SAAセキュアなアーキテクチャの設計
あるグローバル企業はAWS Organizationsで100以上のAWSアカウントを複数のOU（Organizational Unit：組織単位）で管理しています。最近のセキュリティ監査で、開発者アカウントのS3バケットが誤ってパブリックに設定されていたことが判明しました。CISO（Chief Information Security Officer：最高情報セキュリティ責任者）は以下を要求しています。
(1) 全アカウントのS3バケットへのパブリックアクセスを組織全体で事前に防止する
(2) IAMやバケットポリシーによる正規のアクセス制御は引き続き機能すること
(3) 将来追加されるアカウントにも自動的に適用されること
最も効果的で運用負荷の低いアーキテクチャはどれですか？
AAWS Configのコンフォーマンスパック（conformance pack：複数のConfigルールをパッケージ化したもの）をOrganizations全体に展開し、s3-bucket-public-read-prohibitedルールとSystems Manager自動修復アクションを設定する
Configルールは事後的な検出・修復であり、予防的制御ではありません。侵害後の対応となるため事前の対策として不十分です。
BCloudFormation StackSetsをOrganizations連携で使用して全アカウントにS3アカウントレベルのブロックパブリックアクセスを有効化し、SCPでBlockPublicAccess設定の無効化を禁止するポリシーをルートOUに適用する
✓ 正解
CloudFormation StackSetsで全アカウントに自動デプロイし、SCPでブロックパブリックアクセスの設定変更を禁止することで、強力な予防的制御が実現されます。
CCloudFormation StackSetsを使用して全アカウントにLambda関数をデプロイし、EventBridgeで1時間ごとにS3バケット設定を確認・修復する
Lambdaの定期実行は最大1時間の露出ウィンドウが生じ、統一的な管理ができません。
DAWS Security Hubを組織全体で有効化し、CIS AWS Foundations Benchmark（AWSセキュリティのベストプラクティス標準）のS3関連コントロールを有効化してSNSでセキュリティチームに通知する
Security Hubは監視・通知のみで予防的制御ではなく、すでに発生した問題の検出に限定されます。
解説
CloudFormation StackSetsのOrganizations連携による自動デプロイを使用すると、新規アカウント追加時にもS3ブロックパブリックアクセスが自動適用されます。SCPでこの設定の変更を禁止することで、メンバーアカウント管理者が無効化できなくなります。ブロックパブリックアクセスはIAMやバケットポリシーによる正規アクセスには影響しません。
選択肢AのAWS Configは事後検出・自動修復のアプローチであり、パブリックアクセスが発生した後に対応するため、事前防止という要件を満たしません。
選択肢CのLambda定期実行は最大1時間の露出ウィンドウが生まれ、運用負荷も高く、リアルタイムでのパブリックアクセス防止には不十分です。
選択肢DのAWS Security Hubは監視・通知のみを行うため、パブリックアクセスを事前に防止する予防的制御ではなく、侵害後の検知に留まります。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →