AWS認定資格 WEB問題集＆徹底解説

セキュリティ-専門知識

正解 B問題
分野6：セキュリティ基盤とガバナンス 分野5：データ保護 タスクステートメント6.3：AWS リソースのコンプライアンスを評価する。 タスクステートメント5.2：保管中のデータのコントロールを設計し、実装する。
要復習（もう一度解きたい問題） 1 2 3 4
次の問題前の問題
合格に向けて、もっと深く学習する
豊富な問題と詳細なAWSサービス解説を、24時間無料でお試しいただけます
プレミアム会員機能を無料で試す ❯
問題文と選択肢
ある物流会社は、複数の配送センターの出荷明細データを Amazon EFS に保存しており、各アプリケーションチームが独自に EFS ファイルシステムを作成できる運用になっています。社内のセキュリティ基準が改定され、暗号化されていない Amazon EFS ファイルシステムの使用を一切禁止することになりました。

基準に反するファイルシステムが作成された場合、セキュリティチームは作成直後にメール通知を受け取り、かつそのファイルシステムを自動的に削除できる仕組みが必要です。会社は最も運用負荷の少ない方法を採用したいと考えています。

セキュリティエンジニアが推奨すべきソリューションはどれですか。
  • AWS Config の評価結果をセキュリティ用アカウントに集約し、3 時間ごとに実行する AWS Lambda 関数で未暗号化の EFS ファイルシステムを洗い出す。その関数がメール送信とファイルシステムの削除を行う。
  • AWS Config マネージドルールで未暗号化の EFS ファイルシステムを検出し、自動修復として Amazon SNS トピックへメッセージを発行するよう設定する。そのトピックに AWS Lambda 関数とメールアドレスの両方をサブスクライブさせ、Lambda 関数がファイルシステムを削除する。
  • AWS Config マネージドルールで未暗号化の EFS ファイルシステムを検出し、担当者の承認を必要とする手動修復を設定する。承認後に起動する AWS Lambda 関数が Amazon SNS トピックへ発行し、ファイルシステムを削除する。
  • Amazon Inspector を有効化して EFS のマウントターゲットを継続的に脆弱性スキャンし、暗号化の非準拠を検出した場合は AWS Systems Manager のオートメーションランブックを手動で起動してファイルシステムを削除する。
解説 頻出度★★★★★
この問題は、「非準拠の検出 × 即時の通知 × 自動修復 × 運用負荷最小」の要件を、AWS Config マネージドルール＋自動修復（SNS 発行）＋SNS のマルチサブスクリプションという 1 本の流れで実現できるかがポイントです。SNS トピックにメールと Lambda を同時に購読させれば、通知と削除を 1 回の発行で同時に走らせられます。

A. AWS Config の評価結果をセキュリティ用アカウントに集約し、3 時間ごとに実行する AWS Lambda 関数で未暗号化の EFS ファイルシステムを洗い出す。その関数がメール送信とファイルシステムの削除を行う。

AWS Config の評価結果を集約すること自体は妥当ですが、3 時間ごとのバッチ処理では「作成直後の通知」という要件を満たせません。最悪 3 時間、未暗号化のファイルシステムが放置されます。
加えて、非準拠リソースの洗い出しロジック・スケジューリング・エラー処理をすべて自前の Lambda コードで実装・保守することになり、運用負荷は最小どころか最大です。
Config には修復を自動起動する仕組みが標準で備わっているため、あえてポーリングを組む理由がありません。

正解

B. AWS Config マネージドルールで未暗号化の EFS ファイルシステムを検出し、自動修復として Amazon SNS トピックへメッセージを発行するよう設定する。そのトピックに AWS Lambda 関数とメールアドレスの両方をサブスクライブさせ、Lambda 関数がファイルシステムを削除する。

AWS Config のマネージドルール（efs-encrypted-check）が未暗号化の EFS を検出し、自動修復アクションが Amazon SNS トピックへメッセージを発行します。カスタムルールを書く必要がなく、検出は作成イベントを契機に走るため即時性があります。
SNS トピックにメールアドレスと Lambda 関数の両方をサブスクライブさせておけば、1 回の発行でセキュリティチームへの通知とファイルシステムの削除が同時に実行されます。
マネージドルールと標準の修復機能を組み合わせただけの構成で、追加コードは削除処理の Lambda のみ。要件（即時通知・自動削除・運用負荷最小）をすべて満たす唯一の選択肢です。

C. AWS Config マネージドルールで未暗号化の EFS ファイルシステムを検出し、担当者の承認を必要とする手動修復を設定する。承認後に起動する AWS Lambda 関数が Amazon SNS トピックへ発行し、ファイルシステムを削除する。

構成要素は選択肢 B とほぼ同じですが、「担当者の承認を必要とする手動修復」にした時点で自動化が途切れます。承認者が不在の夜間や休日には、非準拠のファイルシステムが残り続けます。
問題文は「作成直後にメール通知を受け取り、かつ自動的に削除できる」ことを求めており、人手の介在は要件違反です。
承認フローの運用コストも上乗せされるため、「最も運用負荷の少ない方法」からも外れます。

D. Amazon Inspector を有効化して EFS のマウントターゲットを継続的に脆弱性スキャンし、暗号化の非準拠を検出した場合は AWS Systems Manager のオートメーションランブックを手動で起動してファイルシステムを削除する。

Amazon Inspector は EC2 / コンテナイメージ / Lambda などの脆弱性スキャンと到達性分析を行うサービスで、EFS の保管時暗号化という構成上の準拠性を評価する役割は持ちません。設定の準拠性評価は AWS Config の担当です。
さらに Systems Manager のオートメーションランブックを手動起動する運用では、自動削除の要件も満たせません。
サービスの役割と自動化要件の両面で不適切です。

構成図

未暗号化の EFS 作成
   ▼
AWS Config マネージドルール（efs-encrypted-check）— 非準拠を検出
   ▼ 自動修復（SSM Automation）
Amazon SNS トピック
   ├─▶ メール購読 … セキュリティチームへ即時通知
   └─▶ Lambda 購読 … ファイルシステムを削除
これだけ覚える（記憶フック）
「検知は Config、通知と処理の分岐は SNS」。1 つのトピックにメールと Lambda を並べれば同時実行。
正解への思考ルート 問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。
要件 判断ポイント
未暗号化の EFS を「検出」したい 保管時暗号化などの構成準拠性は AWS Config のマネージドルールが担当。脆弱性スキャンの Inspector とは役割が違う
→選択肢（D）を消す
作成「直後」にメール通知を受け取りたい 定期ポーリングでは検出が遅れる。Config の評価と自動修復を契機にすることで即時性を確保する
→選択肢（A）を消す
通知と削除の「両方」を自動で行いたい SNS トピックに複数のサブスクライバー（メール＋Lambda）を並べれば、1 回の発行でファンアウトできる
→選択肢（B）が正解
人手を介さず「自動的に」削除する 手動修復・承認フローは自動化の断絶。夜間休日に非準拠リソースが残る
→選択肢（C）を消す
最も運用負荷の少ない方法 マネージドルール＋標準の自動修復で、自前実装は削除処理のみに絞れる構成を選ぶ
→選択肢（B）が正解、選択肢（A・C）は候補から外れる
ひっかけポイント
  • 選択肢 A と B はどちらも「Config で検出して Lambda で削除」に見えるが、A は 3 時間ごとのポーリング。「作成直後に通知」という時間要件が両者を分ける決め手
  • 選択肢 C は B とほぼ同じ構成で、違いは「手動修復（承認あり）」の 1 語だけ。AWS Config の修復には自動修復と手動修復があり、設問が「自動的に」と言っている以上、承認付きは即座に消える
  • 「Amazon Inspector で継続的にスキャン」はもっともらしいが、Inspector は脆弱性（CVE）とネットワーク到達性の評価であり、暗号化設定の準拠性チェックではない。設定の準拠性は Config、脆弱性は Inspector、脅威検知は GuardDuty と役割で切り分ける
  • EFS の保管時暗号化は作成時にしか設定できないため、是正は「暗号化を有効化する」ではなく「削除して作り直す」しかない。設問が削除を求めているのはこのため
出題バリエーション 同じ知識が本番では条件を変えて出題されます。
問題文がこう変わったら 正解はこう変わる
「削除ではなくタグ付けと隔離にとどめたい」 修復アクションを SSM Automation ランブック（タグ付け・アクセスポリシー変更）に差し替える。検出側の構成は変わらない。
「そもそも未暗号化の EFS を作らせたくない」 検出・修復ではなくSCP や IAM の条件キー（elasticfilesystem:Encrypted）による予防的統制が正解軸になる。
「マルチアカウントで組織全体に同じルールを効かせたい」 AWS Config のルールを Organizations 経由（組織 Config ルール）や Conformance Pack で一括展開する構成に変わる。
「対象が EFS ではなく暗号化されていない EBS ボリューム / S3 バケット」 マネージドルールが encrypted-volumes / s3-bucket-server-side-encryption-enabled などに変わるだけで、検出＋自動修復の骨格は同じ。
「削除まではせず、検出結果を一元的に可視化したい」 AWS Security Hub に集約し、コンプライアンス基準のスコアとして管理する構成が正解軸になる。
関連サービスの解説 Amazon Elastic File System (Amazon EFS)
Amazon Simple Notification Service (Amazon SNS)
AWS Config
AWS Lambda
＋ 質問 / コメント
解答・解説に疑問がある場合や、よりよい解説がある場合など、お気軽にコメントください。ただし、短文コメントは表示されません。また、中傷などコメントの内容によっては、会員機能を停止させて頂きます。教え学び合える場になれば嬉しいです。（コメント投稿にはログインが必要です）
正答率 0%
No.17 解説
ある物流会社は、複数の配送センターの出荷明細データを Amazon EFS に保存しており、各アプリケーションチームが独自に EFS ファイルシステムを作成できる運用になっています。社内のセキュリティ基準が改定され、暗号化されていない Amazon EFS ファイルシステムの使用を一切禁止することになりました。

基準に反するファイルシステムが作成された場合、セキュリティチームは作成直後にメール通知を受け取り、かつそのファイルシステムを自動的に削除できる仕組みが必要です。会社は最も運用負荷の少ない方法を採用したいと考えています。

セキュリティエンジニアが推奨すべきソリューションはどれですか。
  • AWS Config の評価結果をセキュリティ用アカウントに集約し、3 時間ごとに実行する AWS Lambda 関数で未暗号化の EFS ファイルシステムを洗い出す。その関数がメール送信とファイルシステムの削除を行う。
  • AWS Config マネージドルールで未暗号化の EFS ファイルシステムを検出し、自動修復として Amazon SNS トピックへメッセージを発行するよう設定する。そのトピックに AWS Lambda 関数とメールアドレスの両方をサブスクライブさせ、Lambda 関数がファイルシステムを削除する。
  • AWS Config マネージドルールで未暗号化の EFS ファイルシステムを検出し、担当者の承認を必要とする手動修復を設定する。承認後に起動する AWS Lambda 関数が Amazon SNS トピックへ発行し、ファイルシステムを削除する。
  • Amazon Inspector を有効化して EFS のマウントターゲットを継続的に脆弱性スキャンし、暗号化の非準拠を検出した場合は AWS Systems Manager のオートメーションランブックを手動で起動してファイルシステムを削除する。

次の問題前の問題


(会員限定)当問題の評価をお願いします。改善に活用します。
広告

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報