SOAセキュリティとコンプライアンス
ある企業は AWS Organizations で 30 の AWS アカウントを管理しており、全アカウントの ALB（Application Load Balancer）に統一した AWS WAF Web ACL を適用する必要があります。セキュリティチームは、新しいアカウントが作成された際に自動で WAF ルールが適用され、かつ既存アカウントの WAF 設定が変更・削除された場合に自動で元に戻るようにしたいと考えています。運用負荷が最も低い方法はどれですか？
ACloudFormation StackSets を使用して各アカウントに WAF Web ACL をデプロイし、Systems Manager Automation ドキュメントで週次に設定を検証・修復する
CloudFormation StackSetsは初期デプロイに有効ですが、継続的なドリフト検出と自動修復はFirewall Managerほど統合的ではありません。Systems Manager Automation構築も追加実装が必要です。
BAWS Firewall Manager でセキュリティポリシーを作成し、Organizations 全体の ALB に WAF Web ACL を自動適用する。ポリシーの自動修復を有効にし、設定変更を検出して自動で元に戻す
✓ 正解
Organizations全体のセキュリティポリシーを一元管理できます。WAF WebACL自動適用、自動修復によるドリフト検出と自動復帰が統合的に実現でき、既存・新規アカウント両方に対応し、継続的なコンプライアンスを運用負荷なく維持できます。
C各アカウントの ALB に手動で WAF Web ACL をアタッチし、AWS Config カスタムルールで設定変更を監視して SNS 通知する
AWS Configは事後監視に有効ですが、各アカウントへのWAF WebACL手動アタッチが必要です。新規アカウント追加時の対応が遅れ、運用負荷が増加し、「統一的適用」要件を満たしません。
DAWS Control Tower のカスタムコントロール（SCP）を作成して WAF の変更・削除 API を拒否し、初回は各アカウントに手動でデプロイする
SCPは変更・削除APIを制限できますが、WAFの初期適用機能を持ちません。したがって単独では初期導入と継続的適用の両要件を満たせません。
解説
AWS Firewall Manager は WAF・Shield・セキュリティグループ・Network Firewall などを Organizations 全体のアカウント・リソースに一元的に適用・強制するサービスです。セキュリティポリシーを作成すると、既存アカウントおよび新規追加アカウントの ALB に WAF Web ACL が自動的に適用されます。「自動修復（Auto Remediation）」を有効にすることで、設定変更を検出後に自動で元に戻すことができ、継続的なコンプライアンス維持が運用負荷なく実現できます。
選択肢Aの CloudFormation StackSets は初期デプロイには有効ですが、継続的なドリフト検出と自動修復は Firewall Manager ほど統合的ではなく追加実装が必要です。
選択肢Cの手動アタッチは新規アカウントへの対応が遅れ、運用負荷が高く要件を満たしません。
選択肢Dの SCP は変更を制限できますが WAF の初期適用機能はないため単独では不十分です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →