DOP構成管理と Infrastructure as Code (IaC)
運用チームはAWS CloudFormationを使用して、重要なVPCネットワークとセキュリティグループを管理しています。しかし、緊急のトラブルシューティング時に手動でAWSマネジメントコンソールから直接セキュリティグループにポート開放のルールが追加されることがあり、IaCの定義（テンプレート）と実際のインフラの状態が乖離する問題が発生しています。このような手動変更を迅速に検知し、インフラストラクチャの一貫性を確認するための最も適切な機能はどれですか。
ACloudFormationのドリフト検出（Drift Detection）機能を利用して、スタックのリソース構成がテンプレートから変更されていないかを評価する
✓ 正解
ドリフト検出は、CloudFormationのテンプレートで定義されたあるべき状態と、実際のインフラストラクチャの現在の状態を比較し、手動による変更（ドリフト）を特定するための機能であり、本要件を解決する直接的かつ最適なアプローチです。
BCloudFormationの変更セット（Change Sets）を作成し、実行前に既存のインフラストラクチャに適用される予定の変更内容をプレビューする
変更セット（Change Sets）は、CloudFormationテンプレートを更新してスタックに適用する前に、どのような変更が行われるかを事前に確認（プレビュー）するための機能であり、コンソールからの手動変更を検知する目的のものではありません。
CAWS CloudTrailログをAmazon Athenaでクエリし、コンソールから手動で実行されたAuthorizeSecurityGroupIngressのAPI履歴を検索する
CloudTrailによるAPI履歴の調査は事後的なトラブルシューティングや監査には役立ちますが、現在のインフラ構成全体がIaCテンプレートと一致しているかを包括的に評価・比較するプロセスとしては非常に非効率であり、自動化された運用に適しません。
DAWS Trusted Advisorのセキュリティチェック結果を監視し、予期せず開放されたポートに関する警告がダッシュボードに表示されるか確認する
Trusted Advisorは広範囲に開放されたポートなどの一般的なセキュリティリスクを検出しますが、特定のポート追加が「CloudFormationテンプレートの定義と乖離している手動変更であるか」というIaCの一貫性を評価する機能は持っていません。
解説
Infrastructure as Code (IaC) の運用における重要な課題の1つは、IaCツール（ここではCloudFormation）外で行われた直接的な手動変更による「設定のドリフト（乖離）」です。AWS CloudFormationのドリフト検出（Drift Detection）機能を使用すると、スタックの予想される構成（テンプレート定義）と実際のリソースの現在の状態を比較し、手動で変更または削除されたリソースがあるかどうかを正確に特定できます。セキュリティグループのインバウンドルールの追加などのプロパティレベルの変更も検出されるため、手動変更によるコンプライアンス違反や構成の一貫性喪失を迅速に把握し、是正措置を講じることが可能です。
変更セット（Change Sets）は、スタックを更新する前に適用予定の変更内容をプレビューする機能であり、テンプレートと実際のインフラの乖離を検出・評価する用途には使用できません。
CloudTrailログをAthenaでクエリする方法は手動変更の証跡を事後調査するには有効ですが、インフラとテンプレートの整合性を直接評価する機能ではなく、「迅速な検知」という要件には適していません。
Trusted Advisorはベストプラクティスに基づくセキュリティ推奨事項を提供しますが、CloudFormationテンプレートとリソース状態の乖離を検出する機能は持っておらず、手動変更による構成ドリフトの把握には使用できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →