SOA信頼性とビジネス継続性
ある金融機関はAWS Backupを使用してRDSとEBSの日次バックアップをバックアップボールトに保管しています。コンプライアンス監査の要件として、設定した保持期間が経過するまでは、ランサムウェア攻撃や内部の特権ユーザー（rootユーザーを含む）であってもバックアップを削除・改ざんできないようにする必要があります。一度この保護を有効化したら誰も無効化できないことが求められます。この要件を満たす設定はどれですか。
AAWS Backup Vault Lockをコンプライアンスモードで有効化し、保持期間中はrootユーザーを含む誰もバックアップを削除・変更できないようにする
✓ 正解
コンプライアンスモードはWORMモデルでバックアップを保護し、コールドオフ期間経過後はrootユーザーやAWSサポートを含む誰もロックを無効化・削除できない。保持期間中の削除・改ざんが完全に不可能となりランサムウェアや内部脅威から保護でき要件を満たす。
BAWS Backup Vault Lockをガバナンスモードで有効化し、特定のIAM権限を持つユーザーのみが保持設定やロックを変更できるようにする
ガバナンスモードはbypassGovernanceRetention権限を持つIAMユーザーがロックや保持設定を変更・削除できる。特権ユーザーによる無効化を許してしまうため「誰も無効化できない」という不変性の要件を満たせない。
Cバックアップボールトの背後にあるS3バケットにObject Lockをコンプライアンスモードで設定し、オブジェクトの上書きと削除を禁止する
AWS Backupのバックアップボールトはマネージドストレージであり、利用者がその背後のS3バケットに直接Object Lockを構成することはできない。技術的に実現不可能な構成のため要件を満たせない。
Dバックアップボールトにバックアップの削除APIを拒否するIAMポリシーをアタッチし、すべてのユーザーの削除操作を制限する
IAMポリシーは適切な権限を持つ管理者によって変更・削除でき、バックアップの不変性を保証できない。さらにrootユーザーの操作は制限できないため、特権ユーザーからの保護という要件を満たせない。
解説
AWS Backup Vault Lockのコンプライアンスモードは、WORM（Write Once Read Many）モデルでバックアップを保護します。コールドオフ期間（最大3日）を過ぎてロックが確定すると、AWSアカウントのrootユーザーやAWSサポートを含む誰もロックを無効化・削除できず、保持期間中のバックアップ削除・改ざんが完全に不可能になります。
これによりランサムウェアや特権を持つ内部関係者による削除からバックアップを保護でき、要件を満たします。
選択肢Bのガバナンスモードは、bypassGovernanceRetention権限を持つIAMユーザーがロックや保持設定を変更・削除できるため「誰も無効化できない」という要件を満たせません。
選択肢Cは、AWS Backupのボールトはマネージドストレージであり、利用者がその背後のS3バケットへ直接Object Lockを設定することはできないため実現不可能です。
選択肢DのIAMポリシーは権限を持つ管理者によって変更・削除可能で不変性を保証できず、rootユーザーの操作も制限できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →