ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は AWS Organizations で多数のアカウントを運用しており、各アカウントにはインターネット向けの Application Load Balancer が存在する。セキュリティチームは、すべての ALB に共通の AWS WAF Web ACL（マネージドルールグループを含む）が必ず関連付けられている状態を組織全体で強制したい。新規に作成されたアカウントや ALB にも自動で保護が適用され、保護が外された場合は自動修復される必要がある。最小の運用負荷でこれを実現する構成はどれか。
AAWS Firewall Manager で WAF タイプのポリシーを作成し、対象を全アカウントのインターネット向け ALB に指定してマネージドルールグループを含む Web ACL を定義し、自動修復を有効化して Organizations 統合で新規リソースにも適用する
✓ 正解
Firewall Manager は Organizations 統合で WAF ポリシーを組織横断適用し、自動修復により逸脱を継続是正、新規アカウント・新規 ALB にも自動で Web ACL を関連付ける。集中管理と継続強制を最小運用負荷で実現し要件に唯一適合する。
BAWS Config のマネージドルールで ALB の Web ACL 関連付けを評価し、非準拠時に Systems Manager Automation で各アカウントへ Web ACL を作成・関連付ける修復アクションを全アカウントに個別展開する
Config は Web ACL 関連付けの非準拠検出はできるが、Web ACL の集中的な作成・関連付けを組織横断で管理しない。修復を各アカウントへ個別に構築・維持する必要があり運用負荷が大きく、最小負荷の要件に反する。
CSCP を作成し、AWS WAF の Web ACL が関連付けられていない ALB の作成 API 呼び出しを組織全体で拒否することで、未保護の ALB が存在しない状態を強制する
SCP は API 呼び出しを予防的に拒否する仕組みで、ALB と Web ACL の関連付け状態をリソース単位で評価できない。WAF 保護そのものを適用・修復する機能を持たないため、求める強制と自動修復を実現できない。
DCloudFormation StackSets で各アカウントに共通の Web ACL とマネージドルールグループをデプロイし、デプロイ時点で存在する ALB に関連付ける構成を全 OU に展開する
StackSets はデプロイ実行時点のリソースへ適用するのみで、その後に作成される ALB への自動保護や、関連付けが外れた際の継続的な自動修復を行えない。新規リソースへの追従要件を満たせないため不適切。
解説
AWS Firewall Manager は Organizations と統合し、WAF タイプのポリシーで対象リソース（インターネット向け ALB など）に共通の Web ACL を組織横断で自動的に関連付ける。自動修復を有効化すると未保護や逸脱を継続的に検出して是正し、新規アカウントや新規 ALB にも自動で保護が適用されるため、最小の運用負荷で恒常的な強制が可能である。
選択肢2の AWS Config は非準拠を検出できるが、Web ACL の組織横断的な集中管理を行わず、修復を各アカウントへ個別展開する運用負荷が大きい。
選択肢3の SCP は API を予防的に拒否するのみで、リソース単位の WAF 関連付け状態を評価できず、保護そのものを適用・修復できない。
選択肢4の StackSets はデプロイ時点のリソースに適用するだけで、後から作成される ALB の継続的な自動保護や逸脱の自動修復を行えない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →