理解確認：Security要件からControlを選択する

企業はMicrosoft Entra IDで社員アイデンティティを管理している。60個のAWSアカウントがあり、社員への長期AWS 認証情報の配布は禁止されている。開発者グループには開発アカウントで変更操作を許可し、本番アカウントでは読み取り専用にしたい。社員アイデンティティはEntra IDで継続管理し、AWSアカウントごとに別ディレクトリを持ちたくない。最も適切なアーキテクチャはどれか。

アプリケーションアカウントのワークロードがセキュリティアカウントで管理されているカスタマーマネージドKMSキーを暗号化 / Decryptに利用する。セキュリティチームだけがキーポリシーやキーライフサイクルを管理し、アプリケーションチームには暗号化・復号以外のキー管理操作を許可したくない。最も適切な設計はどれか。

インターネットユーザーが利用するウェブ アプリケーションがある。通信経路は インターネット → HTTPS 443 → ALB → TCP 8443 → アプリケーション → TCP 5432 → データベース。インターネット→ALBはパブリック信頼されたTLS、アプリケーションはALBからのみ、データベースはアプリケーションからのみ接続可能とし、検査やサブネット単位明示的な拒否は不要、証明書運用負荷を小さくしたい。最も適切な設計はどれか。

複数VPCのインターネット向けアウトバウンドトラフィックを中央検査 VPCへ集約し、AWS Network Firewallでドメインベースの フィルタリングを行う。新しいAWSアカウントやVPCにもセキュリティチームのネットワークセキュリティポリシーを継続適用したい。最も適切なアーキテクチャはどれか。

Organizations配下のすべてのアカウントについて全有効リージョンの管理操作を長期間監査したい。ログはワークロード管理者から分離されたログアーカイブへ保存し、配信後にCloudTrail ログが変更または削除されていないか検証可能にする必要がある。最も適切な設計はどれか。

100個のAWSアカウントでEC2 ワークロードを運用している。セキュリティチームは重要ソフトウェア脆弱性、GuardDutyが検出した脅威、複数アカウントのセキュリティ検出結果を専用セキュリティアカウントから確認し、重要検出結果だけを通知ワークフローへ即時送信したい。最も適切な設計はどれか。

内部アプリケーションでアプリケーションサーバーはALBからTCP 8080だけを受信する。サブネット単位明示的な拒否、ドメイン / パケット検査、組織全体 ネットワークポリシーはいずれも要求されていない。追加するセキュリティ制御として最も適切なのはどれか。

企業には、既存企業IdPを社員アイデンティティとして使用、本番データをカスタマーマネージドキーで暗号化、全AWSアカウントの管理操作を中央監査、重要セキュリティ検出結果だけセキュリティチームへ通知、という要件がある。要件を満たす設計を4つ選択してください。

新しい本番アプリケーションについて、社員管理者は既存企業IdPで複数AWSアカウントへアクセス、パブリック ウェブ エンドポイントではTLS、アプリケーションサーバーはALBからだけ接続可能、本番データはセキュリティチーム管理の顧客マネージドKMSキーで暗号化、組織全体の管理操作を中央保存して配信後の改変を検証可能、ネットワーク層のドメイン検査や明示的な拒否は不要、という要件がある。要件を満たし、不要な制御が最も少ないアーキテクチャはどれか。

アカウントAのアプリケーションロールから、アカウントBのS3バケットへオブジェクトを書き込む。バケットはアカウントBのカスタマーマネージドKMSキーで暗号化し、アプリケーションはアカウントAのロールアイデンティティのまま動作させたい。S3への書き込みとKMS暗号化の両方を最小権限で成立させる設計として最も適切なものはどれか。

監査要件として「誰がIAMポリシーを変更したか」と「どのS3 オブジェクトが読み取られたか」の両方を記録したい。CloudTrailイベントの分類として最も適切なのはどれか。

セキュリティインシデント対応で「レコード / 検知 / 対応」を分離して設計する。正しい責任の組み合わせを3つ選択してください。