SCSセキュリティの基盤とガバナンス
グローバルに展開する金融サービス企業が、AWS Organizations 配下の 150 のメンバーアカウントに対して、PCI-DSS 準拠に必要な 25 個の AWS Config ルール（S3 バケットの暗号化確認、RDS 自動バックアップ確認、root アカウントの MFA 確認など）を一括デプロイしたい。さらに、全アカウントの準拠状況を委任管理者アカウントから集約して可視化したい。最も適切なアプローチはどれか。
AAWS CloudFormation StackSets のサービスマネージド権限を使用して Config ルール定義テンプレートを全 OU にデプロイし、各アカウントのスタックから個別にコンプライアンス状況を確認する
AWS CloudFormation StackSets は複数アカウントへのリソースデプロイに有効だが、Config ルールの準拠状況を委任管理者アカウントから集約して可視化する機能を持たない。150 アカウントを個別確認する必要があり、運用負荷が高い。
BAWS Security Hub で PCI-DSS セキュリティ標準を有効化し、組織全体に自動展開される Config ルールで準拠状況を Security Hub ダッシュボードに集約して一元管理する
AWS Security Hub の PCI-DSS セキュリティ標準は固定されたコントロールセットに基づいており、任意の 25 個のカスタム Config ルールを組織全体に一括デプロイする用途には対応していない。Config ルールのカスタム組織展開手段としては設計されていない。
CAWS Config コンフォーマンスパック（Conformance Pack）を AWS Organizations との統合機能を使って組織全体にデプロイし、委任管理者アカウントから全アカウントの準拠状況を一元管理する
✓ 正解
AWS Config コンフォーマンスパックは複数の Config ルールをパッケージ化して Organizations 統合で全アカウントに一括デプロイでき、委任管理者アカウントから全アカウントの準拠状況を集約ビューで確認できる。PCI-DSS 等のサンプルテンプレートも提供されている。
DAWS Systems Manager Automation ドキュメントを作成して各アカウントに順次 Config ルールを適用するジョブを実行し、結果を Amazon S3 バケットに集約してレポートを生成する
AWS Systems Manager Automation は定型運用タスクの自動化に適しているが、Config ルールの継続的な準拠管理や組織全体への集約ビュー提供は設計外であり、Conformance Pack と比較して実装・維持コストが大幅に高い。
解説
AWS Config コンフォーマンスパック（Conformance Pack）は、複数の Config ルールとオプションのリメディエーションアクションをひとつのパッケージにまとめ、AWS Organizations と統合して組織全体のアカウントに一括デプロイできる機能である。
委任管理者アカウントを指定することで、全メンバーアカウントの準拠状況を集約ダッシュボードで確認できる。AWS が提供するサンプルコンフォーマンスパック（PCI-DSS、CIS Benchmark 等）も活用可能であり、カスタムテンプレートにも対応しているため、任意の 25 ルールを柔軟に定義できる。
選択肢AのAWS CloudFormation StackSets は複数アカウントへのリソースデプロイに有効だが、Config ルールの準拠状況を委任管理者アカウントから集約して可視化する機能を持たず、各アカウントを個別確認する必要があり非効率である。
選択肢BのAWS Security Hub の PCI-DSS 標準は固定されたコントロールセットに基づいており、任意の 25 個のカスタム Config ルールを組織全体に一括デプロイする用途には対応していない。
選択肢DのAWS Systems Manager Automation は定型運用タスクの自動化に適しているが、Config ルールの継続的準拠管理や組織全体への集約ビュー提供は設計外であり、実装・維持コストが大幅に高い。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →