組織の全アカウントで、CloudTrailの証跡とGuardDutyを無効化・変更されないようにしたい。ただし、セキュリティチームが使う特定のIAMロールだけは設定を変更できる必要がある。
最も適切なものを1つ選択してください。
出典AWS非公式・オリジナル問題
ア
各アカウントのIAMユーザーからCloudTrailの権限を外し、ルートユーザーだけが変更できるようにする
イ
証跡とGuardDutyの停止・変更を拒否するSCPを作り、セキュリティチームのロールを条件で除外する
ウ
各アカウントの管理者に、CloudTrailとGuardDutyを変更しないよう社内規程で周知し、毎月の点検で確認する
エ
AWS Configのルールで証跡の停止を検知し、停止されたら翌日に手作業で元に戻す運用にする