DOPモニタリングとロギング複数選択
ある企業はAWS Organizationsで100以上のAWSアカウントを管理しています。中央の運用チームは全本番アカウントのCloudWatchメトリクス・ロググループ・トレース・アラームを単一の「監視アカウント」から一元参照・操作したいと考えています。各アカウントへのカスタムLambdaやクロスアカウントIAMロールの個別展開は管理が煩雑なため、CloudWatchのネイティブ機能であるクロスアカウントオブザーバビリティを採用しました。この機能を正しく有効化するために実施が必要な手順はどれですか？（2つ選択してください）
A監視アカウントでCloudWatchクロスアカウントオブザーバビリティを「モニタリングアカウント」として有効化し、アクセスを許可するソースアカウントIDまたはOrganizations OUを指定する
✓ 正解
CloudWatchクロスアカウントオブザーバビリティを監視アカウントで『モニタリングアカウント』として有効化し、許可するソースアカウントIDまたはOrganizations OUを指定することで、監視アカウントからのアクセス権を設定できます。
B各ソースアカウントにCloudWatch Agentをインストールし、監視アカウントのKinesis Data Firehoseへメトリクスを転送するよう設定する
CloudWatch Agentはメトリクスを Kinesis に転送する用途であり、CloudWatch クロスアカウントオブザーバビリティ機能には必要ないため、不要なコンポーネント追加になります。
C各ソースアカウントでCloudWatchクロスアカウントオブザーバビリティを「ソースアカウント」として有効化し、リンク先の監視アカウントIDを指定する
✓ 正解
各ソースアカウント側でCloudWatchクロスアカウントオブザーバビリティを『ソースアカウント』として有効化し、監視アカウントIDにリンクする必要があり、双方向設定が必須です。
D監視アカウントからソースアカウントのCloudWatchデータにアクセスするためのS3バケットポリシーを各ソースアカウントに設定する
CloudWatchクロスアカウントオブザーバビリティはIAM/AWSコンソールベースで動作し、S3バケットポリシーを介したアクセス制御は不要なため、この構成は誤りです。
ECloudFormation StackSetsを使用して全ソースアカウントにCloudWatch Logsサブスクリプションフィルターを一括展開し、監視アカウントのLambdaへログを転送する
CloudWatch Logsサブスクリプションフィルターは、CloudWatchクロスアカウントオブザーバビリティの双方向設定を実施すれば不要となり、運用複雑化を招くため推奨されません。
解説
正解：
A. 監視アカウントでCloudWatchクロスアカウントオブザーバビリティを「モニタリングアカウント」として有効化し、アクセスを許可するソースアカウントIDまたはOrganizations OUを指定する
C. 各ソースアカウントでCloudWatchクロスアカウントオブザーバビリティを「ソースアカウント」として有効化し、リンク先の監視アカウントIDを指定する。
CloudWatchクロスアカウントオブザーバビリティの設定には双方向の手順が必要です。
①監視アカウント側：CloudWatchコンソールまたはAPIで「モニタリングアカウント」として機能を有効化し、許可するソースアカウントIDまたはOrganizations OUを指定します。
②各ソースアカウント側：同機能を「ソースアカウント」として有効化し、監視アカウントIDにリンクします。これにより監視アカウントのCloudWatchコンソールからソースアカウントのメトリクス・ログ・X-Rayトレース・アラームを直接参照できます。CloudWatch AgentやS3、Kinesis、Lambdaは本機能には不要です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →