SAP既存のソリューションの継続的改善
ある金融グループは AWS Organizations で40を超えるアカウントを集中管理しています。セキュリティ監査により、公開設定の S3 バケット、フルオープンのセキュリティグループ、暗号化されていない EBS ボリュームなどの設定ミスが複数アカウントで散発的に発生していることが判明しました。同社は『これらの設定ミスを継続的に検出する』『検出後に人手を介さず自動で是正する』『組織全体の準拠状況を集約して監査人に提示する』ことを、各アカウントで個別のカスタムコードを保守せずに実現したいと考えています。最も適切なアプローチはどれですか。
AAWS Config のマネージドルールとコンフォーマンスパックを Organizations 全体に展開し、Systems Manager Automation の修復ドキュメントを関連付けて非準拠リソースを自動修復し、Config アグリゲータで組織全体の準拠状況を集約監査する
✓ 正解
Config マネージドルールとコンフォーマンスパックが組織全体で設定ミスを継続検出し、SSM Automation の既製修復ドキュメントがコード保守なしで自動是正する。Config アグリゲータが準拠状況を集約し3要件を満たす。
B各アカウントの AWS Config ルールごとに EventBridge ルールと専用の Lambda 関数を作成し、非準拠イベントを受けてリソースを修復する処理をアカウント単位で個別に実装・保守する
Config ルール単位で EventBridge と Lambda を各アカウントに作り込む方式は自動是正自体は可能だが、アカウントごとにカスタムコードを実装・保守する必要があり、コードを保守しないという制約に明確に反する。
CAWS Security Hub のセキュリティ基準を組織全体で有効化し、検出結果を SNS で通知して担当者が手動でリソースを修正し、修正完了後に再評価を手動でトリガーする
Security Hub での検出と SNS 通知は可能だが是正が担当者の手作業であり、人手を介さず自動で是正するという要件を満たさない。再評価も手動トリガーで運用負荷が残る点も不適切である。
DAmazon GuardDuty を組織全体で有効化し、脅威検出の結果を EventBridge 経由で Lambda に送ってセキュリティグループや S3 バケットポリシーを自動的に修正する
GuardDuty は不正アクセスや異常な API 呼び出しなどの脅威検出が役割で、未暗号化 EBS やオープンなセキュリティグループといった静的なリソース設定の準拠評価は行えず、検出対象が要件とずれている。
解説
AWS Config のマネージドルールは公開 S3・オープンなセキュリティグループ・未暗号化 EBS などの設定ミスを継続評価でき、コンフォーマンスパックで Organizations 全体へ一括展開できる。各ルールに Systems Manager Automation の修復ドキュメント（AWS 管理の既製ドキュメントが多数提供される）を関連付けることで、カスタムコードを保守せずに自動修復が実現する。さらに Config アグリゲータで全アカウント・全リージョンの準拠状況を1か所に集約でき、監査提示の要件も満たす。検出・自動是正・集約監査の3点をマネージド機能で完結できる点が最適である。
選択肢Bは検出と是正は可能だが、アカウントごとに Lambda を実装・保守する必要があり『カスタムコードを保守しない』要件に反する。
選択肢Cは自動是正がなく手動修正であるため要件を満たさない。
選択肢Dの GuardDuty は脅威検出サービスであり、未暗号化 EBS のような静的な設定ミスのコンプライアンス評価には適さない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →