SAP組織の複雑さに対応する設計複数選択
大手金融機関がAWS上のマルチアカウント環境を管理しており、本番アカウント（Prod）、開発アカウント（Dev）、セキュリティアカウント（Security）、ログアーカイブアカウント（LogArchive）の4つのアカウント構成を持っています。現在の課題は以下の通りです：
①セキュリティアカウントのGuardDutyが各アカウントのGuardDuty委任管理者として設定されているが、新しいアカウントが追加された際に自動的にメンバーとして追加されない、
②ログアーカイブアカウントのS3バケットにCloudTrailログが集約されているが、Prodアカウントの管理者がログを削除できてしまう、
③コンプライアンス要件としてProdアカウントでは承認されたAMIのみを使用しなければならない。これらの課題を解決する最適なソリューションはどれですか？（2つ選択）
AAWS Organizations の自動有効化機能（Auto-enable）をGuardDutyで設定し、新しいアカウントが組織に追加された際に自動的にGuardDutyを有効化してセキュリティアカウントをデリゲート管理者として設定する。
✓ 正解
GuardDuty Auto-enable機能はOrganizations連携で新規アカウントへのGuardDuty自動有効化を提供し、デリゲート管理者から全組織の検出結果を一元管理できます。
BEventBridgeルールをOrganizationのマスターアカウントに設定し、CreateAccount イベントを検知してLambda関数でGuardDutyメンバーアカウント追加のAPIを呼び出す。
カスタムアプローチですが、GuardDutyのAuto-enable機能を使う方がネイティブでより適切です。
CログアーカイブアカウントのS3バケットにObject Lock（Compliance Mode）を設定し、SCPでProdアカウントのIAMエンティティによるs3:DeleteObject、s3:DeleteObjectVersion アクションをDenyする。
✓ 正解
S3 Object Lock Compliance Modeはrootユーザーを含む全ユーザーの削除を防止し、SCPと組み合わせることでクロスアカウントのログ削除を包括的に阻止できます。
DログアーカイブアカウントのS3バケットポリシーでProdアカウントからのDeleteアクションを拒否し、MFAデリートを有効化する。IAMポリシーでProdアカウント管理者のs3:DeleteObject権限を削除する。
ログアーカイブアカウント側のIAMポリシーによるs3:DeleteObject権限の削除はProdアカウント管理者が自身で変更できるため不十分です。
EProd アカウントのEC2 Image BuilderとAWS Config ルール（approved-amis-by-id）を組み合わせ、承認AMIリストをSystems Manager Parameter Storeに保存し、非準拠インスタンスを自動終了するLambda関数をConfig Remediationとして設定する。
インスタンス起動後の検出・修復では遅い（事後対応）です。事前防止にはSCPでec2:RunInstancesに承認済みAMI ID条件を付与するアプローチが最適です。
解説
AWS Organizations の自動有効化機能（Auto-enable）をGuardDutyで設定し、新しいアカウントが組織に追加された際に自動的にGuardDutyを有効化してセキュリティアカウントをデリゲート管理者として設定する。
および
ログアーカイブアカウントのS3バケットにObject Lock（Compliance Mode）を設定し、SCPでProdアカウントのIAMエンティティによるs3:DeleteObject、s3:DeleteObjectVersion アクションをDenyする。
GuardDutyのAuto-enable機能は、組織に新規アカウントが追加された際に自動的にGuardDutyを有効化する機能で、デリゲート管理者から設定可能です。
S3 Object Lock Compliance Modeはrootユーザーを含む全ユーザーによる削除を防止し、SCPと組み合わせることでアカウントをまたいだ保護を実現します。
選択肢Bはカスタムアプローチですが、GuardDutyのAuto-enable機能を使う方がネイティブでより適切です。
選択肢Dはログアーカイブアカウント側のIAMポリシーによるs3:DeleteObject権限の削除はProdアカウント管理者が自身で変更できるため不十分です。
選択肢Eはインスタンス起動後の検出・修復では遅い（事後対応）です。事前防止にはSCPでec2:RunInstancesに承認済みAMI ID条件を付与するアプローチが最適です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →