SOAセキュリティとコンプライアンス
グローバル展開する SaaS 企業が AWS Organizations を使用して複数の AWS アカウントを管理しています。新しいアカウントが作成されるたびに「CloudTrail の有効化」「S3 パブリックアクセスのブロック」「ルートアカウントの MFA 強制」などのセキュリティ基準を自動的に適用したいと考えています。既存アカウントの設定変更も検出・修復したい場合、最もガバナンスが確立され自動化された方法はどれですか？
AAWS CloudFormation StackSets を使用して、Organizations の全 OU（組織単位）にセキュリティ設定スタックをデプロイする。新規アカウント作成時は EventBridge ルールで Lambda をトリガーしてスタックを自動展開する。
CloudFormation StackSetsはテンプレートデプロイに特化しており、Account Factoryほどアカウントライフサイクル管理が統合されていません。手動運用が残ります。
BAWS Control Tower を有効化し、ランディングゾーンを構成する。予防的ガードレール（SCP ベース）と発見的ガードレール（AWS Config ルールベース）を OU に適用し、Account Factory で新規アカウントを登録する。
✓ 正解
AWS Control Towerはランディングゾーンにより基盤インフラを自動設定し、予防的（SCP）と発見的（Config）ガードレール、Account Factoryでの標準化されたアカウント払い出しを実現します。
CAWS Organizations の SCP（サービスコントロールポリシー）を OU レベルで設定し、非準拠の操作を拒否する。Config Conformance Pack を全アカウントに展開して継続的に監視する。
SCPとConfig Conformance Packで予防的・発見的制御は可能ですが、新規アカウントへの自動プロビジョニング（Account Factory相当）や統合的な自動修復機能がなく、Control Towerより手動運用が残ります。
DSecurity Hub を Organizations の管理アカウントで有効化し、全メンバーアカウントの検出結果を集約する。自動修復は Systems Manager Automation ドキュメントで実装する。
Security Hubはセキュリティ検出結果の集約・可視化が主目的で、新規アカウントへのセキュリティ設定自動適用機能は持っていません。
解説
AWS Control Tower はマルチアカウント環境のガバナンスを包括的に自動化するサービスです。ランディングゾーンにより基盤インフラが自動設定され、予防的ガードレール（SCP で禁止）と発見的ガードレール（Config ルールで検出）を組み合わせることで、新規アカウントに自動適用されます。Account Factory により標準化されたアカウント払い出しも実現します。
選択肢AのCloudFormation StackSets 方式は Account Factory ほどアカウントライフサイクル管理が統合されておらず、新規アカウント展開時に手動運用が残ります。
選択肢CはSCPとConfig Conformance Packの組み合わせで予防的・発見的制御は実現できますが、新規アカウントへの設定自動適用（Account Factory相当の統合プロビジョニング）や自動修復機能がなく、Control Towerより手動運用が残ります。
選択肢DのSecurity Hub はセキュリティ検出結果の集約・可視化が主目的であり、新規アカウントへのセキュリティ設定自動適用や統合されたアカウントプロビジョニング機能は持っていません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →