SCSセキュリティの基盤とガバナンス
あるグローバル企業はAWS Organizationsで多数のアカウントを5つのリージョンにわたって運用しています。セキュリティチームは、AWS Foundational Security Best Practices などのセキュリティ標準と個々のコントロールを、全アカウント・全リージョンで一貫して有効化し、新規アカウントにも自動適用したいと考えています。アカウントごとの手動設定を避け、運用負荷を最小化する必要があります。最も適切な方法はどれですか。
A委任管理者アカウントからSecurity Hub の中央設定(central configuration)を有効化し、設定ポリシーで有効にする標準とコントロールを定義して組織全体・新規アカウントへ自動適用する
✓ 正解
中央設定は委任管理者から設定ポリシーを用いて、有効にする標準やコントロールを組織全体の複数リージョンへ一括適用し、新規アカウントにも自動適用できる。手動設定を避け運用負荷を最小化できるため要件を満たす。
B各メンバーアカウント・各リージョンでSecurity Hub を個別に有効化し、必要なセキュリティ標準とコントロールをそれぞれ手動で構成して全体の統一を維持する
各アカウント・各リージョンで個別に有効化・構成する方式はアカウントとリージョン数に比例して作業が増え、新規アカウントへ自動適用されない。一貫性維持と運用負荷最小化の要件を満たさない。
C委任管理者アカウントでSecurity Hub のクロスリージョン集約を構成し、全リージョンの調査結果を集約リージョンへ統合して標準の有効化状況を一元確認する
クロスリージョン集約は各リージョンの調査結果を1つの集約リージョンへまとめる機能であり、標準やコントロールの有効化(設定の配布)は行わない。よって一貫した有効化を求める要件を満たせない。
D管理アカウントでAWS Config の組織アグリゲータを構成し、全アカウント・全リージョンの準拠データを集約してセキュリティ標準の有効化状況を継続監視する
Config の組織アグリゲータはConfigの準拠データを集約する機能で、Security Hub の標準やコントロールを有効化する機能ではない。集約は可視化にとどまり、設定の一括適用や自動適用を実現できない。
解説
Security Hub の中央設定(central configuration)は、委任管理者アカウントから設定ポリシー(configuration policy)を用いて、有効化するセキュリティ標準や個々のコントロールを組織内の複数アカウント・複数リージョンへ一括して適用できる機能である。新規アカウントにもポリシーが自動適用されるため、アカウントごとの手動設定を避けつつ一貫した有効化を維持し、運用負荷を最小化できる。
選択肢Bの個別有効化はアカウントとリージョン数に比例して作業が増え、新規アカウントへ自動適用されない。
選択肢Cのクロスリージョン集約は調査結果を1つのリージョンへまとめる機能であり、標準やコントロールの有効化(設定の配布)は行わない。
選択肢DのConfig 組織アグリゲータはConfigの準拠データ集約機能で、Security Hub の標準を有効化する機能ではなく、可視化にとどまる。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →