Q12 — AWS SAA-C03 第11章

第 12/100 問 | ← 第11章

Q712. ある企業は、顧客向けのモバイルアプリを運用しています。このアプリのデータは機密性が高く、静止時（at rest）での暗号化が必須です。企業はAWS Key Management Service（AWS KMS）を利用しています。 企業には、KMSキーの誤削除を防止するソリューションが必要です。また、ユーザーがKMSキーの削除を試みた際に、Amazon Simple Notification Service（Amazon SNS）を用いて管理者にメール通知を送信する必要があります。 これらの要件を満たす中で、**最も運用オーバーヘッドが少ない**ソリューションはどれですか？

• A. ユーザーがKMSキーの削除を試みたときに反応するAmazon EventBridgeルールを作成します。KMSキーの削除をキャンセルするAWS Configルールを設定し、そのConfigルールをEventBridgeルールのターゲットとして追加します。管理者に通知するSNSトピックを作成します。
• B. KMSキーの削除を防止するカスタムロジックを持つAWS Lambda関数を作成します。ユーザーがKMSキーの削除を試みたときに起動されるAmazon CloudWatchアラームを作成します。DeleteKey操作が実行された際にLambda関数を呼び出すAmazon EventBridgeルールを作成します。SNSトピックを作成し、EventBridgeルールが管理者に通知するSNSメッセージを発行するよう設定します。
• C. KMSのDeleteKey操作が実行されたときに反応するAmazon EventBridgeルールを作成します。このルールをAWS Systems Manager Automationランブックの実行に設定し、ランブックでKMSキーの削除をキャンセルするように構成します。SNSトピックを作成し、EventBridgeルールが管理者に通知するSNSメッセージを発行するよう設定します。 ✓
• D. AWS CloudTrailトレイルを作成し、そのトレイルを新しいAmazon CloudWatchロググループにログを配信するよう設定します。CloudWatchロググループに対するメトリクスフィルターに基づくCloudWatchアラームを作成します。KMSのDeleteKey操作が検出された際に、Amazon SNSを用いて管理者に通知するようアラームを設定します。

正解: C. KMSのDeleteKey操作が実行されたときに反応するAmazon EventBridgeルールを作成します。このルールをAWS Systems Manager Automationランブックの実行に設定し、ランブックでKMSキーの削除をキャンセルするように構成します。SNSトピックを作成し、EventBridgeルールが管理者に通知するSNSメッセージを発行するよう設定します。

解説

このソリューション（選択肢C）は、他の選択肢と比較して最も運用オーバーヘッドが少ないです。 1. Amazon EventBridge： 　・EventBridgeは、KMSのDeleteKey操作など特定のAWS API呼び出しに簡単に反応できるサービスです。 　・DeleteKey操作を監視するEventBridgeルールの設定は、最小限の手間で済みます。 2. AWS Systems Manager Automation： 　・Systems Manager Automationでは、KMSキーの削除をキャンセルするなどのタスクを自動化するランブックを作成できます。 　・EventBridgeルールとAutomationランブックを連携させる設定もシンプルです。 3. Amazon SNS： 　・SNSは、KMSキー削除試行といったイベントに対してメール通知を簡単に設定できるサービスです。 　・EventBridgeルールからSNSメッセージを発行する設定も非常に簡単です。 一方、他の選択肢はより複雑な構成と追加のAWSサービスを必要とし、結果として運用オーバーヘッドが高くなります： A：AWS Config、EventBridge、および追加の設定が必要です。 B：カスタムLambda関数の作成と追加の設定が必要です。 D：CloudTrail、CloudWatch、および追加の設定が必要です。 したがって、EventBridge、Systems Manager Automation、SNSを組み合わせた選択肢Cが、要件を満たす最もシンプルかつ効率的なソリューションであり、企業にとって最も少ない運用オーバーヘッドで実現できます。