MENU
  1. ホーム
  2. AWS
  3. AWS SAP過去問の代わりに解く練習問題20問【SAP-C03対応】

AWS SAP過去問の代わりに解く練習問題20問【SAP-C03対応】

AWS
当ページのリンクには広告が含まれています。
AWS SAP過去問の代わりに解く練習問題20問【SAP-C03対応】

AWS認定資格「ソリューションアーキテクト – プロフェッショナル（SAP）」の過去問の代わりに解ける、新試験SAP-C03の出題範囲に沿った練習問題20問を解説つきでお伝えさせていただきます。

筆者はAWS認定資格を7つ取得しており、SAPは勉強時間約80時間で合格しました（合格したのは旧バージョンの試験で、認定は現在失効しています）。この記事の20問はすべて筆者オリジナルの問題で、2026年10月に公開されたSAP-C03の試験ガイドにある5つの分野の配分に合わせて作成しています。正解の根拠はすべてAWS公式ドキュメントで確認し、誤答の選択肢がなぜ違うかも1問ずつ解説しています。

先に問題20問をまとめて出し、そのあとに解答と解説を置いています。本番と同じように、まずは解説を見ずに20問続けて解いてみてください。

なお、ここでの「SAP」はAWS認定の「Solutions Architect – Professional」の略称です。SAP社の製品に関する認定資格ではありませんので、ご注意ください。

この記事はこんな方におすすめです！

  • SAA合格後にSAPの勉強を始め、そろそろ問題を解いて実力を確かめたい方
  • SAP-C03で新しく加わった分野（生成AIの組み込み・AIの統制など）がどう問われるのかイメージしたい方
  • 問題集や模擬試験を買う前に、自分が今どのくらい解けるのか無料で試しておきたい方
目次

結論｜AWS SAP（SAP-C03）の過去問代わりになる練習問題20問

最初に結論からお伝えします。AWS SAPには、公式に公開されている過去問はありません。そこでこの記事では、本番と同じ形式（4つの選択肢から1つを選ぶ択一式）の練習問題20問を、正解の理由と誤答の理由がわかる解説つきで用意しました。各問の解説の最後には、根拠にしたAWS公式ドキュメントへのリンクを付けています。

出題の配分は、SAP-C03の試験ガイドにある5分野の比率（25%・25%・15%・15%・20%）に合わせました。SAP-C03で新しく加わった生成AIの組み込み（Amazon Bedrock）やAIの統制（Bedrock Guardrails）も、各1問ずつ含めています。

この記事は、Java Bronze・Silver・Gold、オラクルマスター、AWS SAA・クラウドプラクティショナーに続く問題演習シリーズのAWS SAP版です。

読者の悩み：AWS SAPに過去問が存在しない

なぜ公式の過去問が公開されないのか

AWS認定の受験者が同意するAWS Certification Program Agreementでは、試験の問題などの資料はAWSの機密情報として扱われ、外部に開示することが禁止されています。情報処理技術者試験のように、終わった試験の問題が公式サイトで公開される仕組みはありません。

そのため「SAPの過去問」と書かれた教材があった場合、それは次のどちらかになります。

  • 出題範囲に沿って作られたオリジナルの予想問題を、通称として「過去問」と呼んでいる
  • 受験者が記憶して持ち出した問題を載せている（規約違反にあたります）

この記事の20問も、AWS公式の試験ガイドを踏まえて筆者が作成したオリジナル問題です。本番の問題そのものではありませんので、そこは正直にお伝えしておきます。

なお、AWS公式の試験ページでは、試験形式の問題に慣れる方法として「AWS Certification Official Practice Question Set」での演習が案内されています。提供場所はトレーニングサイトのAWS Skill Builderで、利用条件やSAP-C03への対応状況は変わることがあるため、公式サイトで確認してください。

試験の基本情報（SAP-C03）

項目内容
試験名AWS Certified Solutions Architect – Professional
試験コードSAP-C03（受験登録は2026年10月27日開始。現行のSAP-C02の最終受験日は2026年11月16日）
問題数75問（採点対象65問＋採点対象外10問）
試験時間180分（2026年10月27日時点の公式試験ページの表記）
出題形式択一式（4つの選択肢から正解1つ）と複数選択式（5つ以上の選択肢から正解2つ以上）
合格基準100〜1,000のスケールスコアで720以上
日本語での受験可能（公式試験ページの対象言語に日本語あり）

試験コード・問題数・出題形式・合格基準はSAP-C03の試験ガイド、試験時間・対象言語・日程はAWS公式のSAP試験ページで確認した内容です。日本語版の試験ページではSAP-C02の最終受験日が2026年11月17日と書かれており、英語版の表記（11月16日）と1日ずれています。SAP-C02で受験する予定の方は、早めの日程で申し込んでおくと安心です。

合格基準は、SAP-C02の750から、SAP-C03では720になりました（それぞれSAP-C02の試験ガイドとSAP-C03の試験ガイドの記載）。SAP-C02からSAP-C03で何が変わったかは、こちらで詳しくまとめています。

▼SAP-C02の終了時期とSAP-C03の変更点はこちら▼

AWS SAP-C02はいつ終了？SAP-C03の変更点と対応

AWS SAP 練習問題20問

出題範囲と本記事の問題の対応表

SAP-C03の試験ガイドでは、出題範囲が5つの分野に分かれており、それぞれ採点対象の問題に占める割合が決まっています。本記事の20問も、この割合どおりに配分しました（分野名の日本語は筆者訳です。2026年10月27日時点で、試験ガイドは英語版のみ確認できました）。

分野試験での割合該当する問題番号
クラウド向けアーキテクチャの設計と実装
（Architecture Design and Implementation Built for the Cloud）		25%問1〜5
セキュリティ、コンプライアンス、ガバナンス
（Security, Compliance, and Governance）		25%問6〜10
コストを最適化したアーキテクチャの設計
（Cost-Optimized Architecture Design）		15%問11〜13
回復力、移行、事業継続
（Resilience, Migration, and Business Continuity）		15%問14〜16
運用上の優秀性と自動化
（Operational Excellence and Automation）		20%問17〜20

この20問はすべて択一式（4つの選択肢から正解を1つ選ぶ形式）です。本番では、5つ以上の選択肢から正解を2つ以上選ぶ複数選択式も出題されますので、その形式には問題集や模擬試験で慣れておいてください。

本番は75問・180分なので、1問あたり2分24秒が目安です。20問なら50分ほど時間を確保して、まとめて解いてみてください。本番の問題文はもっと長いことが多いため、この20問は少し余裕をもって解けるはずです。

▼20問を解き終えたら、解答と解説はこちら▼

解答と解説（全20問）へ

問題1〜10

分野1：クラウド向けアーキテクチャの設計と実装

問1. EC2上の受注システムが、注文イベントを非同期で後続処理に渡しています。同じ顧客の注文イベントは必ず発生順に処理し、送信側の再試行によって同じイベントが二重に処理されることも避けたいと考えています。一方で、異なる顧客のイベントは並行して処理し、全体のスループットを確保したいです。最も適切な設計はどれですか。

  1. Amazon SQSのFIFOキューを使い、メッセージグループIDに顧客IDを設定し、重複排除IDを付けて送信する
  2. Amazon SQSの標準キューを使い、可視性タイムアウトを長めに設定する
  3. Amazon SNSの標準トピックで複数のLambda関数にファンアウトし、各関数で処理する
  4. Amazon SQSのFIFOキューを使い、すべてのメッセージに同じメッセージグループIDを設定したうえで、コンシューマーの台数を増やす

問2. オンプレミスのデータセンターとAWSはAWS Direct Connectで接続されています。VPCにはAmazon Route 53のプライベートホストゾーンが関連付けられており、オンプレミスのアプリケーションからこのゾーンのレコード（例：db.internal.example.com）を名前解決できるようにしたいと考えています。最も適切な方法はどれですか。

  1. Route 53 Resolverのアウトバウンドエンドポイントを作成し、転送ルールにオンプレミスのDNSサーバーを指定する
  2. Route 53 Resolverのインバウンドエンドポイントを作成し、オンプレミスのDNSサーバーから該当ドメインの問い合わせをそのエンドポイントへ条件付きで転送する
  3. プライベートホストゾーンをパブリックホストゾーンに作り直し、インターネット経由で名前解決させる
  4. オンプレミスの各端末のhostsファイルに、プライベートホストゾーンのレコードを手作業で登録する

問3. 社内規程や手順書のPDFがAmazon S3に保存されています。社員向けの生成AIチャットを作り、回答はこれらの社内文書の内容に基づかせたいと考えています。文書は毎月追加・更新されます。取り込み・インデックス作成・検索の仕組みを自前で構築・運用する手間を最小にしたい場合、最も適切な方法はどれですか。

  1. 社内文書を学習データにして基盤モデルをファインチューニングし、文書が更新されるたびに学習をやり直す
  2. EC2上にスクリプトを置き、質問のたびにS3の全PDFを読み込んでプロンプトに貼り付けてからモデルを呼び出す
  3. Amazon Bedrock Knowledge BasesでS3をデータソースに設定し、検索拡張生成（RAG）で回答させる
  4. Amazon AthenaでPDFをSQL検索し、ヒットした文書のファイル名を一覧で返す

問4. MySQL互換のデータベースを使うグローバル向けアプリケーションがあります。書き込みは主リージョンで行い、海外の利用者には近くのリージョンから低レイテンシで読み取らせたいと考えています。さらに、主リージョン全体の障害時には別リージョンへ主の役割を移せるようにしたいです。最も適切な構成はどれですか。

  1. Amazon RDS for MySQLのマルチAZ配置を有効にする
  2. Amazon DynamoDBのグローバルテーブルに移行する
  3. 各リージョンに独立したAuroraクラスターを作り、毎晩スナップショットを他リージョンへコピーする
  4. Amazon Aurora Global Databaseを構成し、他のリージョンにセカンダリクラスターを置く

問5. 複数のAWSアカウントに合計50のVPCがあり、VPC同士とオンプレミスのネットワークを相互に接続する必要があります。現在はVPCピアリングを個別に張っていますが、接続数が増えて管理が限界に来ています。運用負荷を最も下げられる構成はどれですか。

  1. AWS Transit Gatewayをハブとして作成し、AWS RAMで他アカウントと共有して各VPCとオンプレミスを接続する
  2. 中央のVPCとだけピアリングを張り、中央VPCを経由して他のVPC同士を通信させる
  3. すべてのVPCから個別にオンプレミスへSite-to-Site VPNを張る
  4. すべての通信をインターネットゲートウェイ経由にし、パブリックIPアドレスで相互に接続する

分野2：セキュリティ、コンプライアンス、ガバナンス

問6. AWS Organizationsで、組織のルートにサービスコントロールポリシー（SCP）をアタッチし、許可したリージョン以外でのリソース作成を拒否しました。ところが、管理アカウント（旧マスターアカウント）のIAMユーザーは、許可していないリージョンでもリソースを作成できてしまいました。この理由として正しいものはどれですか。

  1. SCPは権限を付与するポリシーなので、拒否するには別途IAMポリシーにDenyを書く必要がある
  2. SCPは管理アカウントのユーザーやロールには影響しない
  3. SCPは各アカウントのルートユーザーにだけ適用され、IAMユーザーには適用されない
  4. SCPはOUや組織のルートにはアタッチできず、アカウントに直接アタッチしないと有効にならない

問7. 100のAWSアカウントを持つ企業が、社員のAWSへのサインインを、すでに全社で使っている外部のIDプロバイダー（IdP）に統一したいと考えています。入社・退職や異動に伴うユーザーとグループの変更は、AWS側にも自動で反映させたいです。最も適切な方法はどれですか。

  1. 各アカウントに同じ名前のIAMユーザーを作成し、パスワードを定期的に変更させる
  2. IAM Identity Centerの認証元に外部IdPを設定し、SCIMによる自動プロビジョニングを有効にして、許可セットをアカウントに割り当てる
  3. IdPのユーザー一覧をCSVで出力し、毎週IAM Identity Centerへ手作業で取り込む
  4. 管理アカウントのルートユーザーの認証情報を管理者グループで共有し、必要に応じて各アカウントへスイッチロールする

問8. 多数の企業を顧客に持つ外部の監視サービス事業者に、自社AWSアカウントのリソース情報を読み取らせることになりました。事業者のAWSアカウントから自社アカウントへアクセスさせる際に、「混乱した代理（confused deputy）」問題を防ぐうえで最も適切な方法はどれですか。

  1. 読み取り権限だけを持つIAMユーザーを作り、そのアクセスキーを事業者に渡す
  2. IAMロールの信頼ポリシーのPrincipalに「*」を指定し、誰でも引き受けられるようにする
  3. 管理アカウントのルートユーザーにMFAを設定し、その認証情報を事業者に預ける
  4. 事業者のアカウントを信頼するIAMロールを作成し、信頼ポリシーの条件に事業者から指定された外部IDを設定する

問9. AWS KMSのカスタマーマネージドキーでデータを暗号化しています。セキュリティ基準に合わせて、このキーの自動ローテーションを有効にする予定です。ローテーション後の動作について、正しい説明はどれですか。

  1. KMSは以前のキーマテリアルも保持し、暗号化に使われたキーマテリアルで自動的に復号するため、アプリケーションを変更せずにローテーション前のデータを復号できる
  2. ローテーション後は、以前に暗号化したデータをすべて再暗号化しないと復号できなくなる
  3. ローテーションするとキーIDが変わるため、アプリケーションが参照するキーIDを書き換える必要がある
  4. 自動ローテーションはAWSマネージドキーでのみ利用でき、カスタマーマネージドキーでは有効にできない

問10. Amazon Bedrockを使った生成AIアプリケーションを、社内で複数開発しています。どのアプリでも、利用者の入力とモデルの応答の両方について、有害な内容をブロックし、個人情報（PII）をマスクする統制を一貫して適用したいと考えています。最も適切な方法はどれですか。

  1. 各アプリのシステムプロンプトに「有害な内容や個人情報を出力しないこと」と書いておく
  2. Amazon Bedrock Guardrailsでコンテンツフィルターと機密情報フィルターを設定したガードレールを作成し、各アプリから適用する
  3. AWS CloudTrailで呼び出しを記録し、月に1回ログを目視で確認する
  4. アプリごとに独自の正規表現フィルターを実装し、各チームで個別に保守する

問題11〜20

分野3：コストを最適化したアーキテクチャの設計

問11. ある企業は、EC2・AWS Fargate・AWS Lambdaで毎月ほぼ一定のコンピューティング費用を払っています。今後1年の間に、EC2のインスタンスファミリーの変更や、一部のワークロードの別リージョンへの移動、EC2からFargateへの移行を予定しています。こうした変更の自由度を保ったまま、利用量のコミットによる割引を受けたい場合、最も適切な購入オプションはどれですか。

  1. EC2 Instance Savings Plans
  2. 特定のインスタンスタイプとリージョンを指定したスタンダードリザーブドインスタンス
  3. Compute Savings Plans
  4. すべてのワークロードをスポットインスタンスで実行する

問12. プライベートサブネットのEC2インスタンスが、同じリージョンのAmazon S3バケットと大量のデータをやり取りしています。通信はNATゲートウェイ経由で、NATゲートウェイのデータ処理料金が高額になっています。セキュリティ水準を保ったまま、コストを最も下げられる方法はどれですか。

  1. NATゲートウェイを各アベイラビリティゾーンに追加し、負荷を分散する
  2. インスタンスをパブリックサブネットに移し、パブリックIPアドレスでS3と直接通信させる
  3. S3用のインターフェイスVPCエンドポイントを作成し、そこを経由させる
  4. S3用のゲートウェイVPCエンドポイントを作成し、プライベートサブネットのルートテーブルに関連付ける

問13. データレイクとして使っているAmazon S3バケットに、数百万のオブジェクトがあります。どのデータがいつ読まれるかは予測できず、アクセスされたときはミリ秒単位で読み出せる必要があります。アクセス傾向の分析やライフサイクルルールの見直しといった運用の手間をかけずに、ストレージ料金を下げたい場合、最も適切なストレージクラスはどれですか。

  1. S3 Intelligent-Tiering
  2. S3 Glacier Deep Archive
  3. S3 One Zone-IA
  4. S3 Standardのまま、30日後にS3 Standard-IAへ移すライフサイクルルールを設定する

分野4：回復力、移行、事業継続

問14. 基幹システムの災害対策（DR）を別リージョンに構築します。DRリージョンには、本番環境を縮小した構成でありながら完全に機能するコピーを常時稼働させておき、災害時にはそれをスケールアウトして本番の負荷を受け持たせる方針です。この方式にあたるDR戦略はどれですか。

  1. バックアップと復元
  2. パイロットライト
  3. ウォームスタンバイ
  4. マルチサイトアクティブ/アクティブ

問15. オンプレミスで稼働している数十台のサーバー（OSはさまざま）について、AWSを復旧先とするDRを用意したいと考えています。平常時のコストはできるだけ抑えつつ、データは継続的に複製し、災害時には最新に近い状態のサーバーを数分で起動できるようにしたいです。最も適切な方法はどれですか。

