セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説大規模な組織で複数のAWSアカウントとリージョンにまたがるセキュリティ監視を中央集約して運用する場合、最も適切な設計はどれか。
Aすべてのアカウントと全リージョンでAWS Organizationsの委任管理者を用いてGuardDuty・Security Hub・Detectiveを有効化し、Security Hubの委任管理者アカウントでAWS Foundational Security Best Practices 標準を組織全体に適用、GuardDutyのファインディングをSecurity Hubで集約し、必要に応じてDetectiveにピボットして根本原因を調査する。
正解 ⭕⭕
【正解の理由】【正解】 ベストプラクティス。GuardDutyは全リージョンでの有効化と新規アカウント/リージョンの自動有効化が推奨。Security Hubは委任管理者で組織有効化し、AWS Foundational Security Best Practices 標準を適用して発見を中央集約。DetectiveはGuardDuty/CloudTrail/VPCフローログを基に行動グラフを構築し、Security HubやGuardDutyの発見からピボットして根本原因を特定できる。
BGuardDutyは重要リージョンのみに限定し、Security Hubは管理アカウントだけで有効化、Detectiveは無効化して各アカウントの手動運用で追跡する。
誤答CSecurity Hubだけで脅威検知が可能なためGuardDutyは不要とし、Detectiveは別リージョンで必要時のみ使用する。
誤答D管理アカウントの単一リージョンでGuardDutyとSecurity Hubを有効化すれば、他リージョンのイベントは自動的に集約されるため追加設定は不要。Detectiveは利用しない。
誤答🎯正解の決め手・公式要点まとめ
Organizationsの委任管理者でGuardDuty・Security Hub・Detectiveを全アカウント・全リージョンに自動有効化し、Security HubでAWS Foundational Security Best Practicesを適用して発見を中央集約、必要に応じてDetectiveへピボットして根本原因を解析する。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。