ある金融企業が、AWS Organizations で管理する30のメンバーアカウントで「EC2 インスタンスの IMDSv2（Instance Metadata Service Version 2：インスタンスメタデー

Question

ある金融企業が、AWS Organizations で管理する30のメンバーアカウントで「EC2 インスタンスの IMDSv2（Instance Metadata Service Version 2：インスタンスメタデータサービスv2。認証トークン必須化によりSSRF攻撃を防ぐセキュリティ強化版）が必須設定であること」を継続的に監視・自動修復するシステムを構築しています。次の実装オプションのうち、Organizations 全体への一括展開が可能で、かつ検出から修復まで自動完結する 2 つの要素を選んでください。（2つ選択）

Accepted Answer

正解: Organizations 管理アカウントで AWS Config コンフォーマンスパック（Conformance Pack：複数の Config ルールをまとめて一括展開できるパッケージ）を作成し、`ec2-imdsv2-check` マネージドルールを含めて全メンバーアカウントにデプロイする / AWS Config の自動修復アクションとして SSM Automation ドキュメント `AWSConfigRemediation-EnforceEC2InstanceIMDSv2` を設定し、非準拠リソース検出時に自動実行されるよう構成する。Aは正解です。Config コンフォーマンスパックは Organizations 管理アカウントから全メンバーアカウントへ一括展開でき、`ec2-imdsv2-check` はマネージドルールとして提供されており、EC2 設定変化をイベント駆動でリアルタイム評価します。

Cは正解です。Config の自動修復アクションに SSM Automation ドキュメントを設定すると、非準拠検出時に自動修復が実行されます。A と組み合わせることで Organizations 全体で検出から修復まで完全自動化できます。

Bは誤りです。クロスアカウントの Lambda ポーリングは実装が複雑で、1時間ごとの実行では最大1時間の検出遅延が生じます。自動修復機能も含まれていません。

Dは誤りです。Security Hub のカスタムアクションは管理者が手動でトリガーする必要があり、完全自動修復の要件を満たしません。また EC2.8 コントロールは内部で Config ルールを使用しているため A・C の方が直接的です。

Eは誤りです。State Manager は定期的な設定適用には有効ですが、Organizations 全体への一括展開が Config コンフォーマンスパックほど簡便ではなく、非準拠の即時検出とコンプライアンスレポート機能も Config に劣ります。

Answer

各メンバーアカウントに Lambda 関数をデプロイし、EventBridge Scheduler で1時間ごとに `DescribeInstances` API を実行して非準拠 EC2 インスタンスを検索する — クロスアカウントLambdaポーリングは実装が複雑で、1時間ごとのスケジュール実行では最大1時間の検出遅延が生じます。自動修復機能がなく、多数アカウントの管理も困難です。

Answer

AWS Security Hub の EC2.8 コントロール（EC2 instances should use IMDSv2）を有効化して非準拠インスタンスを特定し、カスタムアクションで Lambda 修復関数を手動起動する — Security HubのカスタムアクションはLambda修復関数を手動でトリガーする必要があり、完全自動修復の要件を満たしません。また EC2.8は内部でConfigルール使用のため、直接Config設定より迂回的です。

Answer

AWS Systems Manager State Manager の関連付け（Association）を全インスタンスに作成し、IMDSv2 強制スクリプトを定期的に実行する — Systems Manager State Managerは定期的な設定スクリプト実行には有効ですが、Organizations全体への一括展開がコンフォーマンスパックほど簡便ではなく、非準拠の即時検出・コンプライアンスレポート機能も Configに劣ります。

解説

解説