組織全体の証跡保護と一元的なログ集約
地方自治体向けクラウド基盤を運営する事業者が、AWS Organizations に 120 のメンバーアカウントを持っています。監査部門は「すべてのアカウントの管理イベントを改ざん不能な形で単一のログアーカイブアカウントに集約すること」「開発チームが誤って、または意図的に証跡を停止・削除できないようにすること」を要求しています。この 2 つの要件を満たすために実施すべき対策を 2 つ選択してください。
複数選択問題です (正解 2 つ)。選んでから判定してください。
解説を読む（正解: B、C）
AWS CloudTrail の組織証跡は、管理アカウントまたは委任管理者アカウントで一度作成するだけで、組織内の既存アカウントと今後追加されるアカウントすべてのイベントを自動的に記録し、指定した単一の S3 バケットへ集約できます。ログアーカイブアカウントのバケットに配信し、バケットポリシーやオブジェクトロックで保護すれば、改ざん不能な一元集約という要件を満たします。もう一方の要件である証跡の停止・削除の禁止は、SCP がメンバーアカウントの管理者権限すら上回るガードレールとして機能するため、ワークロード OU に cloudtrail:StopLogging などを Deny する SCP をアタッチすることで実現できます。したがって B と C が正解です。A の IAM ポリシーはアカウント内で管理者権限を持つ利用者が自ら編集・デタッチできるため、恒久的なガードレールになりません。D は個別証跡と目視確認という手作業運用であり、集約もされず、月次チェックの間に停止されても検知できないため要件を満たしません。E はルートユーザーの認証情報を長期的に発行・共有する設計で、AWS のセキュリティのベストプラクティスに真っ向から反し、監査要件を満たすどころか重大なリスクを生みます。
個人別 S3 プレフィックス制御とアクセス監査レポート
メルボルンの気象研究機関が、研究者が業務関連のドキュメントを保存するための Amazon S3 バケットを 1 つだけ作成する方針を決めました。同機関は AWS IAM Identity Center ですべての利用者を認証しており、研究者用のグループもすでに作成済みです。同機関は、各研究者が自分自身の作業成果にのみアクセスできるようにしたいと考えています。あわせて、どの利用者がどのドキュメントにアクセスしたかを示す月次レポートも作成する必要があります。これらの要件を満たす手順の組み合わせはどれですか。2 つ選択してください。
複数選択問題です (正解 2 つ)。選んでから判定してください。
解説を読む（正解: B、C）
本問の要件は「各利用者が自分の領域だけにアクセスできること」と「オブジェクト単位のアクセス履歴を月次で集計できること」の 2 点に分解でき、それぞれ属性ベースのアクセス制御 (ABAC) と CloudTrail のデータイベントで実現します。AWS IAM Identity Center はフェデレーション時に利用者属性をセッションタグとして引き渡すことができ、許可セットに設定したポリシーの中で aws:PrincipalTag 条件キーとして参照できます。ポリシーのリソースを arn:aws:s3:::bucket/${aws:PrincipalTag/userName}/* のように動的に指定すれば、利用者ごとに個別のポリシーを作らなくても、各研究者は自分のユーザー名と一致するプレフィックス配下のオブジェクトだけを読み書きできます。1 つの許可セットで全員をカバーできるためスケールし、最小権限の原則も守られます (B)。アクセス履歴については、CloudTrail が既定で記録する管理イベントに GetObject や PutObject といったオブジェクトレベルの操作は含まれないため、対象バケットに対して S3 データイベントを明示的に有効化する必要があります。データイベントを S3 バケットへ配信し、Amazon Athena でクエリすれば、誰がいつどのオブジェクトにアクセスしたかを月次で集計できます (C)。A は研究者グループ全体に同じ S3 の読み書き権限を与えるだけであり、研究者が互いのドキュメントを閲覧できてしまうため分離要件を満たしません。D は管理イベントしか記録しないためオブジェクトレベルのアクセスを追跡できず、目的を達成できません。E の EMRFS は Amazon EMR が S3 を Hadoop のファイルシステムとして扱うための実装であり、S3 のアクセスログを有効化する機能ではありません。また Amazon S3 Select は単一オブジェクト内のレコードを絞り込む機能であり、多数のログファイルを横断して集計するレポート生成には適していません。
S3 の個人フォルダ分離とアクセス監査レポート
ある文化財研究機構は AWS クラウドへ移行しており、オンプレミスに保有していた 800 TB のオブジェクトデータを Amazon S3 バケットへ移動しました。80 名の研究員がこのバケットを業務文書の保管に使用しており、各研究員はバケット内に自分専用のフォルダ (プレフィックス) を持っています。研究員は全員が単一の IAM ユーザーグループに所属しています。機構のコンプライアンス責任者は、研究員が互いの調査資料にアクセスできてしまう状態を懸念しています。加えて同機構には、どの研究員がどの文書にアクセスしたかを厳密に報告する義務があります。レポートを担当するチームは AWS の経験がほとんどなく、運用オーバーヘッドを最小限に抑えたすぐに使える仕組みを求めています。これらの要件を満たすアクションの組み合わせを 2 つ選択してください。
複数選択問題です (正解 2 つ)。選んでから判定してください。
解説を読む（正解: A、B）
この設問は「個々の研究員を自分のプレフィックスに閉じ込めること」と「誰がどのオブジェクトにアクセスしたかを確実に報告できること」という 2 つの独立した要件から成り立っています。前者に対しては、IAM ポリシー変数 ${aws:username} をリソース ARN に埋め込んだアイデンティティベースのポリシーが最適です。ポリシーを 1 つ書いてグループにアタッチするだけで、各ユーザーは自分のユーザー名と一致するプレフィックス配下のオブジェクトにしかアクセスできなくなり、80 人分のポリシーを個別に管理する必要がありません。後者に対しては、AWS CloudTrail のデータイベント (オブジェクトレベルイベント) が適しています。データイベントは GetObject や PutObject といった個々の API 呼び出しを、呼び出し元の IAM アイデンティティ・時刻・オブジェクトキーとともに確実に記録し、指定した S3 バケットへ配信されます。この JSON ログは Amazon Athena が標準でクエリできる形式のため、追加コンポーネントを作らずに監査レポートを生成でき、AWS の経験が浅いチームにも扱えます。S3 サーバーアクセスログはベストエフォート配信であり、記録の欠落や数時間単位の遅延が起こり得るため、厳密な報告義務を負う用途には適しません。IAM グループのユーザーに読み書きを許可するバケットポリシーを作る案は、個人ごとの分離をまったく実現できないうえ、そもそもリソースベースポリシーのプリンシパルに IAM グループを指定することはできないため技術的にも成立しません。CloudTrail から CloudWatch Logs へ流して Athena の CloudWatch コネクタでクエリする案は、フェデレーテッドクエリ用の Lambda コネクタを自分でデプロイして維持する必要があり、「すぐに使えて運用オーバーヘッドが最小」という要件に反します。