DOP構成管理と Infrastructure as Code (IaC)
AWS Systems Manager State Managerを使用して、EC2インスタンスフリート（500台）にパッチ適用と設定ドリフトの修正を自動化したい。メンテナンスウィンドウ外での設定変更を検知して自動修復する要件がある。最適な構成はどれですか？
AState Manager AssociationをRate Expressionで1時間ごとに実行し、AWS-RunPatchBaselineドキュメントと構成適用ドキュメントを適用する
State Manager の定期実行（Rate Expression）はスケジュール間隔に依存するため、ドリフト発生から修復までに遅延が生じます。リアルタイムな検知・修復には Config と Automation の組み合わせが適しています。
BAWS Config Rule + Systems Manager Automation RemediationでドリフトをリアルタイムにdetectしてAutomationで修復、定期パッチはMaintenance WindowのRun Commandで管理する
✓ 正解
設定ドリフトの検知には AWS Config が最適で、リソースの設定変更を継続的に追跡します。Config Rule が NON_COMPLIANT を検知したら Systems Manager Automation Remediation で自動修復し、定期パッチは Maintenance Window と Patch Manager で管理します。
CAmazon EventBridgeでEC2インスタンスの設定変更イベントを検知し、LambdaでSSMコマンドを実行して修復する
EventBridge と Lambda でも設定変更を検知して SSM コマンドで修復することは可能ですが、設定ドリフトの継続的な追跡とコンプライアンス評価は AWS Config が設計上最適で、運用負荷も低く抑えられます。
DAWS Systems Manager Patch ManagerのPatch Groupとスキャンオンリーモードを使用し、レポートのみ生成して手動適用する
スキャンオンリーモードはパッチ準拠状況のレポートを生成するのみで適用は行わないため、要件である自動修復を満たしません。
解説
設定ドリフトの検知にはAWS Configが最適（リソースの設定変更を継続的に追跡）。Config RuleがNON_COMPLIANTを検知したら、Systems Manager Automation Remediationで自動修復できる。定期パッチはMaintenance Window + Patch Managerで適切な時間帯に管理する。
選択肢Aは誤りです。State Managerの定期実行は修復が遅延する可能性があり、リアルタイムのドリフト検知・修復にはConfig+Automationの組み合わせが最適です。
選択肢Cは誤りです。Amazon EventBridgeでEC2インスタンスの設定変更イベントを検知し、LambdaでSSMコマンドを実行する方法は可能ですが、AWS Configが設計上より最適です。
選択肢Dは誤りです。スキャンオンリーモードはレポート生成のみで、実装要件の「自動修復」を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →