SOAセキュリティとコンプライアンス
ある企業は ACM で発行した数十枚のパブリック証明書を、複数の ALB と CloudFront ディストリビューションで使用しています。過去に外部 CA から持ち込んだ証明書の更新漏れで障害が発生したため、運用チームは全証明書の有効期限を継続的に監視し、期限が近づいた証明書を自動で検知して通知したいと考えています。最小の運用負荷で実現する方法はどれですか。
AAWS Config マネージドルール「acm-certificate-expiration-check」を有効化し、非準拠を検出した際に EventBridge 経由で Amazon SNS に通知する
✓ 正解
Config マネージドルール 1 つで ACM 管理証明書とインポート証明書の残存日数をまとめて評価でき、非準拠発生を EventBridge から SNS へ流すだけで通知が自動化されるため、証明書ごとの作り込みが不要で運用負荷が最も小さい。
B各証明書の Amazon CloudWatch DaysToExpiry メトリクスに個別の CloudWatch アラームを作成し、閾値を下回ったら Amazon SNS で運用チームに通知する
CloudWatch の DaysToExpiry で期限監視自体は可能だが、証明書ごとにアラームを個別作成・維持する必要があり、証明書の追加・削除のたびに手動対応が発生するため横断監視には運用負荷が大きい。
CLambda 関数を日次の EventBridge スケジュールで実行し、ACM の DescribeCertificate を全証明書に対して呼び出して有効期限を集計し SNS へ通知する
Lambda と DescribeCertificate で要件は満たせるが、関数コード・スケジュール・証明書一覧の取得ロジックを自前で開発・保守する必要があり、マネージドルールを使う方式より運用負荷が高くなる。
DAWS Trusted Advisor の「ACM 証明書」チェックを定期的に確認し、期限が近い証明書を運用チームが手動で ACM コンソールから再発行する
Trusted Advisor での確認も再発行も人手に依存し、継続的な自動検知・自動通知の要件を満たさない。定期的な目視確認が漏れると更新漏れが再発するリスクが残る。
解説
AWS Config のマネージドルール acm-certificate-expiration-check は、ACM が管理する証明書とインポートした証明書の残存有効日数を評価し、指定した日数（既定 14 日など）を下回ると自動で「非準拠」と判定します。1 つのルールで全証明書を横断的に監視でき、非準拠になった時点で EventBridge の Config ルール準拠変更イベントを SNS に連携すれば通知が自動化されるため、証明書ごとの設定を作り込む必要がなく運用負荷が最小です。
選択肢Bの CloudWatch DaysToExpiry メトリクスは有効期限監視に使えますが、証明書ごとにアラームを個別作成・維持する必要があり、証明書が増減するたびに手作業が発生する。
選択肢Cの Lambda を用いた自作監視は要件を満たせるが、コードとスケジュール、証明書一覧の管理を自前で保守する必要があり、マネージドルールに比べて運用負荷が高い。
選択肢Dの Trusted Advisor は定期確認と再発行がいずれも手動で、継続的な自動検知・通知にならない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →