SAP-C03 · LESSON 2
セキュリティ・コンプライアンス・ガバナンス25% · 5項目
SCP は権限の上限であり、許可自体を付与しません。ロール、リソースポリシー、暗号化、監査を重ねて最小権限を作ります。AI のコンテンツ制御に加え、実行ツールの認可と重要操作の承認を設けます。データ所在地は推論・ログ・複製を含めて検証します。
2.1組織統制と責任ある AI を重ねる
組織統制と責任ある AI を重ねる
概念
SCP は権限の上限であり、許可自体を付与しません。ロール、リソースポリシー、暗号化、監査を重ねて最小権限を作ります。AI のコンテンツ制御に加え、実行ツールの認可と重要操作の承認を設けます。データ所在地は推論・ログ・複製を含めて検証します。
仕組み・手順
- 要件と成功条件を先に書き出す。
- 検証環境で操作し、成功・失敗の証跡を残す。
- 結果を確認してから、下の分野別練習で判断を確かめる。
業務での例
許可されないリージョンとツール操作の拒否、および監査証跡を確認する。
紛らわしい点・試験の注意
- 模試の正答率は公式スコアに換算できません。実環境の仕様も公式資料で確認してください。
ミニクイズ
Q1. AWS Organizations の OU（組織単位）の構成を見直している。AWS の推奨に最も沿った考え方はどれか。
- セキュリティ・インフラ・ワークロード（本番／開発）など、統制の要件が似たアカウントを同じ OU にまとめる
- 会社の組織図と同じ階層で OU を作り、部署の異動や組織変更のたびに OU の構成とアカウントを移動させる
- すべてのアカウントを1つの OU に入れ、SCP はアカウントごとに個別に作って直接アタッチして管理する
- 本番と開発のワークロードを同じアカウントに入れ、アカウントの数を増やさないように OU は作らない
答えと解説を見る
正解：A セキュリティ・インフラ・ワークロード（本番／開発）など、統制の要件が似たアカウントを同じ OU にまとめる
OU はポリシーを適用する単位なので、組織図ではなく統制の要件（本番・開発・セキュリティなど）で分ける。組織変更のたびに OU を動かす必要がない。
Q2. サービスコントロールポリシー（SCP）の説明として誤っているものはどれか。
- SCP で明示的に拒否したアクションは、メンバーアカウントの IAM ポリシーで許可していても実行できない
- SCP は管理アカウントのユーザーやロールには適用されない
- SCP で許可したアクションは、IAM ポリシーで許可していなくてもアカウントのユーザーが実行できる
- SCP はメンバーアカウントのルートユーザーにも適用される
答えと解説を見る
正解：C SCP で許可したアクションは、IAM ポリシーで許可していなくてもアカウントのユーザーが実行できる
SCP は権限の上限を決めるだけで、権限を与えない。実際に実行するには IAM ポリシーなどでの許可も必要。
参考リンク
2.2セキュリティコントロールを規定する
概念
組織のセキュリティの管理策は、予防（SCP・RCP・IAM・権限の境界）、検出（GuardDuty・Security Hub・Config・CloudTrail の組織の証跡）、対応（EventBridge と自動修復）の組み合わせです。SCP はプリンシパル（IAM ユーザー・ロール）の権限の上限、RCP（リソースコントロールポリシー）はリソースへのアクセスの上限を組織全体で設定します。セキュリティのサービスは委任管理者のアカウントで一元管理します。
仕組み・手順
- セキュリティ・ログ専用のアカウントを用意する
- GuardDuty・Security Hub・Config の委任管理者を設定し、全アカウントで自動で有効にする
- SCP で危険な操作を禁止し、RCP で組織外からのリソースへのアクセスを制限する
- 権限の境界で、開発者が作るロールの権限の上限を決める
- 検出結果を EventBridge で自動修復の処理につなぐ
業務での例
組織外のプリンシパルが S3 バケットにアクセスできないように RCP を設定し、どのアカウントでも GuardDuty を無効にできないよう SCP で禁止する。
紛らわしい点・試験の注意
- SCP は管理アカウントには適用されない
- RCP はリソースへの、SCP はプリンシパルからのアクセスを制限する
- 権限の境界は IAM のエンティティごと、SCP はアカウント・OU ごと
ミニクイズ
Q1. AWS Control Tower の説明として誤っているものはどれか。
- Account Factory で、決められた設定の新しいアカウントを作成できる
- SCP などによる予防的なコントロールと、Config ルールによる検出的なコントロールを適用できる
- ランディングゾーンの設定で、ログアーカイブ用と監査用のアカウントが作られる
- 有効にすると、既存の組織のメンバーアカウントは自動的に削除され、新しく作り直される
答えと解説を見る
正解：D 有効にすると、既存の組織のメンバーアカウントは自動的に削除され、新しく作り直される
Control Tower は既存の組織にも導入でき、既存のアカウントを登録（enroll）して管理下に置ける。アカウントが削除されることはない。
Q2. 組織全体のガードレールを設計している。メンバーアカウントの誰であっても、CloudTrail の証跡を停止・削除できないようにしたい。管理者権限を持つユーザーも含める。最も適した仕組みはどれか。
- リソースコントロールポリシー（RCP）
- サービスコントロールポリシー（SCP）
- Organizations のタグポリシー
- IAM のアクセス許可の境界
答えと解説を見る
正解：B サービスコントロールポリシー（SCP）
SCP はメンバーアカウントの IAM ユーザー・ロール（ルートユーザーを含む）が実行できる操作の上限を決める。拒否は IAM ポリシーの許可より優先される。
参考リンク
2.3マルチアカウントの AWS 環境を設計する
概念
マルチアカウントは、AWS Organizations の OU（組織単位）でアカウントを分類し（セキュリティ・インフラ・ワークロード・サンドボックスなど）、AWS Control Tower でランディングゾーン（ログアーカイブ・監査のアカウント、コントロール（ガードレール）、Account Factory）を自動で構築します。人のアクセスは IAM Identity Center、共有のリソースは RAM で配ります。
仕組み・手順
- OU の構造を、目的と適用するポリシーで設計する
- Control Tower でランディングゾーンを作り、ログと監査のアカウントを分ける
- 予防・検出のコントロールを OU ごとに有効にする
- Account Factory（または AFT）で新しいアカウントを標準の設定で発行する
- IAM Identity Center の許可セットで、アカウントごとのアクセスを管理する
業務での例
新しいプロジェクトのアカウントを Account Factory で発行すると、自動で CloudTrail・Config・ネットワークが設定され、開発の OU のガードレールが適用される。
紛らわしい点・試験の注意
- 1 つのアカウントにすべてを入れると、権限・コスト・障害の分離が難しい
- Control Tower のコントロールの中身は SCP や Config ルール
- 管理アカウントにはワークロードを置かない
ミニクイズ
Q1. 組織の全アカウントの API の操作記録を、改ざんされない形で1か所に長期保管したい。最も適切な構成はどれか。
- 本番アカウントの S3 バケットに保存し、バケットポリシーで全社員がログを読めるようにして透明性を高める
- 各アカウントの管理者に、毎月 CloudTrail のイベント履歴を CSV でダウンロードさせ、本社の共有フォルダに日付ごとに置かせる
- 各アカウントで個別に CloudTrail の証跡を作り、それぞれのアカウントの S3 バケットに保存しておく
- 組織の CloudTrail 証跡を作り、ログアーカイブ用アカウントの S3 バケットにオブジェクトロックを有効にして保存する
答えと解説を見る
正解：D 組織の CloudTrail 証跡を作り、ログアーカイブ用アカウントの S3 バケットにオブジェクトロックを有効にして保存する
組織の証跡を使うと全アカウントのイベントを1つの S3 バケットに集約できる。ログ専用のアカウントに分離し、オブジェクトロックで削除や上書きを防ぐ。
Q2. 社員は Microsoft Entra ID で認証している。全アカウントへのアクセスを社員の ID で管理し、入社・退職の反映を自動化したい。最も適切な方法はどれか。
- Entra ID のパスワードと同じ文字列を IAM ユーザーに設定するよう、社員に入社時に依頼しておく
- 共有の IAM ユーザーを部署ごとに1つ作り、パスワードを部署内で共有して定期的に変更していく
- IAM Identity Center の ID ソースに Entra ID を設定し、SCIM でユーザーとグループを自動で同期する
- 各アカウントに社員ごとの IAM ユーザーを作り、人事部から退職の連絡を受けたら手作業で削除する
答えと解説を見る
正解：C IAM Identity Center の ID ソースに Entra ID を設定し、SCIM でユーザーとグループを自動で同期する
外部 IdP を ID ソースにすると社員は社内の ID でサインインでき、SCIM の自動プロビジョニングで入社・退職がすぐに反映される。
参考リンク
2.4要件に基づいてセキュリティコントロールを決定する
概念
新しいシステムのセキュリティは、要件（規制・データの機密性・公開の範囲）から管理策を選びます。境界の防御は WAF・Shield Advanced（DDoS 対応チームと費用の保護）・AWS Network Firewall（VPC の通信のステートフルな検査・ドメインのフィルター）、データは KMS・CloudHSM（専有の HSM が必要な場合）、パッチは Systems Manager Patch Manager、認証は Cognito（利用者）や IAM Identity Center（社員）で行います。
仕組み・手順
- 規制とデータの分類から必要な管理策を洗い出す
- 公開の境界に WAF と Shield、VPC の出入りの通信に Network Firewall を置く
- FIPS 140 レベル 3 の専有の鍵が必要なら CloudHSM、それ以外は KMS
- Patch Manager でパッチの基準と適用の時間帯を決める
- 利用者の認証は Cognito、MFA を必須にする
業務での例
社内のサーバーから外部への通信を、許可したドメインだけにするため、Network Firewall のドメインリストで制限し、それ以外を拒否する。
紛らわしい点・試験の注意
- セキュリティグループではドメイン名でのフィルターはできない（Network Firewall を使う）
- Shield Advanced には DDoS による費用の増加の保護がある
- CloudHSM は鍵の完全な管理が必要な場合。運用の負担は大きい
ミニクイズ
Q1. 暗号化キーと証明書の管理方法を選んでいる。誰がキーを使えるかをキーポリシーで細かく決め、自動ローテーションを設定し、キーの使用を CloudTrail で監査したい。最も適したものはどれか。
- AWS CloudHSM
- AWS Private CA
- KMS のマルチリージョンキー
- KMS のカスタマーマネージドキー
答えと解説を見る
正解：D KMS のカスタマーマネージドキー
カスタマーマネージドキーは利用者がキーポリシーやローテーションを管理でき、使用は CloudTrail に記録される。
Q2. 大規模な Web サイトの攻撃対策を設計している。特定の IP アドレスから、5 分間に数千回のログインの試行が繰り返されている。最も適したものはどれか。
- AWS WAF のマネージドルールグループ
- AWS WAF のレートベースのルール
- AWS Shield Advanced
- CloudFront の地域制限
答えと解説を見る
正解：B AWS WAF のレートベースのルール
レートベースのルールは送信元 IP などごとのリクエスト数を数え、しきい値を超えた送信元を一定時間ブロックする。
参考リンク
2.5セキュリティを向上させる戦略を決定する
概念
既存の環境のセキュリティの改善は、Security Hub（基準のチェックと検出結果の集約）、IAM Access Analyzer（外部へのアクセス・未使用のアクセスの検出、ポリシーの生成）、Config のルールと自動修復、Inspector の脆弱性の検査で行います。シークレットのローテーションや、長期のアクセスキーの廃止も改善の対象です。
仕組み・手順
- Security Hub の基準（AWS Foundational Security Best Practices など）でスコアを確認する
- Access Analyzer で外部に公開されたリソースと未使用の権限を見つける
- Config ルールに違反したリソースを自動修復する
- 長期のアクセスキーを IAM ロールや Identity Center に置き換える
- Inspector の結果から重大な脆弱性を優先して修正する
業務での例
Config で「暗号化されていない EBS」を検出したら、自動修復でスナップショットを暗号化し、Security Hub のスコアを毎月の会議で確認する。
紛らわしい点・試験の注意
- Access Analyzer の未使用のアクセスの検出で、最小権限に近づけられる
- 自動修復は本番への影響を確認してから有効にする
- 検出だけで対応しなければリスクは減らない
ミニクイズ
Q1. 組織全体のセキュリティの状況を一元管理したい。GuardDuty・Inspector・Macie などの検出結果を1か所に集め、CIS などのセキュリティ基準への準拠状況を全アカウントで確認したい。最も適したサービスはどれか。
- IAM Access Analyzer
- AWS Config アグリゲーター
- AWS Security Hub
- Amazon GuardDuty
答えと解説を見る
正解：C AWS Security Hub
Security Hub は複数のサービスの検出結果を集約し、セキュリティ基準に沿った自動チェックの結果を、委任管理者のアカウントで組織全体分まとめて確認できる。
Q2. 認証情報と設定値の管理方法を選んでいる。RDS のパスワードを 30 日ごとに自動でローテーションし、アプリは常に最新の値を取得したい。最も適したものはどれか。
- Systems Manager Parameter Store
- AWS Secrets Manager
- Amazon Cognito
- IAM ロール（インスタンスプロファイル）
答えと解説を見る
正解：B AWS Secrets Manager
Secrets Manager は RDS などと連携したシークレットの自動ローテーションを提供し、アプリは API で最新の値を取得する。
参考リンク
レッスンは当サイトがAWS 認定の公式ページと公式試験ガイドをもとに独自に作成したもので、試験の内容を保証するものではありません。製品の仕様は変わることがあるため、参考リンク先の最新情報を確認してください。
ご利用上の注意（非公式・独自問題・合格保証なし）
- 本サイトの問題は、公式に公開されているスキル概要・試験ガイドをもとに当サイトが独自に作成した練習問題であり、実際の試験問題ではありません。
- Amazon Web Services、AWS、および関連するマークは、米国その他の国における Amazon.com, Inc. またはその関連会社の商標です。本サイトは AWS（Amazon Web Services）と提携しておらず、AWS による承認・推奨を受けたものではありません。
- 本コンテンツは学習の補助であり、合格を保証するものではありません。試験の内容・形式・前提条件は予告なく変更されます。受験前に必ず公式ページで最新情報を確認してください。
- 本模擬試験の正答率は、公式試験の換算（スケール）スコア（合格 720）とは換算できず、合否を予測するものではありません。
- 未ログイン時の進捗はこのブラウザ内（localStorage）に保存します。Google でログインすると学習記録をアカウントに同期します。端末内の記録とサーバー上の記録は別に削除します。詳しくは保存・同期の説明とCookie・保存設定をご確認ください。