SOA-C03：AWS Certified CloudOps Engineer - Associate セキュリティとコンプライアンス 問5
セキュリティとコンプライアンス／セキュリティ・コンプライアンスのツールとポリシーの管理アカウント内の AWS リソースの構成が社内の基準（例: EBS ボリュームの暗号化必須、特定ポートの開放禁止）に継続的に準拠しているかを評価し、逸脱したリソースを検出したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SOA-C03：AWS Certified CloudOps Engineer - Associateの出題範囲「セキュリティとコンプライアンス」に対応。実際の試験問題ではありません）
- A四半期ごとに担当者が全リソースを手作業で点検する
- BAmazon GuardDuty でリソース構成の基準準拠を評価する
- CAWS Config のルール（マネージドルール／カスタムルール）でリソース構成を継続的に評価し、非準拠のリソースを検出する
- DAWS CloudTrail のログ保存を有効にすれば構成の準拠が保証される
正解：C
解説
AWS Config は、リソースの構成を継続的に記録し、Config ルール（あらかじめ用意されたマネージドルールや独自のカスタムルール）で望ましい構成に準拠しているかを自動評価します。EBS 暗号化の有無や開放ポートの有無といった基準に照らして、非準拠（NON_COMPLIANT）のリソースを検出でき、コンプライアンス評価の継続的な自動化に適しています。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。四半期ごとの手作業点検は、継続的な評価・検出にならず、逸脱の見逃しが生じます。
- B誤り。GuardDuty は脅威検出（不正・異常の兆候の検出）が目的であり、リソース構成が基準に準拠しているかの評価は行いません。
- C正しい。AWS Config のルールでリソース構成を継続的に評価すれば、非準拠リソースを自動で検出できます。
- D誤り。CloudTrail は API コールの監査記録であり、構成が基準に準拠しているかを評価・保証するものではありません。