無限ノック › DOP 練習問題一覧 › 問題DOP セキュリティとコンプライアンス
大規模エンタープライズがAWS Organizationsで複数の事業部門向けにAWSアカウントをプロビジョニングしています。各新規アカウントには以下の要件があります：
①組織トレイルへのCloudTrail自動参加、
②デフォルトVPCの削除、
③承認リージョン外でのEC2起動禁止（SCPによる実施）、
④CIS（Center for Internet Security：セキュリティのベストプラクティスを定める非営利団体）ベンチマーク準拠の継続監視。
最小限の手動作業でこれらを自動適用する最適なアーキテクチャはどれですか？
A CloudFormation StackSetsとLambdaを組み合わせたカスタムアカウント作成ワークフローを構築し、各要件に対応するリソースをデプロイするCodePipelineパイプラインを作成する
CloudFormation StackSets と Lambda・CodePipeline の組み合わせは機能するが、設計・実装・テスト・運用の負荷が高い。Control Tower が同等機能をマネージドサービスとして提供するため、最小手動作業の要件を満たさない。
B AWS Control Tower の Account Factory でアカウントをプロビジョニングし、必須ガードレール（CloudTrail・デフォルト VPC 削除）・SCP（リージョン制限）・Security Hub の CIS 標準（継続監視）を組み合わせて全要件を自動適用する
✓ 正解
Control Tower Account Factory が CloudTrail・VPC 削除・SCP・Security Hub CIS 標準をガードレールとして提供し、新規アカウント作成時に 4 要件を自動適用できる。最小の手動作業で要件をすべて満たす最適解。
C AWS Service Catalogに「標準アカウントセットアップ」プロダクトを作成し、CloudFormationテンプレートで各リソースをプロビジョニングする手順をドキュメント化する
Service Catalog は承認済みテンプレートをセルフサービスでデプロイする仕組みであり、アカウント作成イベントに連動した自動適用には対応していない。手順のドキュメント化はむしろ手動作業を増やす。
D Organizations APIのCreateAccountイベントをEventBridgeで検出し、Step Functionsワークフローで各設定を順次適用するカスタムパイプラインをゼロから構築する
Organizations API イベント検出と Step Functions によるカスタム実装は柔軟性があるが、ゼロからの構築・テスト・運用負荷が大きく、最小限の手動作業という要件に対してオーバーエンジニアリングになる。
解説 AWS Control TowerのAccount Factoryは、ガードレール（予防的SCPと検出的Configルール）を含む標準化されたアカウントプロビジョニングをマネージドサービスとして提供します。CloudTrail組織トレイルへの参加・デフォルトVPC削除は必須ガードレールで自動化され、SCPはOUレベルのリージョン制限を実現します。Security HubのCIS AWS Foundations Benchmarkスタンダードと連携することで継続的なコンプライアンス監視も実現できます。
選択肢AのCloudFormation StackSetsとLambdaを組み合わせたカスタム実装も機能しますが、Control Towerは同等機能をマネージドサービスとして提供し運用オーバーヘッドが最小です。
選択肢CのAWS Service Catalogは「標準アカウントセットアップ」プロダクトの手動デプロイサービスであり、各アカウント作成時の自動適用には不向きです。
選択肢DのOrganizations APIイベント検出とStep Functionsによるカスタム実装は可能ですが、Control Towerに比べて運用負荷が大幅に増加します。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →