SOAデプロイ、プロビジョニング、および自動化

AWS Organizations を使用して複数の AWS アカウントを管理している企業の SysOps エンジニアが、組織に新規アカウントが追加されるたびに標準のガードレール用リソース(IAM ロール・S3 バケットポリシー)を自動的にデプロイしたいと考えています。手動作業を排除し最も自動化された方法はどれですか?

A
CloudFormation StackSets の自動デプロイを有効化し、Organizations の対象 OU をターゲットとして新規アカウントに自動展開する
✓ 正解
StackSets の自動デプロイ機能は新規アカウント追加を検知して対象 OU に即座にスタックインスタンスを作成し、手動作業を完全に排除できる。
B
Service Catalog でポートフォリオとプロダクトを定義し、各新規アカウントの管理者が自らリソースをプロビジョニングする
Service Catalog はセルフサービスのプロビジョニングを支援するが、管理者が手動でプロビジョニングを実行する必要があり自動化の要件を満たさない。
C
EventBridge で新規アカウント作成イベントを検知し、Lambda から各アカウントの CloudFormation API を呼び出してスタックをデプロイする
EventBridge + Lambda の構成は技術的に動作するが、Lambda コードのメンテナンスが必要で StackSets の自動デプロイよりも運用負荷が高い。
D
Control Tower の Account Factory でアカウントをプロビジョニングし、起動後に担当者がガードレール用リソースを手動で適用する
Control Tower の Account Factory はアカウント作成を標準化するが、ガードレールリソースを起動後に手動適用するフローは自動化要件を満たさない。

解説

StackSets の自動デプロイを OU にターゲット指定すると、新規アカウントの追加を自動検知してスタックインスタンスをデプロイ・削除するため、手動作業が不要になる。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
SOA の問題一覧に戻る