  1. AWS Elastic Disaster Recoveryで各サーバーをAWSへレプリケーションし、災害時や訓練時に復旧用インスタンスを起動する
  2. AWS DataSyncで、毎晩ファイルをAmazon S3へコピーしておく
  3. オンプレミスと同じ台数・同じスペックのEC2インスタンスを常時稼働させ、手作業で設定をそろえておく
  4. 週に1回テープにバックアップを取り、外部の倉庫に保管する

問16. ランサムウェア対策と規制対応のため、Amazon S3に保存したバックアップデータを、一定の保持期間中は誰にも削除・上書きさせないようにする必要があります。AWSアカウントのルートユーザーであっても削除できないことが条件です。最も適切な方法はどれですか。

  1. S3バケットのバージョニングだけを有効にする
  2. S3オブジェクトロックをガバナンスモードで設定し、保持期間を指定する
  3. バケットポリシーで全員のs3:DeleteObjectを拒否する
  4. S3オブジェクトロックをコンプライアンスモードで設定し、保持期間を指定する

分野5：運用上の優秀性と自動化

問17. AWS Organizationsで管理している特定のOU配下のすべてのアカウントに、監査用のIAMロールなどの共通設定をAWS CloudFormationで展開したいと考えています。今後このOUに追加されるアカウントにも、手作業なしで同じ設定を自動で展開したいです。最も適切な方法はどれですか。

  1. アカウントが追加されるたびに、担当者がそのアカウントにサインインしてCloudFormationスタックを作成する
  2. CloudFormation StackSetsをサービスマネージド型のアクセス許可で作成し、対象のOUを指定して自動デプロイを有効にする
  3. 共通設定をまとめたテンプレートを社内Wikiに置き、各アカウントの管理者に適用を依頼する
  4. 担当者のPCから、全アカウント分のスタックを作成するスクリプトを月に1回手動で実行する

問18. AWS Lambda関数の新しいバージョンをAWS CodeDeployでリリースします。最初にトラフィックの10%だけを新しいバージョンへ流して様子を見て、5分後に残りの90%をまとめて切り替えたいと考えています。使用するデプロイ設定として正しいものはどれですか。

  1. LambdaAllAtOnce
  2. LambdaLinear10PercentEvery1Minute
  3. LambdaCanary10Percent5Minutes
  4. エイリアスを使わず、関数のコードを直接上書きして更新する

問19. 数十のAWSアカウントのAmazon CloudWatch Logsに出力されているアプリケーションログを、ログ集約用の中央アカウントにあるAmazon Kinesis Data Streamsへほぼリアルタイムで集め、横断的に分析したいと考えています。最も適切な方法はどれですか。

  1. 各アカウントで毎晩ログをS3へエクスポートし、翌朝に中央アカウントへ手作業でコピーする
  2. 中央の運用チームに各アカウントのIAMユーザーを発行し、コンソールで順番にログを確認させる
  3. 各アカウントのCloudWatchダッシュボードのURLを一覧にまとめ、障害時に1つずつ開いて確認する
  4. 中央アカウントでKinesis Data Streamsを指すCloudWatch Logsの送信先（destination）を作成し、各アカウントのロググループにその送信先へのサブスクリプションフィルターを設定する

問20. Amazon RDSのマスターユーザーのパスワードが、アプリケーションの設定ファイルに平文で書かれていることが監査で指摘されました。パスワードを安全に保管し、定期的なローテーションも自動化したいと考えています。アプリケーションは実行時にパスワードを取得する形に改修できます。最も適切な方法はどれですか。

  1. パスワードをCloudFormationテンプレートのパラメーターの既定値に記載しておく
  2. パスワードをEC2のユーザーデータに記載し、起動時に環境変数へ設定する
  3. RDSとAWS Secrets Managerの統合を使い、マスターユーザーのパスワードをSecrets Managerで管理させる
  4. パスワードを書いたファイルを暗号化してS3に置き、四半期ごとに担当者が手作業で変更する

解答と解説（全20問）

まずは正解の一覧です。答え合わせをしてから、間違えた問題の解説を読んでください。

問題正解問題正解
問1A問11C
問2B問12D
問3C問13A
問4D問14C
問5A問15A
問6B問16D
問7B問17B
問8D問18C
問9A問19D
問10B問20C

問題1〜10の解説

問1の正解：A（Amazon SQSのFIFOキューを使い、メッセージグループIDに顧客IDを設定し、重複排除IDを付けて送信する）　問1を見る

順序の保証と重複の排除が必要なら、SQSのFIFOキューを使います。FIFOキューでは、同じメッセージグループに属するメッセージは1件ずつ厳密な順序で処理され、1つのキューの中に順序付きのグループを複数持てます。顧客IDをメッセージグループIDにすれば、顧客ごとの順序を守りながら、顧客をまたいだ処理は並行させられます。また、重複排除IDを付けておけば、5分間の重複排除間隔内に同じメッセージを再送しても、キューに重複は入りません。Bの標準キューは順序を厳密には保証せず、重複排除の仕組みもありません。Cも順序と重複排除の要件を満たしません。Dは順序こそ守れますが、全メッセージが1つのグループに入るため1件ずつしか処理されず、コンシューマーを増やしても並行処理になりません。

根拠：AWS公式ドキュメント（試験ガイドのスキル 1.1.1）

問2の正解：B（Route 53 Resolverのインバウンドエンドポイントを作成し、オンプレミスのDNSサーバーから該当ドメインの問い合わせをそのエンドポイントへ条件付きで転送する）　問2を見る

向きがポイントです。オンプレミス → AWS の問い合わせを受けるのはインバウンドエンドポイントです。インバウンドエンドポイントを作成すると、VPC内のIPアドレスが用意され、オンプレミスのDNSサーバーからそこへ問い合わせを転送できます。転送された問い合わせはVPC Resolverに届き、関連付けられたプライベートホストゾーンのレコードで応答されます。Aのアウトバウンドエンドポイントは逆向きで、VPC内からの問い合わせをオンプレミスのDNSサーバーへ転送するためのものです。Cは社内向けの名前をインターネットに公開してしまいます。Dは端末やレコードが増えるたびに手作業が発生し、運用として成り立ちません。

根拠：AWS公式ドキュメント（試験ガイドのスキル 1.3.4）

問3の正解：C（Amazon Bedrock Knowledge BasesでS3をデータソースに設定し、検索拡張生成（RAG）で回答させる）　問3を見る

社内文書を根拠に回答させる定番は検索拡張生成（RAG）で、AWSではAmazon Bedrock Knowledge Basesがその仕組みをマネージドで提供します。ナレッジベースは、データソースの取り込み・インデックス作成・保存・検索の基盤をまとめて引き受けるため、利用者はアプリケーション側の処理に集中できます。Aのファインチューニングは文書が更新されるたびに学習し直す必要があり、毎月更新される文書の参照には向きません。Bは文書が増えるほど1回の呼び出しが重くなり、検索の仕組みも自前で抱えることになります。Dは文書を探せても、質問に答える生成AIチャットにはなりません。

根拠：AWS公式ドキュメント（試験ガイドのスキル 1.2.4）

問4の正解：D（Amazon Aurora Global Databaseを構成し、他のリージョンにセカンダリクラスターを置く）　問4を見る

Aurora Global Databaseは、主リージョンのプライマリクラスターの変更を、専用のインフラで他リージョンのセカンダリクラスターへ自動で同期します（レイテンシは通常1秒未満）。セカンダリは読み取り専用として利用でき、リージョンを切り替えるスイッチオーバーとフェイルオーバーの仕組みも用意されています。AのマルチAZ配置は同一リージョン内の別のアベイラビリティゾーンにスタンバイを置く仕組みで、リージョン障害への備えにも、海外からの低レイテンシ読み取りにもなりません。BのDynamoDBはMySQL互換ではないため、要件を満たしません。Cは毎晩のコピーなので、障害時に最大で1日分近いデータを失うおそれがあります。

根拠：AWS公式ドキュメント（試験ガイドのスキル 1.5.4）

問5の正解：A（AWS Transit Gatewayをハブとして作成し、AWS RAMで他アカウントと共有して各VPCとオンプレミスを接続する）　問5を見る

多数のVPCとオンプレミスをまとめてつなぐハブがAWS Transit Gatewayです。Transit GatewayはVPCとオンプレミスのネットワークを相互接続するネットワークの中継ハブで、AWS RAMを使って他のアカウントと共有できます。各VPCをハブに接続するだけで済むため、ピアリングを総当たりで張る必要がなくなります。Bは成り立ちません。VPCピアリングは推移的な（中継する）ピアリング関係をサポートしていないため、中央VPCを経由した通信はできません。CはVPNの数がVPCの数だけ増え、運用負荷は下がりません。Dは社内通信をインターネットに出すことになり、セキュリティ面で論外です。

根拠：AWS公式ドキュメント（試験ガイドのスキル 1.4.1）

問6の正解：B（SCPは管理アカウントのユーザーやロールには影響しない）　問6を見る

SCPは管理アカウントのユーザーやロールには影響しません。SCPが制限するのはメンバーアカウントのIAMユーザーとロール（メンバーアカウントのルートユーザーを含む）です。そのため、管理アカウントではワークロードを動かさず、権限を絞って運用するのが基本になります。Aは逆で、SCPは権限を付与しません。権限の上限を決めるもので、実際の許可はIAMポリシーなどで与えます。Cも誤りで、SCPはアタッチされたアカウントのすべてのユーザーとロールに、ルートユーザーも含めて影響します。DのSCPは組織のルート・OU・アカウントのいずれにもアタッチできます。

根拠：AWS公式ドキュメント（試験ガイドのスキル 2.3.4）

問7の正解：B（IAM Identity Centerの認証元に外部IdPを設定し、SCIMによる自動プロビジョニングを有効にして、許可セットをアカウントに割り当てる）　問7を見る

多数のアカウントへのサインインを外部IdPに統一するなら、IAM Identity Centerを使います。IAM Identity Centerは、外部IdPからユーザーとグループの情報をSCIM（System for Cross-domain Identity Management）v2で自動的に同期（プロビジョニング）できるため、入社・退職・異動の変更を手作業なしで反映できます。どのアカウントでどの権限を使えるかは、許可セットの割り当てで管理します。Aは100アカウント分のIAMユーザーを管理することになり、退職時の削除漏れも起こりやすくなります。Cは手作業のため、反映が最大1週間遅れます。Dのルートユーザーの共有は、最小権限と監査の観点から行ってはいけません。

根拠：AWS公式ドキュメント（試験ガイドのスキル 2.1.1）

問8の正解：D（事業者のアカウントを信頼するIAMロールを作成し、信頼ポリシーの条件に事業者から指定された外部IDを設定する）　問8を見る

第三者にアカウントへのアクセスを許可するときは、IAMロールを作成して事業者のアカウントを信頼させ、信頼ポリシーの条件に外部ID（external ID）を指定します。外部IDは、ロールを引き受けられる相手を指定するための識別子で、主な目的が混乱した代理の問題の防止です。事業者が多くの顧客を抱えている場合、ほかの顧客が自社のロールのARNを指定して事業者にアクセスさせようとしても、外部IDが一致しなければロールを引き受けられません。Aは長期のアクセスキーを外部に渡すことになり、漏えい時の影響が大きくなります。Bは誰でもロールを引き受けられる状態で論外です。Cのルートユーザーの認証情報は、外部に預けてはいけません。

