SOAセキュリティとコンプライアンス
ある企業のセキュリティポリシーでは、EC2 インスタンスへの管理アクセスについて次が義務付けられています。インバウンドの SSH ポート（22番）を一切開放しない、踏み台（bastion）ホストや長期 SSH キーを廃止する、実行された操作コマンドをすべて監査ログとして記録する。プライベートサブネット上の Linux/Windows インスタンス群に対し、これらを満たす最も運用負荷の低い方法はどれですか。
AEC2 Instance Connect を有効化して一時キーで接続し、接続に伴う API 呼び出しを CloudTrail に記録して監査する
EC2 Instance Connect は一時キーを用いますが SSH（22番ポート）への到達を前提とし主に Linux 向けで、実行コマンドのログ記録も標準では備えないため、ポート非開放とコマンド監査の要件を満たせません。
Bプライベートサブネットに踏み台ホストを配置し、Site-to-Site VPN 経由でのみ SSH 接続を許可してアクセスを制限する
踏み台ホストと Site-to-Site VPN の構成は踏み台の運用と SSH ポート開放が残り、踏み台廃止・SSH キー廃止・22番ポート非開放という要件に真っ向から反するため不適切です。
CAWS Systems Manager Session Manager を使用し、セッションのコマンドログを Amazon S3 と CloudWatch Logs に記録する
✓ 正解
Systems Manager Session Manager は SSM エージェントと IAM でポートを開放せずアクセスでき、踏み台や SSH キーが不要で、コマンドログを S3 と CloudWatch Logs に記録できるため全要件を最小の運用負荷で満たします。
DAWS Client VPN で社内から接続したうえで、セキュリティグループにより特定 IP アドレスからの SSH のみを許可する
AWS Client VPN とセキュリティグループによる制限は接続経路を絞るものの、SSH ポートの開放と長期 SSH キーの運用が前提のままとなり、ポート非開放とキー廃止の要件を満たせません。
解説
AWS Systems Manager Session Manager は、SSM エージェントと IAM 権限を利用してインバウンドポートを開放せずにシェルアクセスを提供します。踏み台ホストや SSH キーが不要で、プライベートサブネットのインスタンスにも VPC エンドポイント経由でアクセスできます。セッション中に実行されたコマンドのログを Amazon S3 と CloudWatch Logs に記録でき、監査要件も満たせるため、最も運用負荷が低い方法です。
選択肢Aの EC2 Instance Connect は一時キーを使いますが、Linux 中心でありインバウンド 22番ポートへの到達（SSH）を前提とし、実行コマンドのログ記録は標準では行いません。
選択肢Bの踏み台ホスト＋VPN 構成は SSH ポートの開放と踏み台の運用が残り、キー廃止・ポート非開放という要件に反します。
選択肢Dの Client VPN ＋セキュリティグループ制限も SSH ポート開放と SSH キー運用が前提となり、要件を満たせません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →