SOAセキュリティとコンプライアンス
ある企業は AWS Organizations で 30 のアカウントを管理しています。セキュリティ監査により、一部メンバーアカウントの管理者が AWS CloudTrail を無効化・削除していたことが判明しました。アカウントレベルの管理者・ルートユーザーを含む全てのプリンシパルが CloudTrail を停止・削除できないよう、予防的に制御したいと考えています。最も効果的な方法はどれですか？
A全メンバーアカウントの IAM 管理者ロールに cloudtrail:DeleteTrail と cloudtrail:StopLogging を Deny するインラインポリシーを追加する
IAMポリシーはメンバーアカウントの管理者が変更・削除できるため、管理者やルートユーザーによるCloudTrail停止・削除を確実に防止できず、予防的制御としては不十分です。
BAWS Config ルール「cloudtrail-enabled」を全アカウントに設定し、非準拠検出時に Systems Manager Automation で自動修復アクションを実行する
AWS Configルールと自動修復は非準拠を検出した後に修復する事後的（検出的）制御であり、削除から修復までの一時的なギャップが生じるため予防的制御にはなりません。
COrganizations 管理アカウントから SCP（サービスコントロールポリシー）で cloudtrail:DeleteTrail と cloudtrail:StopLogging を Deny し、組織ルートまたは全 OU（組織単位）に適用する
✓ 正解
SCPのDenyを組織ルートまたは全OUに適用すると、ルートユーザーやIAM管理者を含むすべてのプリンシパルがCloudTrailの停止・削除を行えなくなり、最も強力な予防的ガードレールを実現できます。
DCloudTrail の組織証跡（Organization Trail）を有効化し、CloudTrail 削除 API の呼び出しを検出する CloudWatch Alarm と SNS 通知を設定する
Organization TrailとCloudWatch Alarm・SNS通知は削除APIの検出・通知は可能ですが、削除後の事後対応にとどまり、操作自体を防ぐ予防的制御にはなりません。
解説
SCP（サービスコントロールポリシー）はOrganizationsレベルで適用されるガードレールであり、メンバーアカウントのルートユーザーやIAM管理者であっても制限できます。Denyを組織ルートまたは全OUに適用することで、いかなるIAMエンティティもCloudTrailを停止・削除できなくなる強力な予防的制御が実現します。
選択肢Aは、IAMポリシーはアカウント管理者が変更・削除できるため、確実な予防にならず不十分です。
選択肢Bは、Config＋自動修復は非準拠を検出後に修復する事後的制御であり、削除から修復までの一時的なギャップが生じます。
選択肢Dは、Organization Trailとアラームは検出・通知のみで、操作自体を防ぐ予防的制御にはなりません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →