無限ノック › SOA 練習問題一覧 › 問題
SOAデプロイ、プロビジョニング、および自動化

ある企業は AWS Organizations を使用して60個のAWSアカウントを管理しています。セキュリティチームは、特定のOU(Organizational Unit:組織単位)配下のすべてのアカウントに、標準VPC設定とセキュリティグループを定義したCloudFormationスタックを展開したいと考えています。また、そのOUに将来追加される新規アカウントにも自動的に同じスタックが適用される必要があります。最も少ない運用負荷でこれを実現する方法はどれですか?

A
管理アカウントから AWS CLI スクリプトを作成し、各アカウントに AssumeRole して CloudFormation スタックを個別にデプロイする定期実行バッチ処理を設定・維持する
AWS CLI スクリプトによる定期バッチは、AssumeRole 処理やスタックデプロイロジックを自前で実装・維持する必要があり、新規アカウントへの対応も手動設定が必要なため、StackSets に比べて管理コストが大幅に高くなります。
B
CloudFormation StackSets の Organizations 統合モードで対象 OU をターゲットに設定し、自動デプロイを有効化して新規アカウントへの自動スタック展開と削除を実現する
✓ 正解
StackSets の Organizations 統合モードでは OU 単位で一括デプロイが可能で、自動デプロイを有効化することで新規アカウント追加時にスタックインスタンスが自動作成され、削除時は自動削除されます。スクリプト実装不要で信頼性と保守性に優れた最適解です。
C
AWS Control Tower の CfCT(Customizations for Control Tower)を利用して、ランディングゾーン設定としてすべてのアカウントに標準 CloudFormation 構成をプッシュする
CfCT は AWS Control Tower 導入が前提となるため、Organizations のみを使用している環境では事前にランディングゾーンの構築が必要となり、StackSets を直接利用する場合より導入・運用負荷が高くなります。
D
EventBridge でアカウント作成イベントを検知し、Lambda 関数がターゲットアカウントで CloudFormation スタックを自動デプロイする仕組みを構築・管理する
EventBridge と Lambda を組み合わせてアカウント作成イベントを検知し CloudFormation をデプロイする方法は、StackSets のネイティブ機能で解決できる問題を過剰に複雑化しており、コードのメンテナンスコストも発生します。

解説

CloudFormation StackSets のOrganizations統合では、OUを指定するだけでOU配下の全アカウントへ一括デプロイできます。「自動デプロイ(Automatic Deployment)」を有効にすると、OUへの新規アカウント追加時に自動でスタックインスタンスが作成され、アカウント削除時は自動削除されます。管理アカウントまたは委任管理者アカウントから中央集権的に管理でき、スクリプトやLambdaによるカスタム実装より信頼性・保守性が高い選択肢です。 選択肢AのAWS CLIスクリプトによる定期実行バッチは、スクリプトを自前で実装・維持する必要があり管理コストが高くなります。 選択肢CのAWS Control Tower のCfCT(Customizations for Control Tower)は、AWS Control Towerの導入が前提となるため、Organizationsのみを利用している環境では追加のランディングゾーン構築が必要となり、StackSetsを直接利用するより導入・運用の負荷が高くなります。 選択肢DのEventBridgeとLambda関数は、StackSetsネイティブ機能で解決できる問題を過剰に複雑化しています。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
← SOA の問題一覧に戻る