SCSセキュリティの基盤とガバナンス
ある企業がAWS Organizationsで管理する25のAWSアカウントの全APIアクティビティを、以下の要件を満たす形で記録したい。
・メンバーアカウントの管理者が証跡を無効化・削除できないようにする
・将来追加されるアカウントにも自動的に適用される
・管理・設定コストを最小化する
これらの要件を最も効率的に満たすアプローチはどれか。
A各メンバーアカウントにCloudTrailを個別設定し、中央S3バケットへログを転送する。SCPでCloudTrailの無効化・削除APIを拒否する
SCPによるCloudTrail削除APIの拒否は有効な制御だが、アカウントごとに個別設定が必要で管理コストが高い。新規アカウント追加のたびにCloudTrail設定を手動で行う必要があり、自動適用という要件を満たさない。
B管理アカウント（Management Account）でAWS CloudTrailの組織の証跡（Organization Trail）を作成し、中央S3バケットへログを集約する
✓ 正解
組織の証跡（Organization Trail）は管理アカウントで1回作成するだけで全メンバーアカウントに自動適用され、新規アカウント追加時も即時対応される。メンバーアカウントの管理者による変更・削除が不可能で、全要件を最小の管理コストで満たす。
CAWS Security HubのCloudTrail統合を有効化し、セキュリティ検出結果とあわせて全アカウントのAPIログを一元管理する
AWS Security HubはCloudTrailが無効化された際などのセキュリティ検出結果を集約するサービスであり、APIログそのものを記録・保存する機能ではない。CloudTrailが生成するログの代替にはならず、全APIアクティビティの記録という要件を満たせない。
DAmazon EventBridgeのクロスアカウントルールを設定し、全アカウントのAPI呼び出しイベントを中央アカウントのCloudWatch Logsに転送する
Amazon EventBridgeはAPI呼び出しをトリガーにしたイベント処理に有用だが、全APIアクティビティの完全なログ記録をCloudTrailと同等に保証することはできない。CloudTrailが持つ改ざん防止機能や詳細なイベント履歴の保証もないため要件を満たさない。
解説
AWS CloudTrailの組織の証跡（Organization Trail）は、AWS Organizationsの管理アカウントまたは委任管理者アカウントで作成する証跡で、組織全体のAPIアクティビティを中央で記録するための機能です。
主な特徴は以下の通りです。
・メンバーアカウントの管理者は証跡を閲覧できるが、変更・削除・無効化は不可能
・組織に新しいアカウントが追加された際も自動的に証跡が適用される
・全アカウントのAPIイベントが指定した中央S3バケットに集約される
・設定は管理アカウントで1回行うだけで全メンバーアカウントに即時反映される
選択肢AのSCP+個別設定アプローチは技術的に機能するが、アカウント追加のたびに手動でCloudTrail設定を行う必要があり管理コストが高い。
選択肢CのAWS Security HubはCloudTrailが無効化された場合などのセキュリティ検出結果を集約するサービスであり、APIログそのものを記録・保存する機能ではない。
選択肢DのAmazon EventBridgeはAPI呼び出しをトリガーにしたイベント処理には有用だが、全APIアクティビティの完全なログ記録・保存をCloudTrailと同等に保証することはできない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →