SOAモニタリング、ロギング、分析、修復、およびパフォーマンスの最適化複数選択
ある企業のセキュリティチームは、AWS Config を使用して組織内の全アカウントが「S3バケットのパブリックアクセスブロックが有効であること」などのルールに準拠しているか確認したいと考えています。さらに、非準拠リソースを検出した際にSSMオートメーションで自動修復（パブリックアクセスブロックを有効化）したいと考えています。この要件を最も少ない運用負荷で実現するには何を使用すべきですか？（2つ選択）
AAWS Config コンフォーミティパック（Conformity Pack）にルールと修復アクションを定義し、Organizations全体に一括展開する
✓ 正解
AWS Config コンフォーミティパックはConfigルールと修復アクションをYAMLで一元定義し、Organizations全体の全アカウントへ一括展開できます。新規アカウントへの自動適用も可能で、マルチアカウント展開の管理コストを最小化できます。
BAWS Config ルールをCloudFormation StackSetsで各アカウントに個別デプロイし、Lambda関数で修復処理を実装する
CloudFormation StackSetsで個別展開しLambdaで修復処理を実装することは技術的には可能ですが、ネイティブConfig修復機能を使わないためコード保守・エラーハンドリング・デプロイ管理など運用負荷が高くなります。
CAWS Config の修復アクション（Remediation Action）としてSSM Automationドキュメントを関連付け、非準拠検出時に自動実行する
✓ 正解
Config修復アクションにSSM Automationドキュメントを関連付けると、非準拠リソース検出時にSSMドキュメントが自動実行されます。これによりパブリックアクセスブロックの有効化などの修復処理を人手を介さず即座に実行できます。
DAWS Security HubのS3関連コントロールを有効化し、手動修復のワークフローをServiceNowと連携する
Security HubはConfigルールの結果を集約・可視化するサービスで、コンプライアンス状況の把握には有効ですが、自動修復機能を持ちません。ServiceNowとの手動ワークフローでは自動修復の要件を満たせません。
EAmazon EventBridgeルールでConfig非準拠イベントを検知し、Lambda関数で修復スクリプトを実行する
EventBridgeとLambdaを組み合わせてConfig非準拠イベントを処理することは可能ですが、Config修復アクション＋SSM Automationの直接関連付けに比べて管理コンポーネントが増え、設定・保守の運用負荷が高くなります。
解説
AWS Config コンフォーミティパック（Conformity Pack）は、複数のConfigルールと修復アクションをYAMLテンプレートで一元定義し、Organizations全体のアカウントに一括展開できます。新規アカウントへの自動適用も可能なため、マルチアカウント環境での展開管理負荷を最小化できます。
AWS Config の修復アクション（Remediation Action）では、非準拠リソース検出時にSSM Automationドキュメントを自動実行できます。これにより、人手を介さずパブリックアクセスブロックを即座に有効化できます。この2つの組み合わせにより、組織全体への展開と自動修復を最小の運用負荷で実現できます。
選択肢BはCloudFormation StackSetsで個別デプロイしLambdaで修復処理を実装する方法ですが、ネイティブなConfig修復機能を活用しないためコード保守やデプロイ管理の運用負荷が高くなります。
選択肢DはSecurity HubがConfigルール結果の集約・可視化には有効ですが、自動修復機能を持たず、ServiceNowとの手動ワークフロー連携は自動修復要件を満たしません。
選択肢EはEventBridgeとLambdaによる修復も機能的には実現可能ですが、SSM AutomationをConfig修復アクションに直接関連付ける方法に比べて管理するコンポーネントが増え、運用負荷が高くなります。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →