AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

正解

A. Amazon EventBridgeでルートユーザーによるすべてのAPI呼び出し(コンソールサインインを含む)を検知するルールを作成する

正解の 1 つです。ルートユーザーの操作は CloudTrail に記録され、そのイベントは Amazon EventBridge に配信されます。
イベントパターンで userIdentity.type が Root のイベント（コンソールへのサインインを含む）に一致させるルールを作れば、ルートユーザーが使われた瞬間を検知できます。
「継続的に監視する」という要件に対して、ポーリングも定期実行も不要なイベント駆動の検知基盤を用意する部分がこの選択肢です。

B. AWS Configのマネージドルールを設定し、ルートユーザーによるすべてのAPI呼び出しを検知した際にAmazon SNSへ通知イベントを送信するよう構成する

AWS Config のルールが評価するのはリソースの設定が望ましい状態にあるかであり、「誰がどの API を呼び出したか」という操作そのものを検知する仕組みではありません。
ルート関連のマネージドルールは root-account-mfa-enabled（ルートユーザーの MFA 有効化）のような設定の有無を見るもので、ルートユーザーの API 呼び出しをすべて捕捉する用途には使えません。
評価タイミングも構成変更または定期実行であり、「速やかに通知」という即時性の要件にも合いません。

正解

C. 作成したAmazon EventBridgeルールのターゲットとしてAmazon SNSトピックを設定し、検知イベントの内容を担当チームへメール通知する

正解の 1 つです。EventBridge ルールは検知しただけでは何も起こらないため、ターゲットとして Amazon SNS トピックを指定して初めて通知が飛びます。
SNS の E メールサブスクリプションを担当チームのアドレス（またはメーリングリスト）に設定しておけば、検知イベントの内容がそのまま数秒〜数分でメール配信されます。
「検知（EventBridge ルール）」＋「通知（SNS ターゲット）」の 2 つで要件が完結するため、この組み合わせが解になります。

D. AWS Trusted Advisorでルートユーザーによるすべての API 呼び出しを監視し、検知時にAmazon SNSへの通知をトリガーするよう設定する

AWS Trusted Advisor は、コスト・パフォーマンス・セキュリティなどの観点からベストプラクティスへの適合状況をチェックして助言するサービスです。
セキュリティのチェック項目には「ルートアカウントの MFA」などがありますが、個々の API 呼び出しを監視する機能はありません。
チェック結果の更新は基本的に定期的で、ルートユーザーの使用を即時に検知して通知する用途には使えません（Trusted Advisor のチェック結果自体を EventBridge で拾うことは可能ですが、それは別の話です）。

E. Amazon GuardDutyを有効化し、ルートユーザーの異常なAPI呼び出しを検知した時点で、そのユーザーの認証情報を自動的に無効化する設定にする

Amazon GuardDuty はルートユーザーの認証情報の使用を Policy:IAMUser/RootCredentialUsage などの検出結果として報告できますが、認証情報を自動的に無効化する機能は持っていません。
GuardDuty はあくまで検出専用のサービスで、封じ込めは Lambda や Security Hub のオートメーションなど別の仕組みで実装します。
そもそもルートユーザーはアカウントの所有者であり、権限を剥奪したり無効化したりできません。存在しない設定を挙げた誤答です。

構成図

ルートユーザーの操作（サインイン・API 呼び出し）
   │
   ▼
AWS CloudTrail（イベント記録）
   │
   ▼
Amazon EventBridge ルール（userIdentity.type = Root）
   │ ターゲット
   ▼
Amazon SNS トピック ──メール──▶ セキュリティ運用チーム

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
ルートユーザーによる操作を継続的に監視する	操作（API 呼び出し・サインイン）の検知は CloudTrail のイベントを EventBridge ルールで拾うのが定石 →選択肢（A）が正解
ルートユーザーが使用された場合に速やかに通知する	EventBridge ルールのターゲットに SNS トピックを指定してメール配信する。ルール単体では通知されない →選択肢（C）が正解
「API 呼び出しを検知」という要件の性質	AWS Config はリソース構成の評価であって API 呼び出しの検知ではない。ルート関連は MFA 有効化などの設定チェックのみ →選択肢（B）を消す
即時性（イベント駆動で通知したい）	Trusted Advisor は定期的なベストプラクティス診断で、個々の API 呼び出しの監視・即時通知はできない →選択肢（D）を消す
検知後に何をするか（通知が要件。無効化は求められていない）	GuardDuty は検出専用で認証情報を自動無効化しない。そもそもルートユーザーは無効化できない →選択肢（E）を消す

ひっかけポイント

• 選択肢 E は「GuardDuty がルートユーザーの使用を検知する」という前半だけが正しい。後半の「認証情報を自動的に無効化」は存在しない機能で、正しい前半に引きずられて選ばせる典型的な作り
• 選択肢 B の「AWS Config のマネージドルール」は名前が SNS と結び付いていて自然に見えるが、Config が見るのは構成の状態。「API 呼び出しを検知」と書かれた時点で Config は外れる
• EventBridge ルールを作っただけでは通知は飛ばない。ターゲット（SNS）の設定までが 1 セットであることを「2 つ選択」の形式で問うている
• ルートユーザーのコンソールサインインなどグローバルサービスのイベントは us-east-1 に記録されるため、EventBridge ルールも us-east-1 に作る必要がある。リージョンを取り違えると検知できない

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「通知だけでなく、検知後に自動で対処したい」	EventBridge ルールのターゲットに AWS Lambda や Systems Manager オートメーションを指定する構成が正解軸に。
「組織内の全アカウントのルートユーザー使用をまとめて監視したい」	組織の CloudTrail 証跡＋EventBridge のイベントバス集約（またはメンバーアカウントからの転送ルール）が正解に。SCP でルート操作自体を制限する案も問われる。
「特定の API 呼び出し回数がしきい値を超えたら通知したい」	CloudTrail を CloudWatch Logs へ配信し、メトリクスフィルター＋CloudWatch アラームで通知する構成が正解軸に。
「そもそもルートユーザーを使わせないようにしたい」	AWS Organizations の SCP でルートユーザーの操作を拒否する、ルート認証情報を削除する（一元管理されたルートアクセス）などのガードレールが正解に。
「不審な認証情報の使用そのものを脅威として検知したい」	Amazon GuardDuty の有効化が正解軸に。検出結果を Security Hub や EventBridge に流して通知する。

関連サービスの解説

Amazon EventBridge
Amazon GuardDuty
Amazon Simple Notification Service (Amazon SNS)
AWS Config