AWS Certified Solutions Architect - Professional 無料問題 10 / 10 ・ 分野5: 運用上の優秀性とオートメーション
グループ会社全体のセキュリティ担当が、AWS Organizations の複数の OU にある数十のアカウントに、Systems Manager のオートメーションでパッチ適用のランブックを実行する。実行は 1 か所から行い、管理アカウントの権限の利用は最小限にしたい。実行の履歴は、監査のために 1 か所で確認できるようにしたい。対象のアカウントは今後も増える。OU を対象に実行するアカウントとして、最も合うものはどれか。
- 対象の OU 内の任意のメンバーアカウントから実行し、管理アカウントは使わない。どのメンバーアカウントも、OU 内のアカウントを一覧できる
- OU を直接の対象にはできないので、アカウント ID を 1 つずつ指定する。OU 単位の実行は、サポートされていない
- 対象のアカウントごとに、AutomationAdministrationRole を作る。実行する側のアカウントには、ロールを作らない
- 委任管理者のアカウントから、対象の OU に実行する。アカウントを一覧する権限が要るので、管理アカウントも使えるが勧めない
正解と解説を見る
正解: D
正解の理由
OU を対象にオートメーションを実行する中央のアカウントには、OU 内のアカウントを一覧する権限が必要で、これは委任管理者のアカウントか、組織の管理アカウントでだけ可能である。Organizations のベストプラクティスに従い、委任管理者のアカウントを使うことが勧められている。管理アカウントの権限は最小限にとどめる。中央のアカウントには AutomationAdministrationRole を、対象のアカウントには AutomationExecutionRole を作る。
違う選択肢
「対象の OU 内の任意のメンバーアカウントから実行し、管理アカウントは使わない。どのメンバーアカウントも、OU 内のアカウントを一覧できる」… メンバーアカウントは、OU 内のアカウントを一覧できない。委任管理者か管理アカウントが必要である。
「OU を直接の対象にはできないので、アカウント ID を 1 つずつ指定する。OU 単位の実行は、サポートされていない」… OU を対象にした実行は可能である。アカウントを個別に指定する形に限られない。
「対象のアカウントごとに、AutomationAdministrationRole を作る。実行する側のアカウントには、ロールを作らない」… AutomationAdministrationRole は中央のアカウントに、AutomationExecutionRole は対象のアカウントに作る。
押さえどころ
OU を対象にするオートメーションは、委任管理者（推奨）か管理アカウントから実行。中央に Administration ロール、対象に Execution ロール。
AWS Certified Solutions Architect - Professionalの演習アプリ（無料10問・全問は購入で）へ