SAP組織の複雑さに対応する設計
ある多国籍企業は、各ビジネスユニットが独立したAWSアカウントを持ち、それぞれのリージョンで独自のリソースをデプロイしています。セキュリティガバナンスを強化するため、すべてのAWSアカウントで特定のタグ（例：CostCenter）が欠落しているインスタンスの起動を即座にブロックしたいと考えています。最も自動化された一貫性のある解決策はどれですか。
AAWS Organizationsの管理アカウントで「タグポリシー」を適用し、すべてのメンバーアカウントに対して必須タグを強制するサービスコントロールポリシー (SCP) を設定する
✓ 正解
SCPによる予防的統制は、リソース作成を未然に防ぐ最も強力なガバナンス手法です。全アカウントに即座に一貫して適用できるため、この要件には最適です。
B各アカウントでAWS Configルールを作成し、タグがないリソースを検知して自動的に削除または停止を実行する修復アクションを関連付ける
AWS Configルールによる修復は「事後検知（Detective Control）」に基づいています。リソースは一度作成されてしまうため、完全にブロックするという要件には合致せず、コストが発生するリスクがあります。
C各VPCにAWS Network Firewallをデプロイし、インスタンス作成時のパケットペイロードを検査してタグの有無を判定し、ドロップする
AWS Network Firewallはネットワークレベルのインスペクションサービスであり、EC2のAPIコールに含まれるメタデータ（タグ）を検査することはできません。アーキテクチャの目的が完全に異なります。
D管理アカウントでAWS Lambda関数を定期的に実行し、すべてのメンバーアカウントのEC2インスタンスをスキャンして、タグがないリソースにタグ付けを促す通知を送る
Lambdaによる定期的なスキャンは遅延を伴う非同期処理であり、リソース作成を「即座に」ブロックすることはできません。また、タグ付けを促すだけではブロックするという要件を満たしません。
解説
マルチアカウント環境においてタグが欠落したインスタンスの起動を「即座にブロック」するには、AWS Organizationsのサービスコントロールポリシー（SCP）を使用した予防的統制が最適です。特定のタグが含まれていない場合にec2:RunInstancesを拒否するDeny文をSCPとして設定することで、全組織アカウントで一貫したガードレールを実現できます。タグポリシーと組み合わせることで、タグの標準化も促進されます。
選択肢BのAWS Configルールは事後検知と修復を行う「発見的統制」であり、インスタンスが一時的に起動した後にのみ対応できるため、「即座にブロック」する要件を満たせません。
選択肢CのAWS Network Firewallはネットワーク層のパケットを検査するサービスであり、EC2インスタンス作成APIのタグ属性を検査してブロックする機能は持っていません。
選択肢DのLambda関数による定期スキャンは非同期の事後対応であり、タグなしインスタンスが作成されてしまった後の通知に過ぎず、リアルタイムのブロックにはなりません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →