組織CloudTrail証跡難易度 標準無料
50アカウントの組織で、監査部門が「全アカウントの全リージョンのAPIアクティビティを、各アカウント担当者が個別に証跡設定を無効化・変更できない形で、一元的に1つのS3バケットへ集約したい」と要望している。この要件を満たす最も適切な設計を選べ。（単一選択）
- A管理アカウントから、全リージョン対象・組織全体に適用する組織用CloudTrail証跡（organization trail）を1つ作成し、ログ専用アカウントのS3バケットに集約する。メンバーアカウント側からはこの証跡を無効化・変更できない
- B各メンバーアカウントに個別のCloudTrail証跡を作成させ、各証跡のログをそれぞれのアカウントのS3バケットへ保存し、月次でログ専用アカウントへ手動集約する
- CAWS Configのアグリゲータを使い、各アカウントの設定変更履歴だけを集約する。CloudTrailのAPIアクティビティ記録は不要と判断する
- D管理アカウントのCloudTrail証跡だけを有効化し、メンバーアカウントのアクティビティは管理アカウントのIAMロールのCloudTrailログのみで代替する
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
AWS Organizationsの組織用CloudTrail証跡（organization trail）を、管理アカウントから作成することで要件を満たせる。
- 組織用証跡は管理アカウントで一度作成すると、組織内の全メンバーアカウント（既存・将来追加分含む）に自動的に適用され、 各アカウントのAPIアクティビティ・全リージョンのイベントを記録できる（「すべてのリージョンに適用」を選択した場合）。
- メンバーアカウント側からはこの組織用証跡を無効化・削除・変更することができない（管理アカウントのみが変更権限を持つ）ため、 「各アカウント担当者が個別に無効化できない」という監査要件を満たす。
- ログの集約先S3バケットは通常、ログ専用アカウント（Log Archive）に作成し、バケットポリシーで 書き込みは許可するが削除・変更はできないよう最小権限で構成する。
各アカウントで個別にCloudTrail証跡を作成・管理する方式では、担当者が証跡を停止・改ざんできてしまい統制が効かない。
- B各アカウント管理者が自分の証跡を無効化・削除できてしまい統制にならない。集約も手動で運用負荷・タイムラグが大きい。
- CConfig アグリゲータはリソース構成変更の履歴であり、CloudTrailが記録する全APIコール（Read/Write双方）の監査証跡の代替にはならない。
- D管理アカウント単体の証跡はメンバーアカウント内で発生するアクティビティを記録しない。組織用証跡として明示的に組織全体へ適用する必要がある。
ひっかけ： 「各アカウントに証跡を作らせてSNSで通知連携する（B）」は各アカウント管理者が証跡自体を無効化できてしまい、
「個別に変更できない」という統制要件を満たさない。組織用証跡はメンバーアカウント側から改変不能という性質が本問の核心。
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）