無限ノック › DOP 練習問題一覧 › 問題DOP セキュリティとコンプライアンス
ある企業のセキュリティポリシーでは、本番環境へのすべてのCloudFormationデプロイメントにおいて、IAMロールのインラインポリシーに「Action: *、Resource: *」（すべてのアクションをすべてのリソースに許可）が含まれていないことを、デプロイ前に自動的に検証することが義務付けられています。AWS CodePipelineを使用しており、検証は人手を介さず完全に自動化する必要があります。最も適切な実装方法はどれですか？
A CodePipelineにマニュアル承認ステージを追加し、セキュリティチームがIAMポリシーを確認してから承認するプロセスを設ける
マニュアル承認ステージは人手を介する工程となるため、「人手を介さず完全に自動化する必要がある」という要件に反しています。セキュリティチームの手動確認は運用負荷を高め、自動化の目標を達成できません。
B CodeBuildステージでAWS IAM Access AnalyzerのValidatePolicy APIを呼び出し、各IAMポリシーの過剰な権限を検出してビルドを失敗させる
IAM Access AnalyzerのValidatePolicy APIはIAMポリシーの文法やベストプラクティスの一般的なチェックに特化しており、任意の構造パターン（例：Action:*かつResource:*）を強制的にブロックするルールベースの検査には向きません。cfn-guardの方が細粒度のカスタムルール定義に適しています。
C CloudFormation Guard（cfn-guard）のカスタムルールをCodeBuildステージに組み込み、ワイルドカードのAction/Resourceを持つテンプレートをデプロイ前にブロックする
✓ 正解
CloudFormation Guardはテンプレートを静的解析する宣言型ポリシーツールで、ActionとResourceのワイルドカード組み合わせなどの特定パターンをカスタムルールで検出できます。CodeBuildに組み込むことでデプロイ前に完全自動でポリシー構造をチェックし、要件を満たすゲートを実現します。
D デプロイ後にAWS Configマネージドルール（iam-no-inline-policy-check）を実行し、違反が検出されたらEventBridgeでCloudFormationスタックのロールバックをトリガーする
デプロイ後にConfigルールで検出しロールバックする仕組みは予防的制御ではなく事後的制御です。違反リソースがデプロイされた後の対応であり、デプロイ前の自動検証という要件に合致せず、本番環境へ一時的に違反リソースが存在することになります。
解説 選択肢AはマニュアルApproval Actionを含む承認ステージであり、「人手を介さず完全に自動化する」という要件に合致しません。
選択肢BはIAM Access AnalyzerのValidatePolicy APIはIAMポリシーの文法エラーやベストプラクティス違反の検出に特化しています。「Action: *かつResource: *」という特定の構造パターンを強制的にブロックするカスタム制御にはcfn-guardが適切です。
選択肢CはCloudFormation Guard（cfn-guard）はCloudFormationテンプレートを静的解析する宣言型ポリシーツールです。「Action:'*'かつResource:'*'の組み合わせ」を検出するカスタムルールを記述でき、CodeBuildステージへの組み込みで完全自動化されたプリデプロイゲートを実現します。
選択肢DはAWS Configのマネージドルールはデプロイ後のリソース状態を評価する事後検出です。デプロイ前に防止する予防的制御（Preventive Control）の要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →