ヘルスケア企業がAWS Organizationsで12のAWSアカウントを運用しています。セキュリティ監査で複数アカウントにわたる以下の違反が発覚しました。 ・S3バケットのパブリックアクセス有効化 ・EC2セキュリティグループへのポート22/3389に対する0.0.0.0/0許可 ・KMSカスタマーマネージドキーの自動ローテーション無効化 ・RDSインスタンスのストレージ暗号化未設定 要件は次のとおりです。 ①S3パブリックアクセスとSGの過剰許可を15分以内に自動修復 ②KMS・RDS違反はDBチームによる手動確認が必要なためアラート通知のみ ③全アカウントのコンプライアンス状況を一元ダッシュボードで管理 ④将来追加される新規アカウントにも自動適用 最小の運用オーバーヘッドでこれらの要件を満たすアーキテクチャはどれですか？
AWS ConfigとSSM Automationを組み合わせた設定コンプライアンス自動修復パターンが、本要件を最も正確に満たします。Config管理ルールは設定違反を継続的に検出し、ルールに紐付けたSSM Automationドキュメントが自動修復を15分以内に実行します。修復不要なKMS・RDS違反はEventBridgeルールでSNSに通知するのみとし、DBチームによる手動対応を促す設計にできます。CloudFormation StackSetsをOrganizationsと連携することで既存・新規アカウント双方に一貫してConfig設定を自動適用できます。Security HubはConfigと統合することで検出結果を集約し、マルチアカウントのコンプライアンスダッシュボードを提供します。 選択肢BのGuardDutyは不正アクセスや異常動作を検出する脅威インテリジェンスサービスであり、「KMSキーのローテーション未設定」「RDS暗号化未設定」などの設定コンプライアンス違反を検出する機能はありません。 選択肢CのConfig適合パックは複数のConfig管理ルールをパッケージ化するもので自動修復アクションは含まれず、Systems Manager Patch ManagerはOSパッチ管理ツールであってConfig違反の修復には使用できません。 選択肢DのFirewall ManagerはS3ブロックパブリックアクセスやSGポリシーを管理できますが、Security HubにはConfig違反のネイティブ自動修復機能がなく、またKMS・RDS違反を自動修復しようとしている点が手動確認のみという要件に反します。