SCSセキュリティの基盤とガバナンス
あるグローバル企業は AWS Organizations 配下に約120のアカウントを持ち、すべてのアカウントで「S3バケットの暗号化必須」「EBSの暗号化必須」「IMDSv2必須」を継続的に評価したいと考えています。要件は、(1)新規作成アカウントにも自動的に評価ルールが展開されること、(2)各ルールの準拠状況を管理アカウントから単一ビューで集約できること、(3)個々のメンバーアカウント管理者がルールを削除・無効化できないこと、です。最小の運用負荷でこれを満たす構成はどれですか。
A各メンバーアカウントで個別に AWS Config ルールを作成し、Security Hub のクロスアカウント集約で準拠状況を確認する。新規アカウントには手動でルールを追加する。
新規アカウントへルールを手動追加する運用が発生するため「自動展開」要件を満たさない。また各アカウントで個別作成したルールはメンバー管理者が削除・無効化でき、ガバナンス要件にも反する。
B委任管理者アカウントから AWS Config の組織コンフォーマンスパックを Organizations 全体にデプロイし、Config アグリゲータで準拠状況を集約する。
✓ 正解
組織コンフォーマンスパックは委任管理者から全アカウントへ一括展開され新規アカウントにも自動適用される。メンバー側では組織管理ルールとなり削除不可、Config アグリゲータで単一ビュー集約も可能で全要件を最小運用で満たす。
C管理アカウントの CloudFormation StackSets で各アカウントに Config ルールを展開し、SCP でルール削除 API を拒否したうえで Trusted Advisor で集約表示する。
Trusted Advisor は個別 Config ルールの準拠状況を集約するダッシュボードではないため集約ビュー要件を満たさない。StackSets の自動展開設定や SCP は機能するが集約手段が不適切。
DAWS Control Tower の検出的ガードレールを有効化し、各アカウントの Config ダッシュボードを個別に開いて準拠状況を確認する。
Control Tower の検出的ガードレールは Config ベースで機能するが、各アカウントのダッシュボードを個別に確認する必要があり、管理アカウントからの単一集約ビュー要件を満たさない。
解説
組織コンフォーマンスパック（organization conformance pack）は委任管理者アカウントから Organizations 全体に Config ルールの集合を一括展開でき、新規に追加されたアカウントにも自動的に適用される。
メンバーアカウント側では組織管理のルールとしてデプロイされるため、メンバーアカウント管理者が個別に削除・変更できない。
さらに Config アグリゲータを使えば全アカウント・全リージョンの準拠状況を管理アカウントの単一ビューで集約でき、3つの要件すべてを最小運用で満たす。
選択肢の各アカウントで個別に Config ルールを作成する構成は、新規アカウントへの自動展開ができず手動運用が発生するため運用負荷の要件に反する。
選択肢の StackSets と SCP の組み合わせは、Trusted Advisor が Config ルール単位の準拠状況を集約表示するサービスではないため要件を満たさない。
選択肢の Control Tower 検出的ガードレールは有効だが、各アカウントの Config ダッシュボードを個別に開く運用となり単一ビュー集約の要件を満たさない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →