Q92 — AWS SAA-C03 第16章

第 92/100 問 | ← 第16章

Q1292. ある企業では、Amazon EMR をデータプラットフォームとして使用しています。同社には、新規に起動するすべての EMR クラスターで、起動時にトランスポート中の暗号化（encryption in-transit）を有効化するというルールがあります。また、このルール違反が検出された場合、ユーザーは即座に通知を受ける必要があります。これらの要件を満たすソリューションはどれですか？

正解: A. 各新しい EMR クラスターの起動時に AWS Lambda 関数を呼び出す Amazon EventBridge イベントを作成します。Lambda 関数を設定して、各新規クラスターの暗号化設定を確認し、ルール違反が検出された場合はユーザーに通知するようにします。

解説

正解は A です。各新しい EMR クラスターの起動時に AWS Lambda 関数を呼び出す Amazon EventBridge イベントを作成し、Lambda 関数を設定して各新規クラスターの暗号化設定を確認し、ルール違反が検出された場合はユーザーに通知するというものです。 ■ オプション A が最適な理由： ・リアルタイム検出と即時通知 Amazon EventBridge（旧 CloudWatch Events）は、EMR クラスター起動イベントをリアルタイムで検知でき、新規クラスター作成時に即座に AWS Lambda 関数を起動します。Lambda 関数は DescribeCluster API などを用いて暗号化設定を確認し、無効な場合は SNS、メール、Slack などを通じてユーザーに即時に通知できます。 ・スケーラブルかつイベント駆動型 EventBridge と Lambda の組み合わせは、サーバーレスでスケーラブルなソリューションであり、インフラ管理の必要がありません。クラスター数に関係なく自動的に対応でき、手動介入も不要です。 ・コスト効率が高くレイテンシーが低い GuardDuty や Glue ジョブのような継続的な監視を必要とせず、クラスター起動時のみトリガーされるため、コストを最小限に抑えられます。 ■ 他の選択肢が不適切な理由： B. Amazon GuardDuty を設定して、トランスポート中の暗号化が有効になっていない EMR クラスターを検出する。 → GuardDuty はセキュリティ脅威の検出向けのサービスであり、コンプライアンスチェックには適していません。また、EMR の暗号化設定をデフォルトで監視する機能はなく、リアルタイムなポリシー強制にも向きません。 C. クラスターの暗号化ステータスを検証し、ルール違反が検出された場合にユーザーに通知する AWS Glue ジョブを作成する。 → Glue はバッチ処理向けの ETL サービスであり、リアルタイムのイベント監視には設計されていません。ジョブはスケジュール実行のため、検出に遅延が生じます。単純なコンプライアンスチェックには過剰です。 D. Amazon EMR をソース、AWS Lambda を宛先とする Amazon Data Firehose ストリームを設定する。 → EMR はクラスター作成イベントを Data Firehose にネイティブでストリーミングしません。この構成は不必要に複雑であり、EMR イベントに対する Lambda の起動には EventBridge が正しいサービスです。 ■ 結論： オプション A は、リアルタイムでの暗号化ポリシー適用と即時通知を実現する上で、最も効率的・スケーラブル・コスト効率の高いソリューションです。 最終的な正解：A