根拠：AWS公式ドキュメント（試験ガイドのスキル 2.1.3）

問9の正解：A（KMSは以前のキーマテリアルも保持し、暗号化に使われたキーマテリアルで自動的に復号するため、アプリケーションを変更せずにローテーション前のデータを復号できる）　問9を見る

KMSキーをローテーションすると、新しい暗号化マテリアル（キーマテリアル）が作られますが、以前のキーマテリアルも使える状態で残ります。ローテーション後のキーで復号するとき、KMSはその暗号文の暗号化に使われたキーマテリアルを自動で選ぶため、アプリケーションやAWSサービス側の変更は不要です。KMSキーのプロパティも変わらないため、Cのようにキーの参照先を書き換える必要はありません。Bのような再暗号化も不要です。Dは誤りです。自動ローテーションやオンデマンドローテーションを利用者が任意に設定できるのは、カスタマーマネージドキーの方です（AWSマネージドキーは、利用者が設定しなくてもKMSが毎年自動でローテーションします）。なお、自動ローテーションを有効にした場合の既定の間隔は1年です。

根拠：AWS公式ドキュメント（試験ガイドのスキル 2.2.1）

問10の正解：B（Amazon Bedrock Guardrailsでコンテンツフィルターと機密情報フィルターを設定したガードレールを作成し、各アプリから適用する）　問10を見る

生成AIの入出力に対するフィルタリングは、Amazon Bedrock Guardrailsで行います。Guardrailsには望ましくない内容を検出してフィルタリングする複数の安全策があり、コンテンツフィルターで有害な内容を、機密情報フィルターで利用者の入力やモデルの応答に含まれる個人情報などをブロックまたはマスクできます。1つのガードレールを複数のアプリで使えば、統制をそろえられます。Aはモデルへの「お願い」にすぎず、確実に守られる統制にはなりません。Cは事後に気付けるだけで、ブロックもマスクもできません。Dはアプリごとに実装と品質がばらつき、「一貫して適用する」という要件に反します。

根拠：AWS公式ドキュメント（試験ガイドのスキル 2.5.1）

問題11〜20の解説

問11の正解：C（Compute Savings Plans）　問11を見る

Compute Savings Plansは、インスタンスファミリー・サイズ・アベイラビリティゾーン・リージョンなどに関係なくEC2の利用に自動で適用され、FargateとLambdaの利用にも適用されます。公式ドキュメントでも、c5からm5への変更、リージョンの移動、EC2からFargateを使うECSへの移行をいつでも行えると説明されています。AのEC2 Instance Savings Plansは、選んだリージョンの特定のインスタンスファミリーへのコミットなので、リージョンの移動やFargateへの移行に対応できません。Bのリザーブドインスタンスも指定した条件に縛られ、Lambdaには使えません。Dのスポットインスタンスは中断されることがあるため、一定量が常に動くワークロードをすべて任せる前提には向きません。

根拠：AWS公式ドキュメント（試験ガイドのスキル 3.1.1）

問12の正解：D（S3用のゲートウェイVPCエンドポイントを作成し、プライベートサブネットのルートテーブルに関連付ける）　問12を見る

NATゲートウェイは、稼働時間に加えて処理したデータ量（GB）に応じて課金されます。S3への通信をNATゲートウェイから外すのが近道で、S3のゲートウェイVPCエンドポイントは追加料金なしで使えます。公式ドキュメントでも、NATゲートウェイを通る通信の多くがゲートウェイエンドポイントやインターフェイスエンドポイントに対応したAWSサービス宛てなら、エンドポイントの作成を検討するよう案内されています。Cのインターフェイスエンドポイントでも通信はNATゲートウェイを通らなくなりますが、インターフェイスエンドポイントは利用料金がかかるため、「最も下げる」ならゲートウェイエンドポイントです。Aは処理するデータ量が変わらないため、料金は下がりません。Bはインスタンスをインターネットから到達できる場所に出すことになり、セキュリティ水準を保てません。

根拠：AWS公式ドキュメント（試験ガイドのスキル 3.2.2）

問13の正解：A（S3 Intelligent-Tiering）　問13を見る

アクセスパターンが不明、または変化するデータに最適なのがS3 Intelligent-Tieringです。少額のモニタリング・自動化料金で、オブジェクトごとにアクセス状況を監視し、30日連続でアクセスのないオブジェクトを自動で低頻度アクセス層へ移します。パフォーマンスへの影響や運用の手間なしに、最もコスト効率のよい層へ移してくれるのが特長です。Bはめったにアクセスしないデータのアーカイブ用で、ミリ秒単位の読み出しが必要なデータには向きません。Cはデータを1つのアベイラビリティゾーンにだけ保存するクラスで、アクセスが読めないという課題の解決にはなりません。Dは30日後に一律でStandard-IAへ移すため、移したあとに頻繁に読まれるようになったデータも、ライフサイクルルールではStandardに戻りません。

根拠：AWS公式ドキュメント（試験ガイドのスキル 3.4.1）

問14の正解：C（ウォームスタンバイ）　問14を見る

「縮小版だが完全に機能するコピーを別リージョンで常時稼働させる」のがウォームスタンバイです。AWSのDRホワイトペーパーでも、ウォームスタンバイは本番環境の縮小版でありながら完全に機能するコピーを別リージョンに置く方式と説明されています。Bのパイロットライトとの違いがよく問われます。パイロットライトは、データベースなどデータの複製に必要なリソースは常時稼働させる一方、アプリケーションサーバーなどはコードと設定を用意したうえで「停止」させておく方式で、そのままでは処理を受けられません。Aのバックアップと復元は、データの損失や破損への備えが中心の方式です。Dのマルチサイトアクティブ/アクティブは、複数のリージョンが同時に本番の処理を受け持つ方式です。

