ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
AWS Organizations で 25 個のAWSアカウントを管理する企業があります。ガバナンスチームは以下のセキュリティポリシーを全本番アカウントに強制したいと考えています。
・VPC Flow Logsの削除（DeleteFlowLogs API呼び出し）を禁止する
・セキュリティグループへのインバウンドルール追加で送信元CIDRに 0.0.0.0/0 を許可する変更を禁止する
・これらの制御はアカウントの管理者権限を持つIAMユーザーでも回避できないこと
最も効果的な実装方法はどれですか？
AAWS Config マネージドルール（vpc-flow-logs-enabled）とカスタムルールを全アカウントに展開し、非準拠検出時にSNS通知でセキュリティチームに警告する
AWS Configは検出的コントロールであり、非準拠を通知しますが操作自体を事前に防止することはできません。
BAWS Organizations の SCP（Service Control Policy）でDeleteFlowLogsおよびAuthorizeSecurityGroupIngressに対するDenyステートメントを作成し（後者はCIDR条件付き）、本番アカウントを含むOUに適用する
✓ 正解
SCPはOrganizations配下の全IAMエンティティ（アカウント管理者を含む）のアクションを制限する予防的コントロールです。OU単位への適用で本番環境のみへの強制が可能で、個々のアカウント管理者による回避もできません。DeleteFlowLogsの拒否とAuthorizeSecurityGroupIngress（0.0.0.0/0条件付き）の拒否を組み合わせることで要件をすべて満たします。
CAWS IAM Identity Center でPermissions Boundaryポリシーを全アカウントのIAMロールに付与し、対象アクションを制限する
Permissions BoundaryはIAMプリンシパル単位の設定であり、組織全体の全IAMエンティティへの確実な強制にはSCPほど適していません。
DAWS CloudTrail と Amazon EventBridge を連携させ、禁止操作が実行された際にLambda関数を自動起動して設定変更を即座に元に戻す
CloudTrail+Lambdaによる自動修復は事後対応であり、禁止操作が一瞬でも実行・反映されるリスクがあります。予防的なSCPに比べセキュリティ強度が劣ります。
解説
SCPはOrganizations配下の全IAMエンティティ（アカウント管理者を含む）のアクションを制限する予防的コントロールです。OU単位への適用で本番環境のみへの強制が可能で、個々のアカウント管理者による回避もできません。DeleteFlowLogsの拒否とAuthorizeSecurityGroupIngress（0.0.0.0/0条件付き）の拒否を組み合わせることで要件をすべて満たします。
選択肢AのAWS Configは検出的コントロールであり、非準拠を通知しますが操作自体を事前に防止することはできません。
選択肢CのPermissions BoundaryはIAMプリンシパル単位の設定であり、組織全体の全IAMエンティティへの確実な強制にはSCPほど適していません。
選択肢DのCloudTrail+Lambdaによる自動修復は事後対応であり、禁止操作が一瞬でも実行・反映されるリスクがあります。予防的なSCPに比べセキュリティ強度が劣ります。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →