Q56 — AWS DOP-C02 第3章

第 56/100 問 | ← 第3章

企業は、すべての AWS アカウントで既存および新規の VPC に対してフローログを有効化することを保証する必要があります。企業は AWS CloudFormation スタックを使用して VPC を管理しています。このソリューションは、任意の IAM ユーザーが作成した任意の VPC に適用可能である必要があります。

• A. VPC を作成する CloudFormation スタックに `AWS::EC2::FlowLog` リソースを追加します。
• B. AWS Organizations で組織を作成します。企業の AWS アカウントを組織に追加します。VPC フローログの変更を防止する SCP を作成します。
• C. AWS Config を有効化します。VPC フローログが有効化されているかをチェックする AWS Config ルールを作成します。自動修復を設定して VPC フローログを有効化します。 ✓
• D. VPC フローログに関する API 呼び出しを拒否する IAM ポリシーを作成し、すべての IAM ユーザーにアタッチします。

正解: C. AWS Config を有効化します。VPC フローログが有効化されているかをチェックする AWS Config ルールを作成します。自動修復を設定して VPC フローログを有効化します。

解説

本問は、リソースのコンプライアンスを自動化して管理する AWS サービスの選択に関するものです。AWS Config は、リソースの構成を継続的に監視・評価する機能を提供し、特定の構成要件を満たしているかをチェックするルールを定義できます。VPC がフローログを有効化していない場合、設定された自動修復機能により、関連 API を呼び出してフローログを自動的に有効化できます。この方法は、コンソール、CLI、CloudFormation など、あらゆる手段で作成された VPC に適用可能であり、デプロイ方法に依存しません。他のオプションは、特定のデプロイ方法に限定される（A）、権限を制限するだけで自動修復ができない（B、D）といった課題があり、オプション C は継続的な監視と自動修復により包括的かつ汎用的なカバレッジを実現し、問題文の強制的かつ普遍的な要件を満たします。AWS Config のマネージドルールおよび自動修復に関するドキュメントを参照してください。