複数アカウントへの WAF ルール一括適用
AWS Organizations で多数のアカウントを運用しています。共通の AWS WAF ルールを全アカウントの公開エンドポイントに適用し、新規作成されるリソースにも自動適用したうえで、未適用リソースを一覧で把握したいと考えています。最も運用負荷の少ない方法はどれですか。
解説を読む（正解: C）
AWS WAF は Web ACL を作成し、CloudFront ディストリビューション、Application Load Balancer、Amazon API Gateway などに関連付けることで、SQL インジェクションやボットによる不正リクエストを遮断するサービスです。ただし Web ACL の作成と関連付けはリソースが存在するアカウントごとの操作であり、多数のアカウントを持つ組織では設定漏れによって保護されない公開エンドポイントが生まれやすいという課題があります。AWS Firewall Manager はまさにこの課題を解決するために設計されたサービスで、AWS Organizations と連携し、管理者が一度セキュリティポリシーを定義すれば、対象アカウント内の既存リソースへ一括適用されるだけでなく、後から作成された新規リソースにも自動的に同じルールが適用されます。加えてポリシー準拠状況のダッシュボードで違反リソースを継続的に可視化できるため、「全アカウントへの例外のない適用」「新規リソースの自動保護」「未適用リソースの把握」という 3 つの要件をすべて満たす C が正解です。A は技術的には保護できますが、アカウントごとの手作業に依存するため新規リソースへの自動適用も一元的な準拠状況の可視化も実現できず、運用負荷と設定漏れのリスクが最大です。B の AWS Shield Advanced は大規模な DDoS 攻撃に対する保護と対応支援を提供するサービスであり、SQL インジェクションのようなアプリケーション層のリクエスト内容を条件に遮断する WAF ルールの中央配布そのものが目的ではありません（Shield Advanced 利用時も WAF ルールの展開には Firewall Manager を用います）。D の AWS Security Hub はセキュリティ検出結果を集約してベストプラクティスへの準拠状況を評価するサービスで、問題の可視化はできても WAF ルールをリソースへ適用（強制）する機能は持ちません。
複数アカウントへのファイアウォールルールの一元適用
AWS Organizations 配下の多数のアカウントに共通の AWS WAF ルールを一元的に適用し、今後新しく作成されるリソースにも自動で適用されるようにしたいと考えています。適切なサービスはどれですか。
解説を読む（正解: D）
AWS Firewall Manager は、AWS Organizations と連携してファイアウォール関連の設定を組織全体で一元管理するためのサービスです。管理者アカウントでセキュリティポリシーを定義すると、対象アカウントおよび対象リソースに AWS WAF の Web ACL、AWS Shield Advanced の保護、セキュリティグループの共通ルール、AWS Network Firewall、Route 53 Resolver DNS Firewall の設定を自動的に展開できます。重要な点として、ポリシーは継続的に評価されるため、後から新規に作成されたアカウントやリソースにも自動的に適用され、準拠していないリソースは非準拠として可視化されます。したがって D が要件を満たします。A の AWS Trusted Advisor は設定のベストプラクティスを点検して推奨事項を提示するだけで、ルールを展開する機能はありません。B の AWS Shield Advanced は高度な DDoS 保護のサブスクリプションであり、WAF ルールを多数のアカウントへ配布する仕組みではありません (配布自体は Firewall Manager が担います)。C の AWS Resource Access Manager は、Transit Gateway やサブネットなどのリソースをアカウント間で共有するサービスであり、ファイアウォールポリシーの強制適用には使えません。
組織全体への WAF ルールの一元適用
組織内の 20 以上の AWS アカウントの Application Load Balancer と CloudFront へ、共通の AWS WAF ルールグループを一括適用し、新規リソースにも自動適用し、逸脱したリソースを検出したいと考えています。適したサービスはどれですか。
解説を読む（正解: A）
AWS Firewall Manager は、AWS Organizations と連携して、複数アカウント・複数リソースにまたがるファイアウォール関連の設定を中央から一元管理するためのサービスです。管理者はセキュリティポリシーを一度定義するだけで、AWS WAF の Web ACL とルールグループ、AWS Shield Advanced の保護、VPC セキュリティグループの共通ルール、AWS Network Firewall、Route 53 Resolver DNS Firewall を組織内の対象リソースへ自動適用でき、新規に作成された Application Load Balancer や CloudFront ディストリビューションにもポリシーが自動的に及びます。さらにポリシーに準拠していないリソースを継続的に検出して可視化するため、本シナリオの 3 つの要件をすべて満たします。B は運用でカバーする案であり、20 以上のアカウントで設定のドリフトが必ず発生し、新規リソースへの自動適用も検出も実現できません。C の AWS Shield Standard はすべての AWS 利用者に自動的かつ無料で適用される L3/L4 の DDoS 保護であり、有効化操作も継承の概念もなく、WAF のルール配布とは無関係です。D の Amazon GuardDuty は脅威検出サービスで、悪意ある通信の兆候は知らせてくれますが、WAF ルールを組織横断で配布・強制する機能はなく、対応も手動になります。