根拠：AWS公式ドキュメント（試験ガイドのスキル 4.2.1）

問15の正解：A（AWS Elastic Disaster Recoveryで各サーバーをAWSへレプリケーションし、災害時や訓練時に復旧用インスタンスを起動する）　問15を見る

AWS Elastic Disaster Recoveryは、オンプレミスやクラウドで動くサーバーを自分のAWSアカウントへレプリケーションするDRサービスです。データは選んだリージョンのステージングエリアへ複製され、このステージングエリアは安価なストレージと最小限のコンピューティングリソースで複製を維持する設計のため、平常時のコストを抑えられます。災害時や訓練時には、最新のサーバー状態または過去の時点を使って、数分で復旧用のインスタンスを起動できます。Bはファイルのコピーで、サーバーそのものをすぐ起動できる状態にはなりません。Cは要件どおりに動きますが、平常時も本番と同じ費用がかかります。Dは復旧に時間がかかり、最大1週間分のデータを失うおそれがあります。

根拠：AWS公式ドキュメント（試験ガイドのスキル 4.2.2）

問16の正解：D（S3オブジェクトロックをコンプライアンスモードで設定し、保持期間を指定する）　問16を見る

ルートユーザーを含めて誰にも削除・上書きさせないなら、S3オブジェクトロックのコンプライアンスモードです。コンプライアンスモードで保護されたオブジェクトのバージョンは、ルートユーザーを含むどのユーザーも上書き・削除できず、保持モードの変更や保持期間の短縮もできません。Bのガバナンスモードとの違いが定番の問われ方です。ガバナンスモードでは、特別な権限を付与されたユーザーなら保持設定を変えたり削除したりできるため、「ルートユーザーでも削除できない」という条件を満たしません。Aのバージョニングは古いバージョンを残せますが、権限のあるユーザーはバージョンを削除できます。Cのバケットポリシーは、権限を持つ管理者がポリシー自体を書き換えられるため、保持を保証できません。

根拠：AWS公式ドキュメント（試験ガイドのスキル 4.3.4）

問17の正解：B（CloudFormation StackSetsをサービスマネージド型のアクセス許可で作成し、対象のOUを指定して自動デプロイを有効にする）　問17を見る

複数アカウント・複数リージョンへの展開にはCloudFormation StackSetsを使います。Organizationsと連携するサービスマネージド型のアクセス許可を使うと、自動デプロイを有効にでき、対象の組織やOUに新しいアカウントが追加されたときに、そのアカウントへ自動でスタックが展開されます。アカウントがOUから外れたときにスタックを削除するか残すかも選べます。A・C・Dはいずれも人の作業に頼るため、展開漏れや遅れが起きます。特にDは、新しいアカウントが最大1か月、共通設定のないまま運用されるおそれがあります。

根拠：AWS公式ドキュメント（試験ガイドのスキル 5.1.4）

問18の正解：C（LambdaCanary10Percent5Minutes）　問18を見る

「最初に一部だけ流し、一定時間後に残りをまとめて切り替える」のがカナリアです。LambdaCanary10Percent5Minutesは、最初の段階でトラフィックの10%を移し、残りの90%を5分後にデプロイします。BのLambdaLinear10PercentEvery1Minuteはリニア（線形）で、すべてのトラフィックが移るまで毎分10%ずつ切り替えるため、要件の切り替え方とは異なります。AのLambdaAllAtOnceは、すべてのトラフィックを一度に新しいバージョンへ移します。Dはトラフィックを段階的に移す仕組み自体がなく、問題があったときにすべての利用者が影響を受けます。

根拠：AWS公式ドキュメント（試験ガイドのスキル 5.2.5）

問19の正解：D（中央アカウントでKinesis Data Streamsを指すCloudWatch Logsの送信先（destination）を作成し、各アカウントのロググループにその送信先へのサブスクリプションフィルターを設定する）　問19を見る

CloudWatch Logsのクロスアカウントのサブスクリプションを使います。ログを受け取る側（中央アカウント）が、Kinesis Data Streamsのストリームを包むCloudWatch Logsの送信先（destination）を作成し、その情報を送信側に共有します。送信側の各アカウントは、ロググループにその送信先を指定したサブスクリプションフィルターを設定します。これで各アカウントのログイベントが中央のストリームへ届き、まとめて処理・分析できます。なお、ロググループと送信先は同じリージョンに置く必要があります。Aは翌日まで分析できず、ほぼリアルタイムという要件を満たしません。B・Cは人がアカウントごとに確認する方法で、集約にも横断分析にもなりません。

根拠：AWS公式ドキュメント（試験ガイドのスキル 5.3.3）

問20の正解：C（RDSとAWS Secrets Managerの統合を使い、マスターユーザーのパスワードをSecrets Managerで管理させる）　問20を見る

RDSはAWS Secrets Managerと統合されており、マスターユーザーのパスワードをSecrets Managerで管理させることができます。この場合、RDSがシークレットの設定を管理し、既定では7日ごとにシークレットをローテーションします（ローテーションのスケジュールなど一部の設定は変更可能）。アプリケーションはSecrets Managerから実行時に取得するため、ローテーションのたびにアプリケーションを変更する必要がありません。A・Bはテンプレートやユーザーデータに平文で残るため、監査の指摘を解消できません。Dは保管こそ暗号化されますが、ローテーションが手作業のままで、自動化の要件を満たしません。

根拠：AWS公式ドキュメント（試験ガイドのスキル 5.1.3）

難易度・学習ロードマップ｜正答数の目安と次にやること

正答数から見る次の一手

SAPの合否はスケールスコア（SAP-C03は720以上で合格）で判定されるため、正答率に単純には換算できません。下の表は、あくまで本記事の20問を使った筆者の目安としてご覧ください。

