ある大手製造業企業はAWS Organizationsを使用して150のAWSアカウントを管理しています。OU構成は「Root 管理OU（管理アカウント・ログアーカイブアカウント・セキュリティツールアカウント）」「R

Question

ある大手製造業企業はAWS Organizationsを使用して150のAWSアカウントを管理しています。OU構成は「Root > 管理OU（管理アカウント・ログアーカイブアカウント・セキュリティツールアカウント）」「Root > 本番OU」「Root > 開発OU」「Root > サンドボックスOU」です。以下の5つの要件があります。（1）全メンバーアカウントでAmazon GuardDuty・AWS Security Hub・AWS CloudTrail・AWS Configの無効化・削除操作を予防的に防止する。（2）本番OUのアカウントではus-east-1とeu-west-1以外のリージョンでのAWSサービス利用を禁止する（IAM・STS・Route 53等グローバルサービスは対象外）。（3）開発チームはIAMロールを作成できるが自身が持つ権限を超えた権限を付与するIAMロールを作成できないようにする（権限昇格防止）。（4）中央セキュリティアカウントから全メンバーアカウントのLambda関数をクロスアカウントで呼び出してインシデント対応を行う。（5）従業員認証にMicrosoft Entra ID（旧 Azure AD）を使用し一元的なSSOを実現する。最小の運用オーバーヘッドでこれら全要件を満たすアーキテクチャの組み合わせはどれですか？

Accepted Answer

正解: SCPをRootレベルに適用してguardduty:DisassociateFromAdministratorAccount・guardduty:DeleteDetector・securityhub:DisassociateFromAdministratorAccount・cloudtrail:StopLogging・cloudtrail:DeleteTrail・config:StopConfigurationRecorder・config:DeleteDeliveryChannelを拒否する。本番OUにaws:RequestedRegionがus-east-1またはeu-west-1以外の場合に全アクションを拒否するSCPをNotActionでiam:*・sts:*・route53:*等グローバルサービスを除外した形で適用する。開発OUでiam:CreateRole実行時にiam:PermissionsBoundary条件が承認済みPermission Boundary ARNと一致しない場合にCreateRoleを拒否するSCPを適用して権限昇格を予防的に防止する。IAM Identity CenterをSCIM（System for Cross-domain Identity Management：クロスドメインID管理の標準規格）プロビジョニングとSAML 2.0（Security Assertion Markup Language：認証情報交換のXMLベース標準規格）でMicrosoft Entra IDと統合しSSO実現。各メンバーアカウントのLambdaリソースベースポリシーで中央セキュリティアカウントの実行ロールARNからの呼び出しを許可する。。RootレベルSCPで全メンバーアカウントのGuardDuty・Security Hub・CloudTrail・Configを一括保護し、NotActionパターンのリージョン制限SCPで本番OUのグローバルサービスを除外しつつ未承認リージョンを遮断します。iam:PermissionsBoundary条件付きSCPで権限昇格を予防的に制御します。IAM Identity CenterとEntra IDのSCIM+SAML 2.0統合でSSOを実現し、LambdaリソースベースポリシーでクロスアカウントInvokeを許可する組み合わせが全5要件を最小の運用オーバーヘッドで満たします。

選択肢Bは誤りです。SCPのAllow文だけではリージョン制限を正確に実現できません（リージョン制限にはNotActionパターンのDenyが必要で、Allowリストによる制限はグローバルサービスの除外が困難です）。また管理OUのみのSCP保護では本番OU・開発OU・サンドボックスOUが無防備になります。

選択肢Cは誤りです。AWS Config自動修復は非準拠状態を検出後に修復する事後対応であり、予防的な制御ではありません。またAWS Resource Access Manager（RAM）はLambda関数の共有には対応していません。

選択肢Dは誤りです。管理アカウントはSCPの適用対象外であるため、NotPrincipal条件による除外は不要であり誤設定リスクが高くなります。IAM Access Analyzerは継続的なモニタリングツールであり、権限昇格を予防的に防止する制御ではありません。

Answer

管理OUのメンバーアカウントのみを対象にセキュリティサービスの無効化・削除操作を拒否するSCPを適用する。本番OUにはAllow文でus-east-1とeu-west-1のみを許可するSCPを作成することでリージョン制限を実現する。開発者のIAMポリシーにiam:PassRoleへの条件を付与して権限昇格を防止する。CloudFormation StackSetsで全アカウントに中央セキュリティアカウントへの信頼関係を持つIAMロールをデプロイする。IAM Identity CenterでオンプレミスのActive Directory Federation Services（AD FS）との連携を構成しEntra IDユーザーをAD FSに手動同期させる。 — 誤りです。SCPのAllow文だけではリージョン制限を正確に実現できません（リージョン制限にはNotActionパターンのDenyが必要で、Allowリストによる制限はグローバルサービスの除外が困難です）。また管理OUのみのSCP保護では本番OU・開発OU・サンドボックスOUが無防備になります。

Answer

全アカウントにAWS Configマネージドルール（cloudtrail-enabled・guardduty-enabled-centralized等）をCloudFormation StackSetsでデプロイしSystems Manager Automationで非準拠状態を自動修復する。本番OUにはec2:RunInstances・rds:CreateDBInstance等を非承認リージョンで拒否するSCPを個別に作成する。権限昇格防止にAWS Config ルール（iam-no-inline-policy）を適用する。IAM Identity CenterでEntra IDを外部IdP（Identity Provider：認証プロバイダー）として接続する。AWS Resource Access Manager（RAM）でLambda関数リソースを全アカウントに共有してインシデント対応を可能にする。 — 誤りです。AWS Config自動修復は非準拠状態を検出後に修復する事後対応であり、予防的な制御ではありません。またAWS Resource Access Manager（RAM）はLambda関数の共有には対応していません。

Answer

SCPをRootレベルに適用しGuardDuty・Security Hub・CloudTrail・Configの操作を拒否するがNotPrincipal条件に管理アカウントの管理者ロールARNを明示して管理アカウント自身の操作を許可する。本番OUにリージョン制限SCPを適用する。権限昇格防止にはIAM Access Analyzerの継続モニタリングとEventBridgeトリガーのLambda自動修復を組み合わせる。IAM Identity CenterでEntra IDとのSCIM（System for Cross-domain Identity Management）プロビジョニングを設定する。AWS Service Catalogで承認済みLambda実行ロールテンプレートを全アカウントに提供し中央セキュリティアカウントへのアクセスを組み込む。 — 誤りです。管理アカウントはSCPの適用対象外であるため、NotPrincipal条件による除外は不要であり誤設定リスクが高くなります。IAM Access Analyzerは継続的なモニタリングツールであり、権限昇格を予防的に防止する制御ではありません。

解説

解説