Amazon SAP-C02: セキュリティ、アイデンティティ、コンプライアンス — 学習ガイド

By Laurynas Brazys · 1 August 2026 · #amazon #sap-c02 #certification #exam-prep #study-guide

こちらの一部です： AWS Solutions Architect Professional SAP-C02 — 学習ガイド. 検証済みの解答で練習： Amazon試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

アプリケーション層の防御、WAF、Shield、およびマルチアカウントガバナンス

インターネットに公開されているアプリケーションを保護するには、階層化されたコントロールと一元的なポリシー管理が必要です。エッジ (CloudFront) やリージョンのALBにAWS WAFを配置し、OWASPクラスの脅威やボットトラフィックをフィルタリングし、レートリミットを実装します。マルチアカウントのルール管理には、委任されたセキュリティアカウントでAWS Firewall Managerを使用し、OU全体にWAFv2ルールグループ、Shield Advancedサブスクリプション、および一元化されたセキュリティポリシーを展開します。Shield Advancedは大規模なイベントに対するDDoS緩和とコスト保護を提供しますが、高価です。アプリケーションのSLAとDDoSへの露出度をサブスクリプション価格と天秤にかける必要があります。一元化されたWeb ACL、マネージドルールグループ、およびきめ細かなIPセットの更新を使用して、運用オーバーヘッドを削減し、一貫性のない保護を回避します。アーキテクチャ上の罠には、ネットワーク層でセキュリティグループのみに依存すること、ルール展開の一元化を怠ること (ドリフトにつながる)、グローバルなCDN保護が必要な場合にWAFをリージョンにのみ配置することなどがあります。パフォーマンスのトレードオフには、検査による潜在的なレイテンシーの追加やカスタムルールの複雑さと、悪意のあるトラフィックがオリジンサーバーに到達する前にブロックすることで得られる回復力との比較検討が含まれます。WAFのロギング、メトリクス、およびSecurity Hub/GuardDutyとの統合を確実にし、一貫したインシデント対応を実現します。

実践的な問題: ユースケースシナリオ

シナリオ: OmniApps社は、管理アカウント、Transit Gatewayをホストする一元化されたネットワークアカウント、そしてeu-west-1とus-east-1に複数のワークロードアカウントを持つAWS Organizationを運用しています。彼らは、プライベートサブネット内のALBを持つプライベートアプリケーションスタックをVPCで実行し、CloudFrontを介して公開しており、一元化されたIDおよびセキュリティコントロールを必要としています。

課題: OmniApps社は、企業のSAMLベースのMFAでアクセスを一元化し、組織全体のセキュリティガードレールを強制し、アカウント間でWAFルールとDDoS保護を管理し、シークレットとキーをプライベートネットワークパス経由でのみアクセス可能に保つ必要があります。

推奨アプローチ:

1. 管理アカウントでIAM Identity Centerを有効にし、MFAが強制された企業のSAML IdPに接続します。SCIMプロビジョニングを設定し、最小権限のクロスアカウントアクセス用の許可セットを作成します。
2. OrganizationsでService Control Policiesを実装して、管理されていないルートアクションを拒否し、CloudTrail/Configを必須にします。セキュリティアカウントをSecurity Hub、GuardDuty、およびFirewall Managerの委任管理者として指定します。
3. セキュリティアカウントからAWS Firewall Managerを使用して、AWS WAFv2 Web ACLとAWS Managed Rulesをアカウント間のCloudFrontディストリビューションとALBにデプロイします。重要なアプリごとにShield Advancedサブスクリプションを評価します。
4. CloudTrailログを、セキュリティアカウント内のマルチリージョンCMKで暗号化された安全なロギングアカウントに一元化します。明示的なKMSキーポリシーとGrantを介してロギングプロセッサに復号権限を付与し、プライベートアクセスのためにKMSおよびSecrets ManagerのVPCエンドポイントを有効にします。

理論的根拠: IDの一元化と委任されたセキュリティ管理は、管理上の摩擦と影響範囲を低減します。一方、Firewall Managerと一元化されたロギングは、プロフェッショナルなアーキテクチャのベストプラクティスに沿った、一貫したポリシー適用とフォレンジック機能を提供します。

← ネットワーキングとハイブリッド接続 · すべてのドメイン · コンピューティングとAuto Scaling →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Amazonを閲覧 →