正答数今の状態次にやること
0〜9問サービスの役割の理解に穴があり、要件から構成を選ぶ段階に進めていないSAAの範囲（VPC・IAM・S3・RDSなど）に戻って基礎を固め直す。いきなりSAPの長文問題を解くより近道です
10〜14問主要サービスは分かるが、似た選択肢（ウォームスタンバイとパイロットライト、ガバナンスモードとコンプライアンスモードなど）の使い分けで迷っている問題集や模擬試験を解き、間違えた問題の「なぜ他の選択肢ではないのか」を説明できるまで繰り返します
15〜20問要件に合う構成を選ぶ判断ができている本番と同じ75問・180分の模擬試験を時間を計って通し、長文を読み切る体力を確認してから受験申込みに進むと安心です

あわせて、間違えた問題の番号を「出題範囲と本記事の問題の対応表」に当てて、どの分野で落としたかを確認してください。たとえば問6〜10で3問以上間違えたなら、セキュリティ・ガバナンス分野（SAP-C03では全体の25%）から復習するのが近道です。

おすすめの学習ステップ

筆者がSAPに合格したときは、WEB問題集を軸に、Udemyの講座と模擬試験形式の演習で補強するやり方でした。SAPは「どのサービスを知っているか」ではなく「要件に対して最適な構成を選べるか」を問う試験なので、インプットを完璧にしてから問題に進むより、問題を解きながら理解を深める方が効率的だと思います。

SAP-C03で新しく加わった内容（生成AIの組み込み、AIの統制、IPv6、耐量子暗号など）は、SAP-C02向けの教材ではカバーされていない可能性があります。教材で手薄な分野は、公式のSAP-C02とSAP-C03の比較ページで追加された項目を確認し、AWS公式ドキュメントで補うのがおすすめです。教材の選び方はこちらにまとめています。

▼AWS SAPの参考書・Udemy講座の比較はこちら▼

AWS SAP 参考書おすすめ比較｜SAA取得者向け教材ガイド【2026年版】

▼AWS SAPの勉強時間と勉強方法はこちら▼

AWS SAPの難易度は？勉強時間80時間で合格した体験談と勉強法

15問以上正解できた方は、模擬試験で一度時間を計って通したうえで、受験を申し込んでしまった方が結果的に早いです。

▼AWS認定試験の申し込み方法はこちら▼

AWS認定試験の申し込み方法｜SAA・CLFの予約手順を画像で解説【2026年版】

▼他の資格のWEB問題集・練習問題はこちら▼

IT資格WEB問題集一覧｜無料で解ける練習問題

よくある質問

この20問だけで合格できますか？

足りません。本番は75問・180分で、5つの分野からまんべんなく出題されます。この20問は「今の実力を測る」「弱い分野を見つける」ための物差しとして使ってください。そのうえで問題集や模擬試験を1つやり込むのが、遠回りに見えていちばん確実です。

SAP-C02向けの問題集や参考書は、SAP-C03でも使えますか？

土台としては使えると思います。公式の比較ページによると、SAP-C02から削除された項目は「アプリケーションのアップグレードパス」「AWSへの委任」「移行ツールのセキュリティ」の3つだけで、ほかの多くは分野をまたいで統合・再分類された形です。一方で、生成AIの組み込みやAIの統制、コンテナ・サーバーレスの設計などの項目が追加されています。SAP-C02の教材で基本を固め、追加された項目は公式ドキュメントで補うのが現実的です（SAP-C02とSAP-C03の比較）。

本番の問題はもっと長いですか？

長いです。SAPでは、会社の状況や複数の要件が数行から十数行にわたって書かれ、「最もコスト効率がよい」「運用の手間が最も少ない」といった条件に合う構成を選ぶ問題が中心です。本記事の20問は、要件の読み取りよりも「似たサービス・方式の使い分け」を確認することを優先して短めにしています。本番の長さに慣れるには、模擬試験形式の問題集が向いています。

SAAを先に取ってからSAPを受けるべきですか？

SAP-C03の試験ガイドでは、想定する受験者として「AWSのサービスを使ってクラウドソリューションを設計・実装した経験が2年以上ある人」が挙げられています。筆者もSAAなどアソシエイト資格を取ってからSAPに挑戦しました。今回の20問で出てくるサービスの役割があいまいな場合は、SAAの範囲から固めた方が結果的に早いと思います。SAAの練習問題も同じ形式で用意しています。

▼AWS SAAの練習問題20問はこちら▼

AWS SAA過去問の代わりに解く練習問題20問【解説つき】

さいごに

AWS SAP（SAP-C03）の練習問題20問と、その解説をお伝えしました。

SAPは、公式の過去問が存在しないうえに、SAP-C03で出題範囲が大きく組み替えられたばかりの試験です。「どの教材の解説を信じるか」で仕上がりが変わるため、この記事では、すべての正解をAWS公式ドキュメントで確認し、誤答がなぜ違うかまで説明することで、暗記ではなく理解で解けるようにすることを意識しました。

SAPは取得すると、設計の判断ができることを示せる資格です。筆者の場合は転職での評価にもつながりました。合格後のキャリアが気になる方は、こちらも参考にしてください。

▼AWS SAPは転職で評価される？実体験はこちら▼

AWS SAPは転職で評価される？年収650→840万円の実体験

▼AWS認定資格全12種の比較・ロードマップはこちら▼

【2026年最新】AWS認定資格全12種を比較｜難易度・レベル別ロードマップ

最後までお読みいただきありがとうございました。

※本記事の情報は2026年10月時点のものです。試験の出題範囲・問題数・合格基準・試験時間やAWSの各サービスの仕様は変更される場合がありますので、最新情報は公式サイトでご確認ください。

AWS
SNSでシェアして頂けると嬉しいです！よろしくお願いします！
  • URLをコピーしました！

コメント

コメントする

目次