SCSセキュリティの基盤とガバナンス
ある大企業のセキュリティチームが、AWS Organizations配下の60のAWSアカウントを管理しており、全アカウントのセキュリティ検出結果を1か所で集中管理したいと考えています。
要件は以下の通りです：
・セキュリティ運用は専用のセキュリティアカウントで行い、管理アカウントは日常操作に使用しない
・新規アカウントが組織に追加された際に自動的にSecurity Hubが有効化されること
・最小権限の原則に従うこと
この要件を最も効率的に満たすアーキテクチャはどれか？
A管理アカウントでSecurity Hubを有効化し、各メンバーアカウントに対してクロスアカウントアクセス用のIAMロールを作成して、Security Hub APIを定期的にポーリングする
クロスアカウントIAMロールによるポーリングは一定の実現は可能ですが、手動管理が多く新規アカウントの自動化が困難です。
BセキュリティアカウントをSecurity Hubの委任管理者（Delegated Administrator）として指定し、組織全体の自動有効化（Auto-Enable）を設定する
✓ 正解
Security Hubの委任管理者機能により、管理アカウントを日常操作に使わず専用セキュリティアカウントから組織全体のSecurity Hub管理が可能になります。Auto-Enable設定で新規アカウントへの自動有効化も実現でき、最小権限の原則にも合致します。
C管理アカウントにAWS Config Aggregatorを設定し、Security Hub検出結果をConfig評価として集約する
AWS Config AggregatorはConfigルールの評価結果を集約する機能であり、Security Hub検出結果の集約・管理用途には適しません。
D各メンバーアカウントにLambda関数をデプロイし、CloudWatch EventsでSecurity Hub検出結果をセキュリティアカウントのSNSトピックに転送する
AWS Lambdaによるカスタム実装は保守コストが高く、AWS標準機能を活用していません。
解説
Security Hubの委任管理者機能により、管理アカウントを日常操作に使わず専用セキュリティアカウントから組織全体のSecurity Hub管理が可能になります。Auto-Enable設定で新規アカウントへの自動有効化も実現でき、最小権限の原則にも合致します。
選択肢AのクロスアカウントIAMロールによるポーリングは一定の実現は可能ですが、手動管理が多く新規アカウントの自動化が困難です。
選択肢CのAWS Config AggregatorはConfigルールの評価結果を集約する機能であり、Security Hub検出結果の集約・管理用途には適しません。
選択肢DのAWS Lambdaによるカスタム実装は保守コストが高く、AWS標準機能を活用していません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →