無限ノック › SAP 練習問題一覧 › 問題
SAP新しいソリューションのための設計

大手製造業企業が80のAWSアカウントをAWS Organizationsで管理している。セキュリティチームは次の要件を定めている:①全アカウントのAWS APIコールを改ざん不可な形で中央セキュリティアカウントのS3に集中保存、②GuardDutyの脅威検知結果を組織全体で一元管理、③Security Hubのセキュリティスコアを集約、④メンバーアカウントがセキュリティサービスを無効化できないようSCPで制御、⑤新規アカウント追加時にも自動適用。これら全要件を満たす構成を選択しなさい。

A
Organizations管理アカウントにCloudTrail組織証跡を作成しセキュリティアカウントのS3に集中保存。GuardDutyとSecurity Hubはセキュリティアカウントを委任管理者に設定し、SCPでサービス無効化操作を禁止する
✓ 正解
CloudTrail組織証跡は全アカウントを自動カバーし、GuardDutyとSecurity Hubの委任管理者設定によりSCPとともに組織全体の集中管理と新規アカウントへの自動適用を実現する。
B
Organizations管理アカウントにCloudTrail組織証跡を作成しセキュリティアカウントのS3に集中保存。GuardDutyはKinesis Data Streamsでリアルタイム集約し、SCPでCloudTrailの無効化のみを禁止する
CloudTrail組織証跡は正しいが、GuardDutyのKinesis集約は委任管理者モデルより複雑でSecurity Hubの集約要件が未対応、SCPもCloudTrail限定で残りのサービス保護が欠落する。
C
各メンバーアカウントにCloudTrailを個別設定してEventBridgeクロスアカウントルールでセキュリティアカウントにイベント転送。GuardDutyとSecurity Hubはセキュリティアカウントを委任管理者に設定する
CloudTrailを各アカウントに個別設定する方式は新規アカウント追加時に手動構成が必要となり、自動適用の要件を満たせず組織規模での管理オーバーヘッドが増大する。
D
各メンバーアカウントにCloudTrailを個別設定してS3クロスアカウントレプリケーションでセキュリティアカウントに転送し、GuardDutyはSNSトピック経由でセキュリティアカウントに集約し、SCPで無効化を禁止する
CloudTrailを各アカウントに個別設定してS3レプリケーションとSNSで集約する構成は、組織証跡と委任管理者モデルに比べ設定・維持コストが高く新規アカウントへの自動適用が困難。

解説

CloudTrail組織証跡は全既存・新規アカウントを自動カバーし、GuardDutyとSecurity Hubの委任管理者設定とSCPの組み合わせで組織全体の集中管理と新規アカウントの自動適用を実現する。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでSAPを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
← SAP の問題一覧に戻る