SAP組織の複雑さに対応する設計
ある企業は、自社のAWS環境に対するすべてのAPI呼び出しを可視化し、特定の危険な操作（例：IGWの削除）が行われた際にリアルタイムでアラートを受け取りたいと考えています。複数のアカウントが存在する場合、どのように構築するのがベストですか？
A各アカウントに個別にAmazon SNSトピックを作成し、CloudWatch Logs経由でアラートを飛ばす構成。
各アカウントへの個別設定が必要なため、アカウント数が増えるほど構成管理が煩雑になります。組織トレイルのような中央集権的なAPIログ収集の仕組みがなく、設定漏れも発生しやすいためマルチアカウント環境には適していません。
BCloudTrailの組織トレイルとCloudWatch LogsのメトリクスフィルターでSNSリアルタイムアラートを構築する。
✓ 正解
組織トレイルにより全アカウントのAPIイベントを一元収集し、CloudWatch Logsのメトリクスフィルターで特定操作（例：IGW削除）を即座に検知してSNSで通知できます。アカウントルートユーザーを含む全APIに対応したリアルタイム監視が可能です。
CAWS Configのマネージドルールで設定変更を検出し、Amazon EventBridgeを経由して通知する構成。
AWS Configはリソースの設定状態の変化を評価するサービスであり、APIコールそのものをリアルタイムで検知してアラートを出す用途にはCloudTrailとCloudWatch Logsの組み合わせの方が適しています。
D各アカウントのIAMユーザーに、特定のAPI操作実行時にメールを送信するスクリプトを埋め込む構成。
IAMユーザーに直接スクリプトを埋め込む方法はAWSの推奨アーキテクチャではなく、スケーラビリティがなく保守も困難です。IAMユーザーが認証情報を使わず操作した場合には動作せず、信頼性の低い非現実的な構成です。
解説
組織トレイルを使用することで全アカウントのAPIログを中央で一括収集でき、CloudWatch Logsのメトリクスフィルターで特定のアクションを効率的に検知して即座にSNSアラートを発火させることができます。
選択肢Aは各アカウントへの個別設定が必要で、マルチアカウント環境での一元管理には対応できません。
選択肢Cは「設定の状態」の変化を評価するサービスであり、APIコールそのものをリアルタイムで検知するにはCloudTrail+CloudWatch Logsの方が適しています。
選択肢Dは標準的なAWSアーキテクチャではなく、スクリプト埋め込みによる通知は非現実的で信頼性も低い手法です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →