AWS SAAの試験対策で間違えたところ一覧（自分用メモ

Storage Gatewayはマネージドサービスのため、初期設定と運用コストを抑えられる。
EFSは複数のEC2にマウントしファイル共有できるが、オンプレミスにマウントできない。


複数のリージョンにまたがるシステムを低遅延・高可用性でするにはAWS Global Acceleratorを使う。別リージョンで実行されるEC2インスタンスの数が増えても環境を変えることなくバックエンドでトラフィックを最適化し、利用可能なエンドポイントに自動的に再ルーティングしてくれる。
ELBやEC2などのエンドポイントの前段に配置することで、エンドポイントへのレイテンシーを低く抑えるためのサービス。
※似た様な「クロスゾーン負荷分散」は複数のAZにまたがって登録されたEC2インスタンスに均等に負荷分散するサービス。
※ALBとNLBではNLBの方が通信遅延を抑え秒単位で大量のリクエストを処理できる。かつスパイク不可にも対応できるよう最適化されている。しかし、リージョン間の負荷分散を最適にするものではない。


別のAWSアカウントからアクセスするようにするには、IAMロールを使用し、クロスアカウントアクセスを設定することが推奨されている。
IAMロールには、最小権限の原則に従いアクセス許可ポリシーを設定する。
クロスアカウントにはIAMロールの信頼ポリシーを利用し、特定のアカウントからのAssumeロールを許可する。どのAWSアカウントからアクセスできるかは信頼ポリシー内のConditionとして外部IDを指定することで制御できる。



標準取り出しなどはGlacierでできる。Deep Archiveでは迅速オプションはない。
Deep Archiveの標準オプションは１２時間以内で取り出しできる。


いつでも開始・終了できるバッヂ処理はステートレスに構成されている。
スポットインスタンスとLambdaが候補になるが、スポットインスタンスはAWSに強制終了される可能性があるが、クラウド内に余っているEC2を低価格で利用できる。Lambdaは処理が稼働した分だけ課金される。待ち時間は課金対象にならないため、Ec2と比べると費用対効果が高い。



専用のインスタンステンシーはハードウェア専有インスタンスとも呼ばれ、物理的に１台のハードウェアを占有できる。
専有ホストはホストの指定ができる。
・パーディションプレイスメントグループはHDFSのような大規模分散処理のユースケースで有用



ライフサイクルフックはオートスケーリンググループのインスタンス起動時・削除時にカスタムアクションを実行する機能



AWS SSOは「会社内 (組織内) のユーザー認証・認可で用いる」一方、Cognitoは「不特定多数の一般ユーザーの認証・認可」を行うことができるサービス



アクセス先のサブドメインにごとにルーティングできるのはALBが最適。NLBではドメインごとのルーティングはできない。
※AWS Batchはバッヂ処理に利用するサービス




AWS Organaizations のOUのサービスコントロールポリシーではサービス単位の利用可否は設定可能だが、サービス内の特定操作（インスタンス作成など）の利用可否は設定できないのでIAMユーザーに必要な設定を許可する必要がある



Lambdaは複数のAZで実行される（高可用性が担保）。
Auto Scatingよりコストが安くなる。



マイクロサービスはEKSやLambdaが適している。また、ユーザーデータなどマスターデータはRDSよりKeyValue型のDynamoDBを使用した方が低レイテンシーでのアクセスが可能になり、一時的なトラフィック増加にも低コストで対応できる・
※JSON形式のユーザーデータはKeyValue Storeと相性がよく、RDSよりDynamoDBのほうが最小のコストで低レイテンシーでアクセスできる



S3はEBSと比べてファイルの読み書き性能が劣るため複数のサムネイルを短時間で描画するには不向きだが、ダウンロードのみで使用するにはS3が適切。
※S3 glacierはファイルの直接参照はできない。また、ファイル取り出しまで数時間かかる



WAFはAWSサービスに転送されるHTTP(S)リクエストをモニタリングできるWebアプリケーションファイアーウォール。
※WAFに対応しているLBはALBのみ。



Lightsailは事前に設定されたOSのイメージを用いて、よく使われるWebアプリケーションが稼働する仮想マシンを簡単に作成できるサービス。LAMP、Nginx、Wordpressなど多数のサービスのアプリケーションを選択できる。
アプリケーションやWebサイトの構築に必要なすべてのものを構築する際、数回クリックするだけでWebアプリケーションをデプロイできる。シンプルなWebサイトを簡単に構築するには有用なサービスだが、世界中にサイトを配信するのには向いていない



Lambda等を使用して一連の処理ステップワークフローを記述し、実行できるのはStep Functionsサービスです。S3へのファイル格納やCloudWatchイベントをトリガーとしてバッヂ処理のステップを起動し、ステップごとに定義したLambda関数をコールして処理できる。
※StepFunctionsはワークフローに承認プロセスを設定できる。標準ワークフローは最長1年実行することができる。



Auto Ccalingはスケーリング戦略を設定することができ、予測スケーリングを有効にすると、最大14日の負荷状況の履歴を機械学習で自動分析し、需要予測に応じたスケーリングが実行される。
これにより、毎週特定日にバッヂ処理量が増えたことを検知するとバッヂ処理意↑なに合わせたスケーリングアクションが実行され負荷が軽減するとスケールインする。コスト効率がよい構成を実現できる



ネットワークACLで特定の不正アドレスからの拒否ルールを設定できる。追加された拒否ルールはサブネットないの全サーバーに適用される。拒否ルールにマッチしないアドレスからのアクセスは引き続き受け付ける



パブリックに公開するWebサービスを外部からのアクセス許可するには、パブリックサブネットに配置したLBで受け付ける。
ALBはリスナールールを設定することでURLに応じたリクエストの振り分けが可能。NLBはLBの設定だけではURLに応じたリクエストをターゲットに振り分けることができない。



Storage Gatewayのテープゲートウェイを利用するとGlacier Deep Archiveに直接接続できる。効率がいい
Snowball EdgeはS3 Glacierに直接接続できない




DataSyncはエージェント型のデータ転送マネージドサービス。
AWASのストレージサービスとして、S3、EFS,FSx for Windowsをサポート。
AWSとオンプレミスを接続し、初期転送の後に継続的に差分を転送させることができるため、最低限の設定でファイル転送を実施し双方にファイルを保持できる。



インスタンスストアとRAID０を組み合わせて複数のでぃすくへ書き込みが可能、パフォーマンス向上。


AWS WAFのWeb ACL機能により、国単位のアクセス制限をおこなうことができる
リクエスト元のGeoIPでアクセス元の国を特定してその国地域からのアクセスを許可または拒否するフィルタリングルールを」作成できる


WAFに対応しているサービスはCloudFront、Amazon API Gateway、ALB、Apsync GraphQL API


VPCのネットワークファイアーウォールを利用し、許可されたドメイン以外の通信をブロックすることができる。セキュリティグループやネットワークACLはIPアドレスでの通信制御は可能だが、ドメインでの制御はできない。