無限ノック › SOA 練習問題一覧 › 問題SOA デプロイ、プロビジョニング、および自動化
ある金融機関では、本番環境のEC2インスタンス150台すべてに対して、CIS（Center for Internet Security：インターネットセキュリティセンターが策定するセキュリティベンチマーク）準拠のセキュリティ設定とCloudWatchエージェントの設定が常時適用されていることを保証する必要があります。インスタンスが誤操作などで意図した設定から外れた（ドリフトした）場合でも、30分以内に自動的に元の設定に戻す要件があります。最も運用負荷が低い方法はどれですか？
A AWS Configカスタムルールで設定ドリフトを検出し、修復アクションとしてSystems Manager Automationドキュメントを実行して設定を自動的に元の状態に戻す
AWS Config定期ルールの最短評価間隔は1時間であり、30分以内の修復要件を満たすことが困難です。また、OSレベルのセキュリティ設定変更はConfigが直接検知できるリソース変更ではなく、カスタムルールによる検出にも制限があります。State Managerより構成が複雑になります。
B Systems Manager State Managerのアソシエーションを作成し、設定ドキュメントを対象インスタンスに関連付けて実行間隔を30分以内に設定する
✓ 正解
SSM State ManagerはSSMドキュメントをインスタンスに定期的・継続的に適用するために設計されたサービスです。アソシエーションの実行間隔をrate(30 minutes)以内に設定することで、設定ドリフトを次のサイクルで自動修復でき、追加実装なしで要件を最も少ない運用負荷で満たします。
C EventBridgeのスケジュールルールで30分ごとにLambda関数を起動し、Systems Manager Run Commandで全対象インスタンスに設定再適用スクリプトを実行する
EventBridge＋Lambda＋Run Commandの組み合わせは機能しますが、Lambda関数の実装・メンテナンスが別途必要です。またドリフトの有無にかかわらず150台全インスタンスへ30分ごとにコマンドが発行されるため、State Managerより運用負荷が高くなります。
D AWS CloudFormationのドリフト検出を30分間隔でスケジュール実行し、設定差分が検出された場合に変更セットを自動作成してスタックを更新する
CloudFormationドリフト検出はCloudFormationスタックで定義したリソース（VPC、セキュリティグループなどのインフラ設定）の差分検出に特化しており、インスタンスOS内のセキュリティ設定やCloudWatchエージェントの設定ファイルは検出・修復の対象外です。
解説 選択肢BのSystems Manager State Manager は、指定したSSMドキュメントを対象インスタンスに定期的かつ自動的に適用し続けるマネージドサービスです。アソシエーションの実行間隔を「rate(30 minutes)」に設定することで、インスタンスが設定ドリフトした場合でも次の実行サイクルで自動修復されます。エージェントレベルで動作し、OSやミドルウェアレベルの設定維持に特化しており、Lambda関数や複雑な連携設定を追加で必要としません。
選択肢AのAWS Config定期ルールは最短評価間隔が1時間であり、30分以内の修復要件を満たすことが困難です。また、OSレベルの設定変更はConfigが直接検知できるリソース変更ではないため、カスタムルールによる検出にも制限があります。
選択肢CのEventBridge＋Lambda＋Run Commandは動作可能ですが、Lambda関数の実装・メンテナンスが必要で、ドリフトの有無にかかわらず150台全インスタンスへ30分ごとにコマンドが発行され運用負荷が高くなります。
選択肢DのCloudFormationドリフト検出はCloudFormationテンプレートで定義したインフラリソースの差分検出に特化しており、OS内のセキュリティ設定やCloudWatchエージェント設定には対応していません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →