Q8 — AWS SAA-C03 第15章

第 8/100 問 | ← 第15章

Q1108. ある企業は、すべての機能が有効化されたAWS Organizationsの組織を保有しています。同社は世界中の複数のAWSリージョンに多数のAmazon S3バケットを保有しており、これらのS3バケットには機密データが格納されています。同社は、S3バケット内に個人を特定できる情報（PII）が一切保存されないことを保証する必要があります。また、PIIを検出するためのスケーラブルなソリューションも必要です。これらの要件を満たすソリューションはどれですか？

正解: A. AWS Organizationsの管理アカウントで、Amazon Macie管理者のIAMユーザーをグローバル組織の委任管理者として設定します。このMacie管理者ユーザーを使用して、PIIのスキャンを実行するようMacieの設定を構成します。

解説

企業が、複数のAWSリージョンにわたるAmazon S3バケット内にPIIが一切保存されていないことを保証し、かつPIIを検出するためのスケーラブルなソリューションを必要とするという要件を満たすには、以下の選択肢Aが最適です。A：AWS Organizationsの管理アカウントでAmazon Macieの委任管理者としてIAMユーザーを設定し、Macie設定を用いてPIIのスキャンを構成する。分析：組織の構成状況：企業はすべての機能が有効化されたAWS Organizationsを運用しており、複数のAWSリージョンに機密データを含む多数のS3バケットを保有しています。要件：S3バケット内にPIIが存在しないことを確認・保証すること。PIIを検出するためのスケーラブルなソリューションが必要であること。各選択肢の評価：A．委任管理者によるAmazon Macieの活用：Amazon Macieは、機械学習およびパターンマッチングを活用してAWS上の機密データを発見・保護するフルマネージドサービスです。AWS Organizationsの管理アカウントでIAMユーザーをMacieの委任管理者として設定することで、組織内のすべてのアカウントを対象にMacieを一度だけ有効化・構成でき、PIIスキャンを一元的に管理できます。これにより、スケーラビリティと運用効率が確保されます。B．各リージョンごとにMacie管理者アカウントを指定：これは各リージョンごとに個別のMacie管理者アカウントを設定することを意味し、管理と構成の複雑さ・オーバーヘッドが増大します。一元的かつスケーラブルなソリューションとはなりえません。C．SCPを用いたPIIの識別：サービスコントロールポリシー（SCP）は、AWS Organizations内でアカウント間のアクセス許可を制御するためのものであり、S3バケット内のデータをスキャン・分析してPIIを検出する機能はありません。したがって、この選択肢は要件を満たしません。D．AWS Lambda関数を用いたPIIスキャン：Lambda関数を用いたカスタムスキャンソリューションは可能ですが、各リージョンおよび各S3バケットごとに個別に設定・管理する必要があり、Amazon Macieのようなフルマネージドサービスに比べてスケーラビリティや運用容易性に劣ります。また、独自のスキャンソリューションの開発・保守には、より多くの運用負荷が発生します。結論：選択肢Aが最も適切なソリューションです。AWS Organizationsの管理アカウントでAmazon Macieの委任管理者を設定することで、複数のAWSリージョンにわたるすべてのS3バケットにおけるPIIの検出・管理を、一元的・スケーラブルかつ効率的に行うことができます。これにより、運用負荷を最小限に抑えつつ、企業の要件を完全に満たします。