SCSインフラストラクチャのセキュリティ
ある企業はAWS Organizationsを使用して多数のAWSアカウントを管理している。セキュリティチームは、以下の要件を満たすソリューションを検討している。
・本番OUに属するすべてのアカウントのApplication Load BalancerにSQLインジェクションとXSSをブロックするWAFルールを適用する
・将来この本番OUに追加された新規アカウントやALBにも同じポリシーが自動的に適用される
最も少ない運用負荷でこれらの要件を実現するサービスはどれか。
AAWS Configのカスタムルールで各アカウントのALBのWAF設定を検査し、非準拠リソースへLambda自動修復でWebACLを関連付ける
AWS Configルール+Lambda自動修復は既存リソースへの対応は可能だが、新規アカウントが追加されるたびにConfigルールの展開が必要となり、Organizations全体への自動適用という要件に対してFirewall Managerより運用負荷が高い。
BAWS Firewall ManagerのWAFポリシーを本番OUをスコープとして作成し、既存・新規アカウントのALBへWAFルールを自動展開する
✓ 正解
AWS Firewall ManagerはOrganizations全体でWAFポリシーを一元管理し、スコープ内の既存ALBへの即時適用と新規アカウント・ALBへの自動展開を単一ポリシーで実現する。新規リソースへの自動適用が最小運用負荷での実現を可能にする。
CAWS Security HubとEventBridgeを連携させてWAF未設定のALBを検出し、Step Functionsで修復ワークフローを実行する
Security Hub+EventBridge+Step Functionsによる自動修復は構成が複雑で、各アカウントへのEventBridgeルールとStep Functions設定が必要となるため、Organizations全体への統一管理にはFirewall Managerより運用コストが高い。
DAWS Control TowerのカスタムSCPでWAF未設定ALBのデプロイを禁止するガードレールを設定し、サービスカタログで準拠済みテンプレートを提供する
SCPはAPIアクションの許可・拒否を制御するためのサービスであり、WAFとALBの関連付けを強制したり未設定リソースを自動修復する機能はなく、既存・新規リソースへのWAFポリシー自動適用には対応できない。
解説
AWS Firewall Managerは、AWS Organizations全体でWAF・Shield・Network Firewallなどのセキュリティポリシーを一元管理するサービス。WAFポリシーを本番OUをスコープに指定して作成すると、対象OU内の既存アカウントのALBへ即時適用され、さらにOUに追加された新規アカウントや新たに作成されたALBにも自動的にWAFルールが適用される。この自動展開機能により、大規模なマルチアカウント環境でも追加作業なしに一貫したセキュリティポリシーが維持される。
選択肢AのAWS Configルール+Lambda自動修復は既存リソースへの対応は可能だが、新規アカウントへの自動展開には各アカウントでConfigルールを個別に展開する必要があり、Firewall Managerと比較して運用負荷が高い。
選択肢CのAWS Security Hub+EventBridge+Step Functionsは検出と修復が可能だが、アカウントごとに設定が必要な複雑なアーキテクチャとなり、Organizations全体への統一展開には適していない。
選択肢DのSCPはAPIアクションの許可・拒否を制御するものであり、WAFとALBの関連付けを強制したり既存リソースを自動修復する機能は提供されていない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →