無限ノック › SCS 練習問題一覧 › 問題SCS セキュリティの基盤とガバナンス
ある大企業のセキュリティチームが、AWS Control Towerを使用してマルチアカウント環境を管理しています。以下の要件があります。
・新しいAWSアカウントが組織に追加された際、カスタムSCP（サービスコントロールポリシー）の適用とセキュリティモニタリングツールのデプロイを自動的に実行する
・カスタム設定をInfrastructure as Code（IaC）としてGitリポジトリで管理し、バージョン管理する
・サードパーティのセキュリティツールをCloudFormationテンプレートで各アカウントに自動デプロイする
これらの要件を最も効率的に満たすアプローチはどれか？
A Customizations for AWS Control Tower（CfCT）を使用し、CloudFormationテンプレートとSCPをGitリポジトリで管理してアカウント作成時に自動適用する
✓ 正解
CfCTはControl Towerのライフサイクルイベントと統合されたAWS公式ソリューションです。AWS CodePipelineを通じてCloudFormationテンプレートとSCPをIaCとして管理し、新規アカウント作成時に自動適用されます。GitリポジトリとCI/CDパイプラインによるバージョン管理が可能で、すべての要件を単一フレームワークで満たします。
B AWS Organizationsのライフサイクルイベント（CreateManagedAccount）をAmazon EventBridgeで検知し、AWS Lambda関数でSCPの適用とCloudFormationスタックのデプロイを実行する
EventBridge + Lambdaは技術的に実現可能ですが、CfCTが提供するIaC管理・バージョン管理・CI/CDの仕組みを個別に開発・保守する必要があり非効率です。
C AWS CloudFormation StackSetsをSELF_MANAGEDモードで設定し、新規アカウント追加のたびに管理者が手動でスタックセットを実行する
StackSets SELF_MANAGEDモードは新規アカウントへの自動適用ができず手動操作が必要なため、要件を満たしません。
D AWS Control Towerのアカウントファクトリーで作成したアカウントに対して、AWS Systems Manager Automationドキュメントを使って設定を適用する
Systems Manager Automationはアカウント間の自動デプロイとIaC管理のための専用ソリューションではなく、要件を包括的に実現するには不向きです。
解説 CfCTはControl Towerのライフサイクルイベントと統合されたAWS公式ソリューションです。AWS CodePipelineを通じてCloudFormationテンプレートとSCPをIaCとして管理し、新規アカウント作成時に自動適用されます。GitリポジトリとCI/CDパイプラインによるバージョン管理が可能で、すべての要件を単一フレームワークで満たします。
選択肢BのEventBridge + Lambdaは技術的に実現可能ですが、CfCTが提供するIaC管理・バージョン管理・CI/CDの仕組みを個別に開発・保守する必要があり非効率です。
選択肢CのStackSets SELF_MANAGEDモードは新規アカウントへの自動適用ができず手動操作が必要なため、要件を満たしません。
選択肢DのSystems Manager Automationはアカウント間の自動デプロイとIaC管理のための専用ソリューションではなく、要件を包括的に実現するには不向きです。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →