SCSセキュリティの基盤とガバナンス
あるグローバル企業はAWS Organizations配下に200以上のメンバーアカウントを保有しています。セキュリティガバナンスチームは、(1)全アカウントの設定準拠状況を単一画面で可視化し、(2)将来追加されるアカウントを含む全アカウントへ同一のコンプライアンスルールを自動展開し、(3)非準拠リソースを自動修復する仕組みを、できる限り運用負荷を抑えて構築したいと考えています。セキュリティツールアカウントはConfigの委任管理者に指定済みです。要件を満たす構成はどれですか。
A委任管理者アカウントでAWS Config Aggregatorを構成して全アカウントの設定を集約し、Aggregator上で修復アクションを定義して非準拠リソースを自動修復する
Config Aggregatorは複数アカウント・リージョンのConfigデータとコンプライアンス結果を読み取り専用で集約する仕組みであり、Aggregator自体に修復アクションを定義して非準拠リソースを自動修復する機能は存在しないため要件を満たせない。
B委任管理者アカウントからOrganization Configルールとコンフォーマンスパックを全アカウントへ展開し、SSM Automationによる自動修復を関連付けたうえで、Config Aggregatorで準拠状況を一元可視化する
✓ 正解
Organization Configルールとコンフォーマンスパックは委任管理者から全アカウント（将来追加分を含む）へ自動展開でき、SSM Automationを関連付ければ各アカウント内で自動修復が走り、Aggregatorで一元可視化も実現でき3要件を低運用負荷で満たす。
C各アカウントにCloudFormation StackSetsで個別のConfigルールを展開し、アカウントごとのConfigダッシュボードを定期的に手動レビューして是正する
StackSetsは新規アカウントへ追従できるが個別ルールを各アカウントに散在させ、一元的な準拠ダッシュボードがなく、ダッシュボードを手動レビューして是正するため運用負荷が高く自動修復要件も満たさない。
DSecurity Hubのセキュリティ基準を有効化して全アカウントの調査結果を集約し、各コントロールに対して手動でリソースを修正する
Security Hubは全アカウントの調査結果集約には有効だが、本選択肢は各コントロールを手動でリソース修正するとしており、自動修復という要件を満たせないため最適ではない。
解説
Organization Configルールおよびコンフォーマンスパックは、委任管理者アカウントから組織全体（新規参加アカウントを含む）へ一括展開でき、各ルールにSSM Automationの修復アクションを関連付けることで非準拠リソースを各アカウント内で自動修復できる。準拠状況の一元可視化はConfig Aggregatorが担うため、展開・修復・可視化の3要件をすべて低運用負荷で満たせる。
選択肢0のConfig Aggregatorは複数アカウント・リージョンの設定とコンプライアンス結果を読み取り集約する機能であり、Aggregator上で修復アクションを定義・実行することはできない。
選択肢2のCloudFormation StackSets+手動レビューは新規アカウントへの自動追従はできるものの、一元可視化がなく手動是正のため運用負荷が高い。
選択肢3のSecurity Hubは調査結果の集約には有効だが、ここでは自動修復を行わず手動修正としており、自動修復要件を満たさない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →