DOPインシデントとイベントへの対応複数選択
ある企業は AWS Organizations 配下の数十のアカウントを運用しており、コンプライアンス部門から「非準拠リソースを検出したら、人手を介さず自動的に準拠状態へ修復する仕組みを構築せよ」と指示された。修復対象は、AWS Config が検出する設定違反（例: 暗号化されていない EBS ボリューム）と、AWS Security Hub に集約される高重大度の検出結果の両方である。この自動修復を実現する実装として適切なものを2つ選べ。
AAWS Config のマネージドルールに自動修復アクションを設定し、AutomationAssumeRole を指定した Systems Manager Automation ドキュメントで、非準拠リソースを自動的に修正する
✓ 正解
Config は非準拠リソースに対し SSM Automation ドキュメントを用いた修復アクションを設定でき、AutomationAssumeRole により必要な権限で自動実行される。EBS 未暗号化などの設定違反を人手なしで修復でき要件を満たす。
BAmazon EventBridge ルールで Security Hub の検出結果（Findings）を捕捉し、重大度でフィルタしたうえで Systems Manager Automation ドキュメントまたは Lambda 関数を起動して修復する
✓ 正解
Security Hub の検出結果は EventBridge にリアルタイム配信されるため、重大度でフィルタしたルールから SSM Automation や Lambda を起動して修復するのが標準的な自動化パターンであり、高重大度検出結果の自動修復を実現できる。
CAWS Trusted Advisor のチェック結果に基づき、検出された非準拠リソースを Trusted Advisor 自身が自動的に修復し、準拠状態へ戻す
Trusted Advisor はコスト・パフォーマンス・セキュリティの推奨事項を提示するサービスであり、非準拠リソースをサービス自身が自動的に修復する機能は備えていないため要件を満たさない。
DAWS Config の適合パック（Conformance Pack）を各アカウントにデプロイするだけで、パックに含まれるルールが非準拠リソースを自動的に修復する
適合パックは複数の Config ルールと修復設定を一括デプロイするテンプレートだが、デプロイのみで自動修復が始まるわけではなく、各ルールに対する修復アクションの構成が別途必要なため、この記述は誤り。
EAmazon GuardDuty が非準拠リソースを検出し、その設定を自動的に変更して準拠状態へ戻すことで、Config と Security Hub の両方の要件を一括で満たす
GuardDuty は脅威検出（検出結果の生成）を担うサービスで、リソースの設定を自ら変更して修復する機能はない。Config と Security Hub の修復要件を一括で満たすことはできない。
解説
AWS Config は非準拠と判定したリソースに対し、SSM Automation ドキュメントを用いた自動修復アクション（AutomationAssumeRole を指定）を紐付けることで、人手を介さずリソースを修正できる。Security Hub の検出結果は EventBridge に配信されるため、重大度でフィルタしたルールから SSM Automation や Lambda を起動して修復するのが定石であり、両者を組み合わせることで Config と Security Hub 双方の自動修復を実現できる。
選択肢2の Trusted Advisor は推奨事項の提示が目的で、リソースを自動修復する機能はない。
選択肢3の適合パックは複数の Config ルールと修復設定をまとめてデプロイする仕組みだが、パックをデプロイしただけでは自動修復は行われず、修復アクションの構成が別途必要となる。
選択肢4の GuardDuty は脅威検出サービスで、リソースの設定を自動変更する機能は持たない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →