ある企業は、Amazon EC2 インスタンスと Amazon Elastic Container Registry (Amazon ECR) 内のコンテナイメージに対してホストベースのセキュリティを必要としています。SSM Agent はすべての EC2 インスタンスにインストールされています。すべての AWS アカウントは単一の AWS Organizations 組織に属しています。この企業は、ソフトウェアの脆弱性と意図しないネットワーク露出についてワークロードを分析し、組織レベルで AWS Security Hub に結果を送信します。このソリューションは、すべての既存および新規メンバーアカウントに自動的にデプロイされ、新しいワークロードが出現すると自動的にスキャンする必要があります。どのソリューションがこれらの要件を満たしますか？

正解は、Amazon Inspector を組織の委任管理者として指定し、新規メンバーアカウントの自動スキャンを有効にすることです。Amazon Inspector は、EC2 インスタンスと ECR コンテナイメージの脆弱性スキャンをサポートしており、組織全体で一元的に管理できます。委任管理者を設定することで、組織内のすべてのアカウントで Inspector を有効化し、新しいアカウントが組織に追加された際に自動的にスキャンを開始するように設定できます。これにより、ソフトウェアの脆弱性と意図しないネットワーク露出を継続的に分析し、結果を Security Hub に送信するという要件を満たします。 サービスコントロールポリシー (SCP) は、アクセス許可を管理するためのものであり、スキャン設定を直接行うものではありません。Amazon GuardDuty は脅威検出サービスであり、脆弱性スキャンは行いません。AWS Config ルールは、リソースの設定変更を監視するものですが、ECR イメージ分析の開始には直接関連しません。