SCSセキュリティの基盤とガバナンス
あるグローバル企業のクラウドセキュリティチームが、AWS Organizations配下のすべてのアカウントに対し、CIS AWS Foundations Benchmarkに準拠したAWS Config Rulesのセットを統一的に展開したいと考えています。中央の管理アカウントから組織全体への一括デプロイと、各アカウントのコンプライアンス状況の集中可視化が要件です。最も効果的なアプローチはどれですか？
AOrganizations対応のConformance Packを委任管理者アカウントからデプロイし、全アカウントの準拠状況をConfig Aggregatorで中央集約して可視化する
✓ 正解
AWS Config Conformance PackはOrganizations対応でデプロイすると全メンバーアカウントに統一したConfig Rulesセットを一括展開でき、Config Aggregatorで準拠状況を中央集約できる。一括展開と集中可視化の両要件をネイティブ機能で最もシンプルに満たす。
BCloudFormation StackSetsを使用してConfig RulesをOU単位で全アカウントにデプロイし、各アカウントの評価結果を中央S3バケットに集中保存して管理する
CloudFormation StackSetsでConfig Rulesのデプロイは可能だが、Conformance Packのような一体管理機能や組織レベルのコンプライアンス集約機能がなく、準拠状況の中央可視化には追加の仕組みが別途必要になる。
CSecurity HubでCIS AWS Foundations Benchmarkを有効化し、Security Hubの集約機能で全アカウントのコンプライアンス状況を管理アカウントで一元確認する
Security HubのCIS基準はAWSが定義した固定のセキュリティチェックを実行するが、カスタムConfig Rulesを含む独自ルールセットを組織全体に展開する要件にはConformance Packが適しており、この選択肢では柔軟なルール管理ができない。
DLambda関数とEventBridgeルールを使用して、各アカウントへConfig Rulesを定期的にデプロイするカスタム自動化パイプラインを構築する
Lambda + EventBridgeによるカスタム自動化も実現は可能だが、AWS Config Conformance PackがOrganizationsレベルの一括展開と集約をネイティブサポートしているため、独自実装は不必要に複雑でコスト対効果が低い。
解説
選択肢AのAWS Config Conformance PackはAWS Configルールと修復アクションをパッケージ化したもので、Organizations全体に委任管理者アカウントから一括展開できます。
OrganizationsレベルのConformance Packを使用することで、全メンバーアカウントに同一のConfig Rulesセットを自動適用できます。AWS Config Aggregatorと組み合わせると、各アカウントのコンプライアンス状況を中央アカウントに集約して可視化でき、一括デプロイと集中可視化の両要件を最もシンプルに満たします。
選択肢BのCloudFormation StackSetsはConfig Rulesのデプロイ自体は可能ですが、Conformance Packのような一体管理機能を持たず、コンプライアンス状況の中央集約には別途仕組みが必要になるため運用が複雑化します。
選択肢CのAWS Security HubのCIS基準はAWSが定義した固定のセキュリティチェックを実行しますが、カスタムConfig Rulesを含む独自ルールセットを組織全体に展開する要件に対してはConformance Packの方が適しており、既存Config Rulesとの統合も容易です。
選択肢DのLambda + EventBridgeによるカスタムパイプラインは機能実現は可能ですが、Config Conformance PackというネイティブサービスがOrganizationsレベルでの展開と集約をサポートしているため、開発・保守コストが不必要に増大します。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →