【DOP-C02 模擬】暗号化されていないリソースを含むスタックを、デプロイ前に自動で拒否して組織全体に適用するには？
ある企業は100のAWSアカウントでAWS CloudFormationを使ってインフラをデプロイしています。セキュリティ部門は「暗号化されていないEBSボリュームやRDSインスタンスを含むスタックの作成・更新を、リソースがプロビジョニングされる前に自動で拒否し、開発者がエラーメッセージから理由を確認できる」ことを求めています。この仕組みは、パイプライン経由かコンソール・CLI経由かを問わず適用され、組織全体に少ない運用負荷で展開する必要があります。
最も適切な方法はどれですか。
最も適切な方法はどれですか。
正解: C
正解はCです。CloudFormation Hooksは、スタック操作でリソースがプロビジョニングされる前にルールを評価し、非準拠なら失敗させて理由をメッセージとして返せます。GuardフックならルールをGuardの記述として管理でき、StackSetsなどで複数アカウントへ展開できます。デプロイの経路を問わず、CloudFormationを通る操作すべてに効く点が要件に合致します。Aは検出と事後是正で、非準拠リソースが一時的に作成されてしまいます。BのSCPはAPI呼び出しを拒否しますが、エラーはAccessDeniedの形でスタックの失敗理由が分かりにくく、RDSなどリソースごとの条件キーも網羅しづらい制約があります。DはパイプラインのみでコンソールやCLIからの直接デプロイを防げません。