Q96 — AWS SAA-C03 第12章

第 96/100 問 | ← 第12章

Q896. ある企業は、オンプレミスの仮想マシン（VM）数百台をAmazon EC2インスタンスに移行しました。これらのインスタンスでは、複数のバージョンのWindows ServerおよびいくつかのLinuxディストリビューションが実行されています。同社は、OSのインベントリ管理と更新を自動化するソリューションを必要としています。また、各EC2インスタンスの一般的な脆弱性に関するサマリーを、毎月の定期レビューで活用したいと考えています。これらの要件を満たすために、ソリューションアーキテクトは何を推奨すべきでしょうか？

正解: B. すべてのEC2インスタンスを管理するため、AWS Systems Manager Patch Manager を設定し、Amazon Inspector を導入して毎月のレポートを構成します。

解説

AWS Systems Manager Patch Manager は、EC2インスタンス上のオペレーティングシステムのパッチ適用を一元的に自動化するソリューションを提供します。WindowsおよびLinuxの両方のディストリビューションをサポートしており、本シナリオにおける多様なEC2インスタンス群に完全に対応します。Patch Manager を使用すれば、パッチベースラインを定義し、パッチ適用をスケジュールし、定義されたパッチポリシーに対する各インスタンスのコンプライアンス状況を追跡できます。Amazon Inspector は、アプリケーションおよびOS内の脆弱性やセキュリティ問題を特定するためのセキュリティ評価サービスです。Amazon Inspector を導入することで、EC2インスタンスをスキャンし、共通の脆弱性に関する詳細な検出結果と推奨事項を取得できます。毎月のレポートを構成することで、EC2インスタンスの脆弱性に関するサマリーを定期的にレビューでき、インスタンスのセキュリティ状態を把握し、是正措置の優先順位付けに役立てられます。選択肢Aは、EC2インスタンスの管理にAWS Systems Manager Patch Manager を設定し、AWS Security Hub を使って毎月のレポートを生成するという提案ですが、Security Hub は環境全体のセキュリティ状態を包括的に可視化するサービスであり、OSのインベントリ管理および更新の自動化には直接対応していません。したがって、選択肢Aは最も適切なソリューションではありません。選択肢Cは、AWS Shield Advanced の設定と、EC2インスタンスへのパッチ適用を自動化するためのAWS Config の展開を提案していますが、Shield Advanced はDDoS攻撃対策サービスであり、OSのインベントリ管理および更新自動化には必要な機能を提供しません。また、AWS Config はリソースの変更履歴を追跡する機能はありますが、パッチ管理機能は備えていません。選択肢Dは、Amazon GuardDuty を設定してEC2インスタンスを監視し、AWS Config を使ってパッチ適用を自動化するという提案ですが、GuardDuty は脅威検出サービスであり、OSのインベントリ管理およびパッチ更新の自動化には直接対応していません。また、AWS Config は変更追跡には有効ですが、パッチ管理機能はありません。まとめると、多様なEC2インスタンス群に対してOSのインベントリ管理および更新を自動化し、毎月の定期レビューで各インスタンスの一般的な脆弱性に関するサマリーを提供するには、AWS Systems Manager Patch Manager を設定してインスタンスを管理し、脆弱性評価のためにAmazon Inspector を導入し、毎月のレポートを構成する（選択肢B）が、最も適切なソリューションです。