AWS ソリューションアーキテクト プロフェッショナル多アカウントの統制と証跡オリジナル・公式資料照合難易度
中央S3バケットにCloudTrailサービスからログを書き込ませる。サービスプリンシパルへの許可を、指定した組織証跡に由来する書込みへ絞る条件はどれか。
A
すべての呼出しでaws:SourceIpを管理者PCのIPに固定する
サービス自身のログ配信は管理者PCからの書込みではない。適切な出所の文脈で制限する。
B
aws:SourceArnを許可した証跡ARNに限定する★ 正解
SourceArnでサービスがどの証跡のために書き込むかを制限できる。必要な保存先やACL等の条件も維持する。
C
PrincipalをCloudTrailサービスにすれば、どの証跡でも同じ組織のものと判定される
サービスプリンシパルの一致だけでは、許可する証跡の範囲まで限定できない。
D
バケットを公開にして、正しいプレフィックスへ書くことだけを運用で依頼する
公開設定は必要以上の権限を与え、証跡の出所制限にもならない。
解説
SourceArnでサービスがどの証跡のために書き込むかを制限できる。必要な保存先やACL等の条件も維持する。
根拠資料・確認情報
対応範囲：SAP-C02
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。
同じレッスンの問題
問題 1
SCPでaws:RequestedRegionが東京以外の要求をDenyすると、通常の業務で必要なIAM操作まで失敗した。リージョン制限の設計で必要な見直しはどれか。
問題 2
OrganizationsのタグポリシーでCostCenterの表記と許容値を定義し、対応リソースの強制を有効化した。タグなしリソースの作成も全件拒否できるという説明は正しいか。
問題 3
あるAWSサービスの委任管理者をメンバーアカウントに登録した。担当者は、これでOrganizationsのすべてのポリシーを自由に変更できると考えている。適切な説明はどれか。
問題 4
StackSetsで多数アカウントへ更新中に失敗許容数へ達して処理が停止した。一部のスタックは更新済みである。次の対応として適切なのはどれか。