SCSセキュリティの基盤とガバナンス
ある企業はAWS Organizations配下に60のメンバーアカウントを運用しています。セキュリティチームは、暗号化されていないEBSボリュームやパブリックアクセスが許可されたS3バケットなどの非準拠リソースを全アカウントで継続的に検出し、検出後は自動的に修復したいと考えています。新規アカウントが追加された際も追加設定なしで同じルールと修復が適用され、運用負荷を最小化する必要があります。最も適切な方法はどれですか。
A委任管理者アカウントから、AWS Config のルールとSSM Automation修復アクションを含む組織コンフォーマンスパックをデプロイし、組織全体および新規アカウントへ自動適用する
✓ 正解
組織コンフォーマンスパックは委任管理者から全メンバーアカウントへConfigルールと修復アクションを一括デプロイでき、新規アカウントにも自動適用される。SSM Automationによる自動修復を含められ運用負荷を最小化できるため要件を満たす。
B各メンバーアカウントで個別にAWS Config マネージドルールを有効化し、非準拠検出後はセキュリティチームがコンソールから手動でリソースを修復する
各アカウントで個別にルールを有効化する方式はアカウント数に比例して設定作業が増え、新規アカウントへ自動適用されない。手動修復も運用負荷が大きく、自動修復を求める要件を満たさない。
C管理アカウントでAWS Config アグリゲータを構成し、全アカウントの準拠状況を一元的に集約して可視化したうえでダッシュボードで継続監視する
Config アグリゲータは複数アカウント・リージョンの準拠状況を集約して可視化する検出特化の機能である。ルールのデプロイや自動修復を実行する機能はないため、修復要件を満たせない。
D各アカウントでEventBridgeルールを作成し、Config の準拠状態変更イベントを契機にLambda関数を起動して個別に修復処理を実行する
EventBridgeとLambdaによる修復は技術的には可能だが、各アカウントで個別にルールと関数を構築・保守する必要があり運用負荷が高い。新規アカウントへ自動適用されず一元管理の要件にも反する。
解説
組織コンフォーマンスパックは、AWS Config ルールと修復アクション(SSM Automation ドキュメント)をテンプレートとしてまとめ、AWS Organizations の委任管理者アカウントから全メンバーアカウントへ一括デプロイできる仕組みである。新規アカウントが組織に追加されると自動的に同じパックが適用されるため、追加設定なしで一貫したルールと自動修復を維持でき、運用負荷を最小化できる。
選択肢Bの個別マネージドルール+手動修復は、アカウント数に比例して設定が増え新規アカウントへ自動適用されず、手動修復も運用負荷が大きい。
選択肢CのConfig アグリゲータは準拠状況の集約・可視化に特化し、ルール配布や自動修復の機能を持たない。
選択肢DのEventBridge+Lambdaは各アカウントでの構築・保守が必要で運用負荷が高く、新規アカウントへの自動適用と一元管理の要件を満たさない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →