DOP構成管理と Infrastructure as Code (IaC)
ある企業はAWS CloudFormation StackSetsを使用して50のAWSアカウントにリソースを展開しています。オペレーターが手動でリソースを変更してテンプレートとの乖離（ドリフト）が発生するケースが増えています。ドリフトを継続的に検出して自動修復する最も運用効率が高い方法はどれですか？
AAWS Configマネージドルール「cloudformation-stack-drift-detection-check」を有効化し、非準拠スタックに対してAWS Systems Manager Automationドキュメントを使用した自動修復アクションを設定する
✓ 正解
AWS Configの「cloudformation-stack-drift-detection-check」ルールはドリフト状態を継続的に評価し、SSM Automationドキュメントを自動修復アクションとして設定できます。カスタムLambda不要で大規模環境に最適です。
BEventBridgeスケジュールルールで毎日Lambda関数を起動し、detect-stack-drift APIを全スタックに対して実行してドリフト結果をSNSで通知する
EventBridgeでのドリフト検出はLambdaによる検出・SNS通知に止まり、自動修復の仕組みがありません。カスタムコードの開発・維持コストも発生し、AWS Configの統合修復機能に劣ります。
CCloudFormation StackSetsのドリフト検出機能を週次で手動実行し、検出結果に基づいてオペレーターがスタックを手動更新する
週次の手動実行とオペレーターによる手動更新では、継続的かつ自動的なドリフト修復の要件を満たしません。大規模環境では運用負担が大きく、タイムリーな修復も期待できません。
DAWS Trusted AdvisorのCloudFormationチェックでドリフトを検出し、CloudWatchアラームでチームにメール通知する
AWS Trusted AdvisorはCloudFormationドリフト検出の専用チェックを提供していません。Trusted Advisorは一般的なベストプラクティス確認用であり、このユースケースには適していません。
解説
AWS Configのマネージドルール「cloudformation-stack-drift-detection-check」はCloudFormationスタックのドリフト状態を継続的に評価します。非準拠リソースにSSM Automationドキュメントを自動修復アクションとして設定することで、カスタムLambda不要でドリフト検出から修復までを自動化できます。
選択肢BはLambdaでドリフトを検出してSNS通知するだけで自動修復の仕組みがなく、カスタムコードの維持コストも発生するため運用効率が劣ります。
選択肢Cはドリフト検出が週次の手動実行でありオペレーターによる手動更新が必要なため、継続的かつ自動的な修復の要件を満たしません。
選択肢DのTrusted AdvisorはCloudFormationドリフト検出チェックを提供していません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →