CloudTrail組織証跡難易度 標準無料
AWS Organizationsで20個のメンバーアカウントを統括する会社が、各メンバーアカウントの管理者であってもAPI呼び出しの監査ログ収集を無効化できないようにしたい。全アカウントの証跡を一元的に管理アカウント側のS3バケットへ集約する設計として最も適切なものを選べ。（単一選択）
- A管理アカウントから「組織内の全アカウントに適用する」オプションを有効にした組織証跡（organization trail）を作成し、ログの集約先を管理アカウントのS3バケットに指定する。メンバーアカウントの管理者はこの証跡を無効化・削除できない
- B各メンバーアカウントに個別のCloudTrail証跡を作成させ、各アカウントのS3バケットから管理アカウントのS3バケットへクロスアカウントレプリケーションでログを転送する
- C管理アカウントにのみCloudTrail証跡を作成し、メンバーアカウントでのAPI呼び出しも自動的にその証跡に記録されると想定する
- D各メンバーアカウントにSCPで
cloudtrail:StopLoggingを明示的にDenyし、各アカウントで個別にCloudTrail証跡を作成する
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
AWS Organizationsの組織証跡（organization trail）を使うと、管理アカウント（またはCloudTrail用の委任管理者アカウント）から 「組織内の全アカウントに証跡を適用する」オプションを有効にして証跡を作成できる。
- これにより各メンバーアカウントに自動的に同じ証跡が作成され、すべてのログが管理アカウント側の指定S3バケットへ集約される。
- メンバーアカウントの管理者は、その組織証跡を無効化・削除・変更できない（参照のみ可能）。組織証跡の管理権限は管理アカウント（または委任管理者）に限定される。
- これに対し、各アカウントに個別の証跡を手動作成する方式では、各アカウントの管理者がその証跡自体を無効化・削除できてしまうため、 「管理者であっても無効化できない」という要件を満たさない。
- B集約自体はできるが、各アカウントの証跡はそのアカウントの管理者権限で無効化・削除できてしまうため、「管理者であっても無効化できない」という要件を満たさない。
- C「組織内の全アカウントに適用する」オプションを明示的に有効化しない限り、管理アカウントの証跡はメンバーアカウントのAPI呼び出しを記録しない。
- D運用が煩雑（証跡作成とSCP設定の二重管理）になるうえ、集約設計としても組織証跡ほどシンプルで確実ではない。SCPのDeny漏れがあれば無効化を防げない。
ひっかけ： 「各アカウントで個別にCloudTrailを有効化し、S3クロスアカウントレプリケーションで管理アカウントへ集約する（B）」は集約自体は実現できるが、
各アカウントの証跡はそのアカウントの管理者権限で無効化・削除が可能なままであり、要件（無効化させない）を満たさない。
組織証跡はメンバー側からの無効化を構造的に防ぐ点が個別証跡との決定的な違い。
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）