無限ノック › SCS 練習問題一覧 › 問題SCS セキュリティの基盤とガバナンス
ある企業はAWS Control Towerでマルチアカウント環境を管理しています。セキュリティチームは、開発者がCloudFormationでリソースをデプロイする際に、暗号化が無効なEBSボリュームやS3バケットなど組織ポリシーに反するリソースが「プロビジョニングされる前」に作成をブロックし、デプロイを失敗させたいと考えています。リソースのプロパティ値を評価して未然に防止する必要があります。最も適切なコントロールはどれですか。
A AWS Control Towerのプロアクティブコントロール（CloudFormation Hooks）を有効化し、スタック操作時にリソースプロパティを評価して非準拠リソースのプロビジョニングをブロックする
✓ 正解
プロアクティブコントロールはCloudFormation Hooksでスタック操作時にリソースのプロパティ値を評価し、非準拠リソースをプロビジョニング前にブロックしてデプロイを失敗させる。作成前にプロパティを評価して未然防止する本要件に唯一合致する。
B AWS Control Towerの発見的コントロール（AWS Configルール）を有効化し、リソース作成後に暗号化設定を評価して非準拠を検出・通知する
発見的コントロール（Configルール）はリソース作成後に設定を評価して非準拠を検出・通知する仕組みであり、リソースのプロビジョニング自体は完了してしまうため、作成前にブロックするという要件を満たせない。
C AWS Control Towerの予防的コントロール（SCP）を有効化し、暗号化されていないリソースに対するすべてのAPI呼び出しをアカウント単位で拒否する
予防的コントロール（SCP）はAPIアクション単位で許可/拒否を制御するが、CloudFormationテンプレート内の暗号化有無などリソースプロパティ値を網羅的に評価して作成段階で止めることはできず、未然防止の粒度に達しない。
D AWS Configのコンフォーマンスパックを全アカウントへ展開し、非準拠リソースをSSM Automationで作成後に自動修復する
コンフォーマンスパックとSSM Automationによる修復は作成後の検出・自動修復であり、デプロイをブロックして失敗させる挙動ではないため、プロビジョニング前に止めるという要件に合致しない。
解説 Control TowerのプロアクティブコントロールはCloudFormation Hooksを基盤とし、スタックの作成・更新時にリソースのプロパティ値を評価して、非準拠のリソースが実際にプロビジョニングされる前にスタック操作を失敗させてブロックできる。「作成前にプロパティ値を評価して未然防止」という要件に唯一合致する。
選択肢1の発見的コントロール（Configルール）はリソース作成後に評価して非準拠を検出・通知するため、プロビジョニング自体は成立してしまい未然防止にならない。
選択肢2の予防的コントロール（SCP）はAPIアクション単位の許可/拒否を制御するが、CloudFormationテンプレート内の個々のリソースプロパティ値（暗号化の有無など）を網羅的に評価して作成段階で止めることはできない。
選択肢3のコンフォーマンスパック+SSM自動修復は作成後の検出と修復であり、デプロイをブロックして失敗させる挙動にはならない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →