SAAセキュアなアーキテクチャの設計
大企業がAWS Organizationsを使用して80以上のAWSアカウントを複数のリージョンにわたって管理しています。CISOから以下の要件が出されました。
①すべてのALBとCloudFrontディストリビューションに統一したAWS WAFルール（SQLインジェクション・XSS防御）を強制適用する、
②すべてのアカウントでセキュリティグループが0.0.0.0/0からの無制限インバウンドを許可しないよう継続的に強制する、
③新たにOrganizationsに追加されたアカウントにも自動的にこれらのポリシーが適用される、
④非準拠のリソースは自動的に修復される。最小の運用負荷でこれらすべての要件を満たすソリューションはどれですか？
AService Control Policies（SCP）を使用して、WAFのアタッチメントなしにALBを作成するアクションと、開放されたセキュリティグループの作成を禁止する
Service Control Policies（SCP）は IAM アクションの拒否に有効ですが、既存のALB へのWAF 未アタッチの修復や既存のオープンSG の自動修復といった継続的なポリシー強制は行えません。予防的制御であり、是正的制御ではありません。
BAWS Firewall Managerで組織全体のWAFポリシーとセキュリティグループポリシーを管理アカウントから一元管理・自動修復する
✓ 正解
AWS Firewall Manager は、Organizations 全体で WAF ポリシー（ALB・CloudFront 等への WebACL 自動アタッチ）とセキュリティグループポリシー（過剰に開放されたSG の検出・修復）を一元管理します。管理アカウントからポリシーを定義するだけで全メンバーアカウントに自動展開され、新規アカウントにも自動適用されます。非準拠リソースの自動修復も標準機能として提供されます。
CAWS Config適合パックをCloudFormation StackSetsで全アカウントにデプロイし、自動修復Lambda関数をEventBridgeルールでトリガーする
CloudFormation StackSets と AWS Config 適合パック の組み合わせは機能しますが、各アカウントへの初期展開・Lambda/Config の個別管理・新規アカウントへの自動適用を独自実装する必要があり運用負荷が大幅に高くなります。
DAWS Control TowerのカスタムコントロールとSCPを組み合わせ、Account Factory（新規AWSアカウントの自動プロビジョニング機能）でWAFポリシーを適用する
AWS Control Tower のカスタムコントロールと SCP の組み合わせは、Account Factory による新規アカウントのセットアップ自動化には優れますが、既存全アカウントにわたる WAF ポリシーと SG の継続的な強制・自動修復の一元管理は Firewall Manager の役割です。
解説
AWS Firewall Manager は、Organizations 全体で WAF ポリシー（ALB・CloudFront 等への WebACL 自動アタッチ）とセキュリティグループポリシー（過剰に開放されたSG の検出・修復）を一元管理します。管理アカウントからポリシーを定義するだけで全メンバーアカウントに自動展開され、新規アカウントにも自動適用されます。非準拠リソースの自動修復も標準機能として提供されます。
選択肢A の Service Control Policies（SCP）は IAM アクションの拒否に有効ですが、既存のALB へのWAF 未アタッチの修復や既存のオープンSG の自動修復といった継続的なポリシー強制は行えません。予防的制御であり、是正的制御ではありません。
選択肢C の CloudFormation StackSets と AWS Config 適合パック の組み合わせは機能しますが、各アカウントへの初期展開・Lambda/Config の個別管理・新規アカウントへの自動適用を独自実装する必要があり運用負荷が大幅に高くなります。
選択肢D の AWS Control Tower のカスタムコントロールと SCP の組み合わせは、Account Factory による新規アカウントのセットアップ自動化には優れますが、既存全アカウントにわたる WAF ポリシーと SG の継続的な強制・自動修復の一元管理は Firewall Manager の役割です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →