにも効きます（管理アカウント自身には効かない点も頻出）。
Q19．リソース設定が社内基準に準拠し続けているかを継続監査し、逸脱時に自動修復するには？
A．AWS Config ルール＋SSM Automationによる自動修復。「継続的なコンプライアンス監査」はConfig、「ある時点の脅威検知」はGuardDutyと切り分けます。
Q20．複数アカウントのGuardDuty・Inspector・Macieなどの検出結果を集約し、ベストプラクティス基準でチェックするサービスは？
A．AWS Security Hub。各サービスの検出結果を標準フォーマットで集約し、AWS基礎セキュリティベストプラクティスやCISベンチマークとの準拠状況をスコア化します。「集約・標準チェック」が合図です。
AWS SCS合格までの学習ロードマップ3ステップ
SCSは暗記だけでは受かりませんが、暗記なしでも受かりません。順番を間違えないことが重要です。
1用語と役割を先に固める（最初の2〜3週間）
上の一問一答とSCSドリル（74語・無料）で、サービス名→役割を5秒で答えられる状態にします。忘却曲線に逆らわず、短時間×高頻度の反復回数で回すのがコツです。
2公式試験ガイドをドメイン順に体系化する
AWS公式の試験ガイド（SCS-C03）とSkill Builderの対策プランで、6ドメインのタスクステートメントを一巡します。配点の大きいIAM・インフラ・データ保護から着手すると効率的です。
3シナリオ演習で「消去の根拠」を言語化する
公式のOfficial Practice Question SetやPretestで本番形式に慣れます。正解を当てるだけでなく、誤答の選択肢を「なぜ違うか」まで説明できたら仕上がりです。並べ替え・内容一致の新形式にも触れておきます。
AWS SCS対策でやりがちなNGパターン3つ
NG①：一問一答の丸暗記だけで受験する
SCSの本番は複数サービスを組み合わせるシナリオ問題です。用語暗記は土台であって完成形ではありません。ステップ3の演習を必ず挟んでください。
NG②：SAAレベルの基礎を飛ばしていきなり挑む
公式FAQでも、受験者の多くはSAA（ソリューションアーキテクト アソシエイト）取得後にSCSへ進むとされています。VPC・IAMの基礎が曖昧なままだと問題文自体が読めません。
NG③：旧バージョン（SCS-C02）前提の情報だけで対策する
現行はSCS-C03で、並べ替え・内容一致といった出題形式が加わっています。教材が古い場合は、必ず最新の公式試験ガイドでドメイン構成と形式を確認してください。
AWS SCSのよくある質問（受験順・旧教材・有効期限）
前提資格は不要ですが、公式FAQでは受験者は通常SAAまたはSAP取得後にSCSを受けるとされています。すでにAWS認定を1つ持っていれば、次の試験が50%割引になる特典も使えます。
KMSやIAMなど中核サービスの原理は共通なので無駄にはなりません。ただし出題形式・ドメイン構成はC03で更新されているため、骨格は必ず現行の試験ガイドに合わせ、教材は補助として使ってください。
3年間有効です。期限前に最新バージョンの試験に合格すれば再認定されます。3年後の再認定でも一問一答での想起練習は使い回せるので、覚えた資産は無駄になりません。
まとめ｜AWS SCSは一問一答での想起練習から
- 現行試験はSCS-C03。170分・65問・合格ライン750で、配点はIAM 20%・インフラ／データ保護 各18%が中心
- KMS・IAM・GuardDuty・WAFの「サービス名→役割」を一問一答で即答できる状態が、シナリオ問題読解の土台になる
- 順序は「用語暗記→公式ガイドで体系化→シナリオ演習」。旧C02前提の情報だけに頼らない
関連記事：AWS認定資格のロードマップ／IT資格の暗記対策はIT資格ドリルハブにまとめています。
PR｜本セクションにはアフィリエイトリンク（Udemy）を含みます。
SCSの演習量を増やす
一問一答で知識の穴が見えたら、模擬試験の本数が多い講座で本番形式の演習に移ります。SCSは長文シナリオの読解量が合否を分けます。
AWS SCS 対策講座AWS SAA（前提の復習）
