SAAセキュアなアーキテクチャの設計複数選択
大規模な企業グループがAWS Organizationsを使用して100以上のAWSアカウントを管理しています。CISO（最高情報セキュリティ責任者）から以下のセキュリティ要件が提示されました。
・すべての本番アカウントでAWS CloudTrailを強制的に有効化し、個別アカウントの管理者が無効化できないようにする
・承認済みリージョン以外でのAWSサービス使用を組織全体で禁止する
・新しいAWSアカウントの作成時にセキュリティ設定（CloudTrail、Config、GuardDuty等）を自動的に適用する
これらの要件を最も効率的かつ確実に実現する構成を2つ選んでください。
ASCP（サービスコントロールポリシー）をOrganizations OUに適用し、CloudTrailの無効化やリージョン外サービス使用を拒否するポリシーを設定する
✓ 正解
SCPはメンバーアカウントの全IAMエンティティに適用される予防的コントロールで、DeleteTrail・StopLoggingの拒否とリージョン制限を組織全体で強制できます。
B各アカウントのIAM管理者ユーザーにCloudTrail設定変更を禁止するIAMポリシーをアタッチし、定期的にAWS Configで準拠状況を確認する
IAMポリシーは各アカウント内の制御にとどまり、アカウント管理者が別IAMユーザーを作成して回避できる可能性があるため組織全体への強制に不十分です。
CAWS Control TowerのAccount Factoryを使用して、新規アカウントのプロビジョニング時にセキュリティ設定を自動的に適用するテンプレートを構成する
✓ 正解
Account Factoryは新規アカウント作成時にCloudTrail・Config・GuardDuty等のセキュリティ設定を自動適用するテンプレートで標準化し、設定漏れを防ぎます。
DすべてのアカウントにAWS Security HubとAmazon GuardDutyを手動で有効化し、集中管理アカウントで脅威を監視するダッシュボードを作成する
Security HubとGuardDutyは検出的コントロールで、CloudTrailの無効化を事前に防ぐことはできません。手動有効化では新規アカウントへの自動適用要件も満たしません。
EAWS Config 適合パックを組織全体に展開し、CloudTrail 有効化やリージョン制限に関するコンプライアンスを継続的に評価し、自動修復アクションで是正する
AWS Config適合パックはコンプライアンス評価と事後修復を提供しますが、SCPと異なり予防的コントロールではなく、CloudTrail無効化を即座に阻止できません。
解説
選択肢A（正解）：SCPはOrganizations配下のすべてのアカウント・ルートユーザーにも適用される予防的コントロールです。「cloudtrail:DeleteTrail」「cloudtrail:StopLogging」を拒否するSCPを設定すると、各アカウントの管理者でも無効化できません。リージョン制限も同様にSCPで実現できます。
選択肢B：IAMポリシーは各アカウント内の制御であり、組織全体への強制には不十分です。アカウント管理者が別のIAMユーザーを作成して回避できる可能性もあります。
選択肢C（正解）：Control TowerのAccount Factoryは新規アカウント作成時のセキュリティ設定（CloudTrail・Config・GuardDuty等）の自動適用を標準化し、設定漏れを防ぎます。
選択肢D：Security HubとGuardDutyは「検出的コントロール」であり、CloudTrailの無効化を予防することはできません。また手動での有効化では新規アカウント作成時の自動適用要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →