ある金融機関がAWS Organizationsで80以上のAWSアカウントを管理しています。コンプライアンスチームから以下の要件が提示された。 ・NIST SP 800-53にマッピングされたAWS Config Rulesセットを全アカウントに標準として展開すること ・新規アカウントが組織に追加された際も自動的にルールが適用されること ・全アカウントのコンプライアンス状態を1か所で集約・可視化すること ・各アカウントでの個別設定作業を最小化すること これらの要件を最も効率的に満たすアーキテクチャはどれか。
AWS Config Organization Conformance PackはOrganizations統合を利用して管理アカウントから全メンバーアカウントにConfig Rulesを一括展開できる。NIST SP 800-53対応の定義済みテンプレートが提供されており、新規アカウント追加時も自動適用される。Config Aggregatorにより複数アカウント・複数リージョンのコンプライアンス状態を一元管理できる。 選択肢AのAWS Security HubはOrganizations経由でOrg全体に一括有効化できるが、NIST SP 800-53標準はセキュリティFindingの集約・評価を目的としており、特定のConfig Rulesセットをカスタマイズして全メンバーアカウントに展開するConformance Packの機能はない。 選択肢CのCloudFormation StackSetsは技術的に可能だが、新規アカウントへの自動適用には追加設定が必要で管理の複雑さがOrganization Conformance Packより高い。 選択肢DのControl Towerガードレールは定義済みコントロールセットであり、NIST SP 800-53の特定Config Rulesセットをカスタマイズして展開する柔軟性はOrganization Conformance Packに劣る。