SAP組織の複雑さに対応する設計
ある企業はAWS Organizationsを使用して数十のAWSアカウントを管理しています。コンプライアンスチームは、すべてのメンバーアカウントでAWS CloudTrailが有効になっており、ログが中央のセキュリティアカウントのS3バケットに保存されることを確実にする必要があります。また、各アカウントの管理者がこのCloudTrail設定を変更または無効にできないようにする必要があります。運用オーバーヘッドを最小限に抑えつつ、この要件を満たす最適な設計はどれですか。
AAWS Organizationsの管理アカウントで組織レベルのCloudTrail証跡を作成し、セキュリティアカウントのS3バケットを指定する。さらに、証跡の変更を拒否するSCPを適用する
✓ 正解
AWS Organizationsで組織レベルのCloudTrail証跡を作成し、全アカウントのログを中央S3バケットに集約します。さらにSCPを適用してメンバーアカウントによる設定変更を制限することで、コンプライアンス要件を完全に満たすことが可能です。
B各メンバーアカウントでAWS CloudFormation StackSetsを使用してCloudTrailを設定し、セキュリティアカウントのS3にログを送信する。IAM境界で変更権限を制限する
CloudFormation StackSetsは複数アカウントへのリソース展開に有効ですが、組織レベルの証跡機能と比較すると展開状態の維持やアカウント追加時の運用管理の手間が増加します。また、IAMの権限境界の管理は複雑さを増すため最適ではありません。
CAWS Control Towerを利用してアカウントファクトリーでCloudTrailを有効化し、AWS Configルールで設定の逸脱を監視してシステムマネージャーで自動修復する
AWS Control TowerとConfigによる監視と修復は強力なガバナンスモデルですが、事後対応（逸脱の検知と修復）に基づくアプローチであり、組織の証跡を利用した事前防止（変更不可の設定）と比較すると運用コストとリスクが高くなります。
D管理アカウントでAWS Step Functionsを使用して各アカウントのCloudTrail設定を定期的にチェックし、無効化されている場合はLambdaで再有効化する自動スクリプトを実行する
Step FunctionsとLambdaを使用したカスタムスクリプトによる定期チェックと修復は、AWSのネイティブなマネージド機能（組織の証跡とSCP）を再発明するものであり、維持管理のオーバーヘッドが非常に大きいため、プロフェッショナルな設計として不適切です。
解説
AWS Organizationsと連携して組織レベルのCloudTrail証跡を作成することが、マルチアカウント環境でのログ集約のベストプラクティスです。この方法により、既存のすべてのアカウントおよび今後追加される新規アカウントに対して自動的にCloudTrailが有効になり、ログが指定した単一のS3バケット（セキュリティアカウントなど）に配信されます。また、組織の証跡はメンバーアカウントからは変更または削除できない仕様となっているため、サービスコントロールポリシー（SCP）を組み合わせることで、意図しない設定変更や無効化を確実に防ぐことができ、コンプライアンス要件を最小限の運用オーバーヘッドで完全に満たします。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →