ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は、AWS Organizations で 40 以上のAWSアカウントを管理しています。ネットワークチームは以下の課題を抱えています。
・オンプレミスデータセンターのIPアドレス範囲（30以上のCIDRブロック）をAWS側のセキュリティグループで参照している
・IPアドレス範囲は月に数回変更が発生し、その都度すべてのアカウントのセキュリティグループを手動で更新している
・更新漏れによるセキュリティインシデントが過去に発生している
・すべてのアカウントに一貫したIPアドレス範囲の定義を即座に反映したい
この課題を解決する最も効率的な方法はどれですか？
AAWS Config のカスタムルールでセキュリティグループのCIDRを定期的に検証し、非準拠のリソースを Systems Manager Automation ドキュメントで自動修復する
AWS Config + Systems Manager Automation は検出と修復には有効ですが、「変更を即座に全体に反映する」仕組みではなく、定期的な評価サイクルに依存するためリアルタイム性に劣ります。
BAWS Systems Manager Parameter Store にCIDRリストを保存し、EventBridge Scheduler で定期的に Lambda 関数を実行して全アカウントのセキュリティグループを更新する
Parameter Store + Lambda は機能的には実現できますが、Lambda による全アカウントのセキュリティグループ更新は実装・メンテナンスが複雑で、更新のタイムラグや失敗時のリトライ処理なども必要になります。
CAWS Firewall Manager のセキュリティグループポリシーでIPアドレスルールセットを定義し、組織全体のセキュリティグループに一元的に適用する
AWS Firewall Manager はセキュリティグループの特定ルールを組織全体に適用・監査できますが、頻繁に変化するCIDRリストの管理においてはプレフィックスリスト+RAMほどシンプルで即時性が高くありません。
Dカスタマーマネージドプレフィックスリストを中央ネットワークアカウントで管理し、AWS RAMで各アカウントに共有して各セキュリティグループで参照する
✓ 正解
カスタマーマネージドプレフィックスリストは複数のCIDRブロックをグループ化して名前で管理できる機能です。AWS RAMで組織の各アカウントに共有すると、各アカウントのセキュリティグループがそのプレフィックスリストを直接参照できます。プレフィックスリストのCIDRを更新すると参照しているすべてのセキュリティグループに即座に反映されるため、手動更新と更新漏れを根本的に解消できます。
解説
カスタマーマネージドプレフィックスリストは複数のCIDRブロックをグループ化して名前で管理できる機能です。AWS RAMで組織の各アカウントに共有すると、各アカウントのセキュリティグループがそのプレフィックスリストを直接参照できます。プレフィックスリストのCIDRを更新すると参照しているすべてのセキュリティグループに即座に反映されるため、手動更新と更新漏れを根本的に解消できます。
選択肢AのAWS Config + Systems Manager Automation は検出と修復には有効ですが、「変更を即座に全体に反映する」仕組みではなく、定期的な評価サイクルに依存するためリアルタイム性に劣ります。
選択肢BのParameter Store + Lambda は機能的には実現できますが、Lambda による全アカウントのセキュリティグループ更新は実装・メンテナンスが複雑で、更新のタイムラグや失敗時のリトライ処理なども必要になります。
選択肢CのAWS Firewall Manager はセキュリティグループの特定ルールを組織全体に適用・監査できますが、頻繁に変化するCIDRリストの管理においてはプレフィックスリスト+RAMほどシンプルで即時性が高くありません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →