DOP構成管理と Infrastructure as Code (IaC)
ある大企業はAWS Organizationsを使用してマルチアカウント戦略を採用しており、数百のAWSアカウントを管理しています。セキュリティチームから、すべてのアカウントとリージョンに対して標準のAWS ConfigルールとAmazon GuardDutyの有効化を強制するベースラインリソースを展開するよう要請がありました。また、今後新規に作成されるアカウントにも自動的にこのベースラインが適用される必要があります。要件を最も適切に満たすアプローチはどれですか。
AAWS CloudFormation StackSetsを利用してOrganizationsをターゲットにデプロイし、自動デプロイメント（Service-Managed Permissions）を有効にする
✓ 正解
StackSetsとOrganizationsを統合し「サービス管理されたアクセス許可」を使用することで、既存の全アカウントおよび将来追加される新規アカウントに対して、自動的かつ一元的にベースラインをデプロイすることが可能になり、要件を完全に満たす運用が実現できます。
B各AWSアカウントのEventBridgeルールでアカウント作成イベントをトリガーし、Lambda関数を実行してCloudFormationテンプレートを個別にデプロイする
アカウントごとのEventBridgeとLambdaによる個別展開は技術的に不可能ではありませんが、数百のアカウントでデプロイメントロジックを管理・維持する必要があり、極めて高い運用オーバーヘッドが発生するため、エンタープライズ規模のIaC管理手法として不適切です。
CAWS Systems Manager State Managerを利用して全アカウントに対して関連付けを作成し、ConfigおよびGuardDutyの設定スクリプトを定期的に実行する
State ManagerはEC2インスタンスの構成管理には適していますが、AWSリソース（ConfigルールやGuardDutyの有効化など）のグローバルなプロビジョニングや、新規アカウント作成時の自動トリガー展開をネイティブに管理する目的のサービスとしては適していません。
DAWS Service Catalogを使用してベースライン製品を含むポートフォリオを作成し、Organizationsのすべてのメンバーアカウントに対して製品をプロビジョニングする
Service Catalogは管理者が承認したリソースをユーザーにセルフサービスで提供するためのサービスです。ポートフォリオの共有は可能ですが、全アカウントや新規アカウントに対してリソースを「自動的に強制デプロイ」する要件には合致せず、手動プロビジョニングが必要です。
解説
AWS CloudFormation StackSetsは、単一のCloudFormationテンプレートを使用して、複数のAWSアカウントおよび複数のリージョンにスタックを一括プロビジョニングできる強力な機能です。特にAWS Organizationsと統合する「サービス管理されたアクセス許可（Service-Managed Permissions）」モードを使用すると、Organizationsのルートや特定の組織単位（OU）全体をターゲットとして指定できます。さらに、このモードでは「自動デプロイメント」機能が提供されており、ターゲットとなるOUに新しいAWSアカウントが追加された際、StackSetが自動的にその新規アカウントに対して定義されたベースラインリソース（ConfigルールやGuardDutyの有効化など）をデプロイします。これにより、マルチアカウント環境におけるインフラストラクチャの一貫した構成管理とガバナンスの維持が極めて容易になります。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →