SAP-C02-033 · 理解確認
理解確認：AWS Control TowerとLanding Zone
単一選択 12 / 複数選択 2 / 穴埋め 0 · 14問
理解確認
AWS Control Towerを選ぶ要件、コントロール動作、ランディングゾーン v4.0、アカウントファクトリーの成立条件をシナリオから判断します。
企業は既存のAWS Organizationsで複数アカウントを管理している。今後はランディングゾーン、コントロール、標準化されたアカウントプロビジョニング、継続ガバナンスまで一貫して管理したい。最も適切なサービスはどれか。
B. AWS Control Towerを導入する
C. AWS Organizationsの一括請求だけを利用する
D. AWS Service CatalogだけでOUを管理する
答えと解説
答え：B
要件は単一ポリシーではなくランディングゾーン、コントロール、アカウントプロビジョニング、継続ガバナンスまで含みます。AWS Control Towerがマルチアカウント基盤全体を標準化します。
企業には既にAWS Organizations組織と多数のOUがある。AWS Control Towerを追加したい。最も適切な説明はどれか。
B. 既存組織とは別にAWS Control Tower専用Organizationsを同じ管理アカウント内へ作る
C. 既存組織へ複数ランディングゾーンを作りOUごとに分離する
D. 既存OrganizationsへAWS Control Towerを導入でき、ランディングゾーンは1組織に1つ
答えと解説
答え：D
AWS Control Towerは既存Organizationsへ導入できます。Organizationsは基盤として残り、1つの組織につきAWS Control Towerランディングゾーンは1つです。
企業はランディングゾーン v4.0でAWS Configやセキュリティ関連のサービス統合を有効にしたい。組織構造について最も適切なのはどれか。
B. サービス統合用アカウントは異なるOUへ分散配置する
C. 固定OU構造は不要で、統合用中央アカウントはルート直下の同一OUへ集約する
D. サービス統合を有効にする場合はOUを使わずルート直下へ配置する
答えと解説
答え：C
v4.0では固定の組織構造は不要です。一方、有効化したサービス統合用アカウントはルート直下の同一OUにまとめる必要があります。
AWS Control Towerのコントロール動作と代表的な実装の組み合わせとして適切なものを3つ選択してください。
B. 予防的 — AWS Configルールだけ
C. 検出的 — AWS Configルール
D. 検出的 — AWS Service Catalog製品
E. プロアクティブ — AWS CloudFormation Hook
答えと解説
答え：A / C / E
予防的はOrganizationsポリシー系、検出的はAWS Configルール、プロアクティブはCloudFormation Hookが代表実装です。動作は『いつ違反を止める／検出するか』で判断します。
本番OUでは、管理者ロールにIAM権限が付与されていても特定の危険なAPI操作をリクエスト時点で拒否したい。違反後に検出して通知するだけでは要件を満たさない。AWS Control Towerで選ぶべきコントロール動作はどれか。
B. 検出的
C. プロアクティブ
D. レポート
答えと解説
答え：A
リクエスト時点で禁止操作を実行できないようにする要件には予防的コントロールを使用します。検出的コントロールは違反状態の検出、プロアクティブコントロールはCloudFormationでのプロビジョニング前評価に用います。
企業は既存リソースが暗号化要件に違反していないか継続的に検出したい。最も適切なコントロール動作はどれか。
B. プロアクティブ
C. 検出的
D. アカウントファクトリー
答えと解説
答え：C
既に存在するリソースの非準拠を継続確認する要件は検出的です。検出的コントロールはAWS Configルールで実装されるためAWS Config統合が必要です。
企業はCloudFormationテンプレートから作成されるリソースをプロビジョニング前に評価し、違反リソースを作成させたくない。最も適切なコントロール動作はどれか。
B. 検出的
C. AWS Service Catalog
D. プロアクティブ
答えと解説
答え：D
CloudFormationでリソースがプロビジョニングされる前にコンプライアンスを評価し、不適合リソースを拒否する要件はプロアクティブコントロールです。
ランディングゾーン v4.0におけるコントロールのガイダンスについて最も適切な説明はどれか。
B. 必須コントロールは環境構成に応じて適用され、v4.0では全OUへのデフォルト適用ではない
C. 必須コントロールは有効化したサービス統合に関係なく、常に同一の集合が全OUへ適用される
D. 選択コントロールは管理アカウントだけに適用し、メンバーOUには適用しない
答えと解説
答え：B
ガイダンスと動作は独立した分類です。必須コントロールはAWS Control Towerがデプロイしたリソースを保護するため、環境で有効なサービス統合や管理対象リソースに応じて適用されます。ランディングゾーン v4.0以降は全OUへデフォルト適用されるとは限りません。
企業はランディングゾーン v4.0の既存OUで予防的コントロールだけを利用したい。アカウントファクトリーや包括的ベースラインは不要である。最も適切な設計はどれか。
B. 必ずAWSControlTowerBaselineを有効化してからでなければコントロールは1つも使えない
C. OUを削除し、固定セキュリティOUとして再作成してから予防的コントロールを有効化する
D. AWS Config統合を必ず有効にしないと予防的コントロールは使えない
答えと解説
答え：A
v4.0ではコントロールをOUへ直接有効化できます。AWSControlTowerBaselineはすべてのコントロール利用の必須条件ではありません。予防的コントロールはAWS Config統合なしでも利用できます。
新プロジェクトごとにAWSアカウントを作る際、OU配置やガバナンス設定のばらつきを減らし、同じプロセスでアカウントを払い出したい。最も適切な機能はどれか。
B. AWS Configアグリゲーターによる設定情報の集約
C. AWS Control Tower アカウントファクトリー
D. AWS Organizationsの一括請求による請求の統合
答えと解説
答え：C
アカウントファクトリーは標準化されたアカウントプロビジョニングのための機能です。アカウント作成そのものだけでなくアカウントプロビジョニングプロセスを標準化します。
AWS Control Tower アカウントファクトリーについて適切なものを3つ選択してください。
B. AWS Service Catalogのアカウントファクトリー製品やAPIを利用して標準化されたアカウントをプロビジョニングできる
C. 対象OUへコントロールを1つ有効化すればアカウントファクトリーではAWSControlTowerBaselineが常に不要になる
D. アカウントプロビジョニングを標準化し、作成者ごとの設定差やガバナンス漏れを減らす目的で利用できる
E. アカウントファクトリーの単一アカウントプロビジョニング / 更新 / カスタマイズでは、AWS Config統合と対象OUのAWSControlTowerBaselineが必要になる
答えと解説
答え：B / D / E
アカウントファクトリーはAWS Service CatalogやAPIを通じて標準化したアカウントプロビジョニングを行い、設定差やガバナンス漏れを減らします。現在のランディングゾーン v4.0の単一アカウントプロビジョニング / 更新 / カスタマイズではAWS Config統合と対象OUのAWSControlTowerBaselineが必要です。
企業は既に稼働しているAWSアカウントを作り直さずAWS Control Towerガバナンスへ取り込みたい。最も適切な方法はどれか。
B. ワークロードを管理アカウントへ移動する
C. 既存アカウントをOrganizationsから一度削除する
D. サポート対象登録ワークフローで既存アカウントを管理対象OUへ登録する
答えと解説
答え：D
既存アカウントは再作成せず登録できます。既存資産を維持したままAWS Control Towerガバナンスへ移行する要件では登録を選びます。
AWS Control Towerが管理するリソースをAWS Control Tower外から変更し、期待設定と実際の設定が一致しなくなった。最も適切な説明はどれか。
B. ドリフトであり、検出と修復は別なのでドリフト種類に応じたサポート対象対応が必要
C. アカウントファクトリーによる正常なプロビジョニング状態である
D. Organizationsの請求範囲だけが変わった状態である
答えと解説
答え：B
管理される期待状態との差はドリフトです。ドリフト検知が発生しても、すべてが自動修復されるわけではなく、種類に応じた修復を行います。
企業の要件は『全メンバーアカウントで特定AWS APIを禁止する』だけで、ランディングゾーンや標準アカウントプロビジョニングは不要である。最も単純なアーキテクチャはどれか。
B. AWS Control Towerのランディングゾーンと予防的コントロールを導入し、アカウント管理機能も合わせて利用する
C. 各アカウントのIAMロールへPermission Boundaryを配布し、個別管理者が変更できる前提でAPI利用を制限する
D. AWS Configのルールで禁止APIの利用を検出し、検出後に自動修復する
答えと解説
答え：A
単一の組織全体の権限ガードレールだけならOrganizationsポリシーで成立します。AWS Control Towerはランディングゾーンやアカウントプロビジョニングまで一貫して標準化する要件で選択します。