DOP構成管理と Infrastructure as Code (IaC)
ある企業は、Auto Scalingグループで管理される数百台のEC2インスタンスに対して、CloudWatchエージェントと独自のセキュリティエージェントが常にインストール・設定されていることを保証したいと考えています。スケールアウト直後の新規インスタンスや、設定がずれたインスタンスに対しても自動的に再適用されるようにするには、どのアプローチが最も適切ですか？
ASSM Run CommandをEventBridge Schedulerで1時間ごとに定期実行し、対象インスタンスにエージェントインストールスクリプトを実行する
Run Commandは単発実行で、EventBridgeで定期実行しても新規インスタンスへのタイムリーな適用や設定ドリフトのリアルタイム検知・修復を保証できず、望ましい状態の継続維持には不向きです。
BSSM State ManagerのアソシエーションでAWS-ConfigureAWSPackageを対象タグに関連付け、定期評価と自動修復・コンプライアンス報告を構成する
✓ 正解
SSM State Managerは望ましい状態を継続維持する目的で設計され、タグベースの対象指定、定期的な再評価と自動修復、コンプライアンス報告が可能で、新規・ドリフトインスタンスにも自動適用されます。
CEC2起動テンプレートのユーザーデータスクリプトでエージェントをインストールし、Auto Scalingライフサイクルフックで起動完了を確認する
起動テンプレートのユーザーデータは初回起動時のみ実行され、その後に設定がドリフトしても再適用されないため、継続的な状態維持と自動修復の要件を満たせません。
DAWS Systems Manager Patch Managerのパッチベースラインにエージェントを追加し、メンテナンスウィンドウで定期的に適用する
Patch Managerはパッケージのパッチ適用が目的で、エージェント設定の望ましい状態を継続的に評価・修復する仕組みではなく、設定ドリフトの検知・修復に不向きです。
解説
SSM State Managerは「望ましい状態」を継続的に維持するために設計されており、タグベースの対象指定、定期的な再評価と自動修復、コンプライアンス状態のレポートが可能です。
選択肢AのSSM Run CommandをEventBridge Schedulerで1時間ごとに定期実行する方法はRun Commandは単発実行であり継続的な状態維持には不向きです。EventBridge Schedulerで定期実行しても、スケールアウト直後の新規インスタンスへのタイムリーな適用や設定ずれのリアルタイム検知・修復は保証されません。
選択肢CのEC2起動テンプレートのユーザーデータスクリプトでエージェントをインストールし、Auto Scalingライフサイクルフックで起動完了を確認する方法はユーザーデータは起動時の1回限りの実行であり、起動後に設定がずれた場合の自動修復には対応できません。
選択肢DのAWS Systems Manager Patch Managerのパッチベースラインにエージェントを追加し、メンテナンスウィンドウで定期的に適用する方法はPatch Managerはパッチ管理専用のサービスであり、カスタムセキュリティエージェントのインストールや設定状態の継続的維持には適していません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →