ある企業のセキュリティチームは、AWS アカウント内の S3 バケット・KMS キー・IAM ロール・Lambda 関数・SQS キューについて、アカウント外部からアクセス可能なリソースを継続的に特定したいと考えています。 以下の要件を満たす構成を選択してください。 ・意図しない外部アクセスが新たに検出された際にはリアルタイムで通知を受け取りたい ・ビジネス上必要な既知の外部アクセスは通知対象から除外したい 最も適切な構成はどれですか？
IAM Access Analyzer はリソースベースポリシーを静的に分析し、AWS アカウント外部（または組織外）からアクセス可能なリソースを継続的に検出します。対応リソースタイプは S3 バケット・KMS キー・IAM ロール・Lambda 関数・SQS キュー・Secrets Manager シークレット・SNS トピックなど多岐にわたります。新しい Finding が生成されると EventBridge にイベントが発行されるため、SNS との組み合わせでリアルタイム通知を実現できます。アーカイブルールを設定することで既知の外部アクセスパターンを自動的に除外し、本当に問題のある Finding のみを通知対象にできます。 選択肢AのAmazon Macie は S3 バケット内の機密データ（PII・財務情報など）の検出に特化しており、KMS キー・IAM ロール・Lambda 関数・SQS キューの外部アクセス分析は対象外です。複数サービスの組み合わせが必要で運用負荷も高くなります。 選択肢CのAWS Config マネージドルールは個々のリソース設定の非準拠を評価しますが、IAM ロールの信頼ポリシーや Lambda リソースポリシーなど複数リソースタイプにまたがる外部アクセス分析を統一的に提供しません。 選択肢DのAWS Security Hub は GuardDuty・Inspector・Access Analyzer などの Finding を集約するプラットフォームであり、独自にリソースの外部アクセスを検出する機能はありません。Access Analyzer を有効化すれば連携は可能ですが、Security Hub 単独では要件を満たせません。