EC2の稼働ログを集約するサービスの選択
製造業の情報システム部門が、社内の勤怠管理システムを Amazon Linux の EC2 インスタンス 20 台で運用しています。監査対応のため、各サーバーの OS の syslog とアプリケーションが出力するログファイルを中央に集約し、一定期間保管したうえで横断的に検索できるようにする必要があります。運用負荷はできるだけ低く抑えたいと考えています。最も適切な方法を 1 つ選択してください。
解説を読む（正解: C）
Amazon CloudWatch Logs は、サーバーやアプリケーションが出力するログを一元的に集約・保存・検索するためのマネージドサービスです。EC2 インスタンスの OS やアプリケーションが書き出すログファイルは AWS 側からは見えないため、インスタンスに CloudWatch エージェント (統合 CloudWatch エージェント) をインストールし、収集対象のファイルパスと送信先ロググループを設定して転送する必要があります。集約したログは CloudWatch Logs Insights でクエリでき、ロググループ単位の保持期間設定、メトリクスフィルターによるアラーム化、Amazon S3 へのエクスポートも可能で、稼働状況ログを保管して横断検索するという要件を満たします。エージェントは AWS Systems Manager のディストリビューターやユーザーデータで一括導入できるため、20 台規模でも運用負荷を抑えられます。VPC フローログは ENI を出入りする IP トラフィックの送信元、宛先、ポート、許可/拒否といったメタデータのみを記録する機能で、OS やアプリケーションのログ本文は含まれません。AWS CloudTrail は AWS の API 呼び出しを記録する監査サービスであり、インスタンス内部で発生した OS レベルのイベントを取得することはできません。CloudWatch のカスタムメトリクスは数値の時系列データを扱う仕組みであり、テキストのログ本文を保存して検索する用途には適さず、ディメンションやデータポイントのコストも膨らみます。
踏み台ホストを廃止したセキュアな運用アクセス
医療機関向けに電子カルテ SaaS を提供する企業が、プライベートサブネット上の Amazon Linux インスタンス群を運用しています。現在は運用担当者がパブリックサブネットの踏み台ホストに SSH で入り、そこから各インスタンスに接続していますが、SSH 鍵の配布と失効、踏み台自体のパッチ適用が負担になっています。監査部門からは「インスタンスへのインバウンドポートを一切開けないこと」と「誰がいつどのインスタンスで何を実行したかを記録に残すこと」を求められています。最も適した解決策はどれですか。
解説を読む（正解: A）
AWS Systems Manager Session Manager は、EC2 インスタンスにブラウザベースまたは CLI のシェルセッションを提供するマネージド機能です。接続はインスタンス上の SSM Agent が Systems Manager のエンドポイントに向けて張るアウトバウンド通信で確立されるため、インスタンス側でインバウンドポートを開ける必要がなく、踏み台ホストや SSH 鍵の配布も不要になります。アクセス制御は IAM ポリシーで行えるため、退職や異動の際は IAM 側の権限を外すだけで即座にアクセスを断てます。さらにセッションの開始・終了は AWS CloudTrail に記録され、セッション中の入出力ログを Amazon S3 や Amazon CloudWatch Logs に保存する設定も可能なので、監査証跡の要件も満たせます。
インバウンドポート閉鎖と操作ログの両方を同時に満たすのは A です。
B は 22 番ポートを送信元制限付きとはいえ開けたままであり、「インバウンドポートを一切開けない」という要件に反します。踏み台の運用負荷と鍵管理の課題も残ります。C は全インスタンスをインターネットに露出させるもので、プライベートサブネットに配置した意図を損ない、攻撃対象領域を大きく広げます。D はパスワード認証への回帰であり、メールでの認証情報配布は漏えいリスクが高く、操作内容の記録も残らないため監査要件を満たせません。
EC2 群のログ集約と API 操作の監査
物流企業が、配送管理システムを約 200 台の Amazon EC2 インスタンスで運用しています。運用チームは、各インスタンス内部で出力される OS の syslog とアプリケーションログを 1 か所に集約して横断検索とアラート通知を行いたいと考えています。加えて、監査部門からは「誰がいつ EC2 に対してどの API 操作を実行したか」の証跡も併せて残すよう求められています。これらを満たす方法を 2 つ選択してください。
複数選択問題です (正解 2 つ)。選んでから判定してください。
解説を読む（正解: A、B）
多数の EC2 を運用する環境における中央ロギングは、性質の異なる 2 種類のログを揃えて初めて成立します。1 つはインスタンス内部で発生する OS やアプリケーションのログです。これらはインスタンスの外からは見えないため、CloudWatch エージェントを導入して Amazon CloudWatch Logs のロググループへ転送します。集約後はメトリクスフィルターや CloudWatch Logs Insights による横断検索、CloudWatch アラームによる通知が利用でき、インスタンスが終了した後もログが残る点も運用上重要です。もう 1 つはコントロールプレーンにおける操作履歴です。AWS CloudTrail の証跡を作成すると、どの ID がいつどの EC2 API を呼び出したかが記録され、S3 バケットや CloudWatch Logs に集約して長期保管および監査が可能になります。したがって選択肢 A と B が正解です。選択肢 C の VPC フローログは、ENI を出入りする通信の送信元・宛先 IP、ポート、プロトコル、許可/拒否といったメタデータを記録するもので、パケットの中身やアプリケーションログは一切含まれないため、本要件の代替にはなりません。選択肢 D の AWS Config は AWS リソースの構成変更を時系列で記録し、ルールによって準拠状態を評価するサービスであり、インスタンス内部のアプリケーションログを収集する機能は持ちません。