SCSセキュリティの基盤とガバナンス
ある大企業のセキュリティエンジニアが、AWS Organizationsの管理下にある90のAWSアカウントに対して、カスタムAWS Configルールを含むコンプライアンスパッケージを一括展開したい。展開後は、すべてのアカウントおよびリージョンを横断したコンプライアンス状況を単一の集中管理ビューで監視することが要件となっている。この要件を最も効率的に実現するアーキテクチャはどれか？
AAWS CloudFormationスタックセットを使用してAWS Config Rulesを各アカウントにデプロイし、Amazon CloudWatchカスタムダッシュボードでコンプライアンス結果を集約・可視化する
StackSetsは初期デプロイに有効ですが、管理の複雑性が高く、継続的なドリフト検出・自動修復・コンプライアンス状況集約をConfigと別に構築する必要があります。統合的な管理が実現しにくいです。
BAWS Config コンフォーマンスパック（Conformance Pack）をOrganizations管理アカウントから組織全体に展開し、マルチアカウント・マルチリージョンのConfigアグリゲーターでコンプライアンス状況を一元管理する
✓ 正解
複数Config RulesをOrganizations管理アカウントから組織全体に一括展開できます。カスタムルールも含め、Configアグリゲーターで組織全体のコンプライアンス状況を単一ビューで把握でき、統合的な管理が実現できます。
CAWS Security Hubでカスタムセキュリティ標準を定義し、Organizations管理アカウントから全メンバーアカウントへ一括で有効化してコンプライアンス状況を確認する
Security HubはConfig RulesをOrganizations全体に一括展開する機能を持ちません。コンフォーマンスパックのような統一的な展開・管理メカニズムがないため代替になりません。
DAWS Control Towerでカスタム発見的コントロールを作成し、ランディングゾーン全体に適用してConfig Rulesを展開する
Control TowerのカスタムコントロールでConfigRulesを展開できますが、既存Organizations環境への適用に制限があり、カスタムルール管理ほどの柔軟性がありません。
解説
AWS Config コンフォーマンスパックは、複数のConfig RulesとオプションのSSM（AWS Systems Manager）自動修復アクションをパッケージ化したものです。Organizations管理アカウント（または委任管理者アカウント）から組織全体の全アカウント・全リージョンへ一括展開でき、カスタムルールも含められます。Configアグリゲーターと組み合わせることで、組織全体のコンプライアンス状況を単一ビューで把握できます。
選択肢Aの「AWS CloudFormationスタックセット」は技術的に可能ですが、管理の複雑性が高く、コンプライアンス状況の集約もConfig本来の仕組みと別に構築する必要があります。
選択肢Cの「AWS Security Hub」はカスタム標準はAWS Config Rulesそのものを組織全体に一括展開する機能を持たず、コンフォーマンスパックの代替にはなりません。
選択肢Dの「AWS Control Tower」はカスタムコントロールでも発見的ガードレール（Config Rules）を展開できますが、カスタムルールの柔軟な管理と既存のOrganizations環境への適用においてコンフォーマンスパックほどの効率性がありません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →