SAP組織の複雑さに対応する設計
ある製造業のグローバル企業は AWS Organizations で複数の事業部門を OU に分けて管理しており、各アカウントは複数のリージョンにリソースを展開している。同社のセキュリティ部門は、管理（Management）アカウントの利用を最小化する方針のもと、専用のセキュリティアカウントから組織横断でコンプライアンスを統制したいと考えている。具体的には、全アカウント・全リージョンに標準化された AWS Config ルールと自動修復を一元的に展開し、準拠状況を単一のビューで集約・可視化することを求めている。この要件を最も効率的に満たす方法はどれか。
Aセキュリティアカウントを AWS Config の委任管理者に指定し、組織のコンフォーマンスパックを委任管理者から全アカウント・全リージョンに一括デプロイする。同アカウントに組織アグリゲータを構成して準拠状況を集約する
✓ 正解
Config を委任管理者に委任し組織コンフォーマンスパックを一括デプロイすれば全アカウント・全リージョンに標準ルールと自動修復を展開でき、組織アグリゲータで準拠状況を単一ビューに集約できる最適解である。
B管理アカウントで CloudFormation StackSets を使用して各アカウント・リージョンに Config ルールを個別展開し、Amazon Athena で各アカウントの設定スナップショットを S3 から集計してダッシュボードとして可視化する
StackSets で Config ルールを個別展開すること自体は可能だが、コンフォーマンスパックの一元管理や修復、集約ビューを Athena で自作する運用負荷が大きく、標準化と可視化の効率が明確に劣る。
C各アカウントで Security Hub を有効化し、AWS 基礎セキュリティベストプラクティス基準のコントロール結果をセキュリティアカウントに集約して、Config ルールの代替として準拠状況を評価する
Security Hub は複数ソースの検出結果を集約するが、詳細な設定準拠の評価や自動修復は Config が担う領域であり、Config ルールの完全な代替として組織標準の統制を展開する手段にはならない。
DControl Tower の必須検出コントロールのみを有効化し、追加の Config ルールは各ワークロードチームが自アカウントで任意に構成する運用とし、管理アカウントの Trusted Advisor で全体を確認する
Control Tower の必須検出コントロールのみでは組織で標準化した追加 Config ルールを強制できず、各チーム任意の構成ではガバナンスが担保されない。Trusted Advisor も準拠状況の組織集約には不向きである。
解説
AWS Config をセキュリティアカウントに委任管理者として委任し、組織のコンフォーマンスパックを委任管理者から一括デプロイすれば、管理アカウントに依存せず全アカウント・全リージョンに標準化された Config ルールと自動修復を展開できる。組織アグリゲータを併用すれば、単一ビューで組織横断の準拠状況を集約・可視化でき、運用負荷を抑えつつガバナンスを確保できる。
選択肢1の StackSets と Athena はルール展開自体は可能だが、コンフォーマンスパックの一元管理や集約ビューを自前構築する運用負荷が大きい。
選択肢2の Security Hub は複数の統制を集約するが、詳細な設定コンプライアンス評価や自動修復は Config が担う領域で、完全な代替にはならない。
選択肢3の Control Tower 検出コントロールのみでは組織標準の追加ルールを強制できず、任意運用ではガバナンスが担保されない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →