あるSaaS企業は、AWS Organizations 配下の数十のアカウントを運用しており、開発者が誤って Amazon S3 バケットをパブリックアクセス可能に設定してしまうインシデントが頻発している。セキュリティチームは、こうした設定変更を検出してから数分以内に自動修復し、かつ新規アカウントを含む全アカウント・全リージョンで一貫したルールと修復設定を維持したい。運用の手作業を最小化しつつ、この要件を満たす対応を2つ選べ。
AWS Config ルールは対象リソースの設定変更を検知し、準拠状態を継続的に評価する。s3-bucket-public-read-prohibited は S3 バケットの公開状態を評価するマネージドルールで、これに Systems Manager Automation の修復アクション（AWS-DisableS3BucketPublicReadWrite）を関連付けると、非準拠検出をトリガーに自動修復が実行される。 さらに、組織コンフォーマンスパックを用いると、ルールと修復設定を AWS Organizations 配下の全アカウント・全リージョンへ一括デプロイでき、新規オンボーディングされたアカウントにも自動的に適用される。これにより一貫性の維持と運用手作業の最小化を両立できる。 選択肢Cの Amazon Macie は S3 内の機微データの分類・検出を行うサービスであり、パブリックアクセス設定の継続的評価と自動修復を担う仕組みではない。 選択肢Dの GuardDuty S3 Protection は脅威検出が目的で、バケットポリシーを一律削除する対応は正当なアクセスも遮断し破壊的で不適切。 選択肢Eの手動有効化＋CloudTrail 監視は一度きりの設定と事後通知にとどまり、数分以内の自動修復と全アカウント一貫適用の要件を満たさない。