ハンズオンラボ — SAP-C02 AWS Certified Solutions Architect Professional

概要

前提条件

ステップ

1. 1.TerraformのバージョンとAWSリージョンを選択する

   標準的な開始点です。Organizationsはグローバルサービスですが、そのAPIエンドポイントはus-east-1にあります。組織レベルのTerraformは常にus-east-1から実行してください — SAP-C02試験では、マルチリージョンアーキテクチャの採点時にネットワーク接続とコンテンツ配信の下でこの正確な詳細が問われます。

   コピー

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       aws = {
         source  = "hashicorp/aws"
         version = "~> 5.60"
       }
     }
   }
   
   provider "aws" {
     region = "us-east-1"
   
     default_tags {
       tags = {
         Project   = "certlabpro-sap-c02"
         ManagedBy = "terraform"
       }
     }
   }
   
   data "aws_caller_identity" "current" {}
   
   # Replace with the 12-digit account ID of the *shared-services* account
   # we are wiring cross-account trust to in Step 4.
   locals {
     shared_services_account_id = "111122223333"
   }

2. 2.OU構造でAWS Organizationsをブートストラップする

   プロビジョニング対象:

   • AWS Organizations

   管理アカウントがまだ組織マスターでない場合、このリソースがOrganizationを作成します。feature_set = "ALL"の設定はSCPを有効にします（「一括請求のみ」のオプションではSCPが完全に省略されます — SAP-C02では両方のモードがテストされます）。enabled_policy_typesリストは、このラボで使用する3つのポリシータイプを有効にします。これらのドメインにはBACKUP_POLICYとAISERVICES_OPT_OUT_POLICYを追加することになります。

   私たちが作成する2つのOU（ProductionとNonProduction）は、ガードレールのスコープ設定におけるSAP-C02の参照形状です。SCPはOUにアタッチされ、OUはアカウントを保持します。アカウントからOUへの配置は、マルチアカウントのアーキテクトが持つ単一の最大のレバーとなります。なぜなら、すべてのSCPはOUからその下にあるすべてのアカウントにカスケードされるからです。

   コピー

   resource "aws_organizations_organization" "main" {
     feature_set = "ALL"
   
     enabled_policy_types = [
       "SERVICE_CONTROL_POLICY",
       "TAG_POLICY",
     ]
   
     aws_service_access_principals = [
       "cloudtrail.amazonaws.com",
     ]
   }
   
   resource "aws_organizations_organizational_unit" "production" {
     name      = "Production"
     parent_id = aws_organizations_organization.main.roots[0].id
   }
   
   resource "aws_organizations_organizational_unit" "non_production" {
     name      = "NonProduction"
     parent_id = aws_organizations_organization.main.roots[0].id
   }

3. 3.ワークロードを許可されたリージョンに固定するサービスコントロールポリシーをアタッチする

   プロビジョニング対象:

   • AWS Organizations

   SCPはSAP-C02のガバナンスプリミティブです — メンバーアカウントの管理者が何かを行うのを完全に防ぐことができる唯一のメカニズムです。最も頻繁にテストされるSCPパターンは、許可されたリージョンの制限です。メンバーアカウントのIAM管理者が全員に*:*を付与したとしても、SCPによって課されるリージョンガードレールは、許可されたセット外の操作をブロックします。

   以下のポリシーは、aws:RequestedRegionがus-east-1またはus-west-2のいずれでもないec2:*、rds:*、lambda:*のすべてのアクションを拒否します。グローバルサービス（IAM、Organizations、CloudFront）は、RequestedRegion条件を尊重しないため影響を受けません。SAP-C02では、この正確な除外がテストされます — 許可されたリージョン外で*:*を拒否すると、IAMを誤って壊して自分自身をロックアウトしてしまう学生がいます。

   このポリシーはステップ2の両方のOUにアタッチされます。これらのOU内のアカウントは管理対象となりますが、管理アカウントは影響を受けません（SAP-C02で繰り返し問われるトラップ問題: 「なぜSCPは組織マスターをブロックしないのですか？」 — 設計上、できないからです）。

   コピー

   resource "aws_organizations_policy" "allowed_regions" {
     name        = "certlabpro-sap-c02-allowed-regions"
     description = "Deny ec2/rds/lambda outside the allowed regions."
     type        = "SERVICE_CONTROL_POLICY"
   
     content = jsonencode({
       Version = "2012-10-17"
       Statement = [{
         Sid    = "DenyNonAllowedRegions"
         Effect = "Deny"
         NotAction = [
           "iam:*",
           "organizations:*",
           "cloudfront:*",
           "route53:*",
           "support:*",
           "sts:*",
           "waf:*",
         ]
         Resource = "*"
         Condition = {
           StringNotEquals = {
             "aws:RequestedRegion" = ["us-east-1", "us-west-2"]
           }
         }
       }]
     })
   }
   
   resource "aws_organizations_policy_attachment" "production" {
     policy_id = aws_organizations_policy.allowed_regions.id
     target_id = aws_organizations_organizational_unit.production.id
   }
   
   resource "aws_organizations_policy_attachment" "non_production" {
     policy_id = aws_organizations_policy.allowed_regions.id
     target_id = aws_organizations_organizational_unit.non_production.id
   }

4. 4.MFA条件付き信頼ポリシーを持つクロスアカウントIAMロールを作成する

   プロビジョニング対象:

   • AWS IAM

   クロスアカウントIAMはSAP-C02の共有サービスプリミティブです。そのパターンは次のとおりです。ワークロードアカウントが、共有サービスアカウントを信頼されたプリンシパルとして指定する信頼ポリシーを持つロールを作成します。共有サービスアカウント内のユーザーまたはサービスは、sts:AssumeRoleを使用してワークロードアカウントにアクセスし、その職務を遂行します。これが、すべてのSAP-C02リファレンスアーキテクチャで集中監視、監査、デプロイ、およびデータプラットフォーム・アズ・ア・サービスが処理される方法です。

   MFA条件（aws:MultiFactorAuthPresent = true）を含めています — 試験では、これがセキュアな信頼ポリシーと単に機能的な信頼ポリシーの違いとしてテストされます。ExternalId条件は、「代理問題」防御の第2の柱です — サードパーティアクセスに推奨されますが、内部のクロスアカウントでも一般的に見られます。

   インライン権限ポリシーは、引き受けられたロールにワークロードが必要とするものへの読み取りアクセスを付与します。このラボでは、ステップ5で作成する監査ログバケットへの読み取り専用アクセスを付与します。本番環境では、これをさらに制限することになります。

   コピー

   resource "aws_iam_role" "shared_services_reader" {
     name = "certlabpro-sap-c02-shared-services-reader"
   
     assume_role_policy = jsonencode({
       Version = "2012-10-17"
       Statement = [{
         Effect = "Allow"
         Principal = {
           AWS = "arn:aws:iam::${local.shared_services_account_id}:root"
         }
         Action = "sts:AssumeRole"
         Condition = {
           Bool = {
             "aws:MultiFactorAuthPresent" = "true"
           }
           StringEquals = {
             "sts:ExternalId" = "certlabpro-sap-c02-external-id"
           }
         }
       }]
     })
   
     max_session_duration = 3600
   }
   
   # The reader-policy is wired in Step 5 once the audit bucket exists.

5. 5.CloudTrailを組織全体で一元化された監査バケットに接続する

   プロビジョニング対象:

   • AWS CloudTrail
   • Amazon S3

   SAP-C02のマルチアカウントガバナンスにおける集大成は、組織トレイルです。これは、管理アカウントで設定され、組織内のすべてのメンバーアカウントにわたる管理イベントをキャプチャする1つのCloudTrailトレイルです。SAP-C02では、この概念が「アカウントごとに1つのトレイル」というアンチパターン（運用が煩雑で、監査が不完全で、コストがかかる）と対比してテストされます。

   S3バケットには、CloudTrailにs3:PutObject権限を付与する特定のバケットポリシーが必要です。その際、cloudtrail.amazonaws.comをサービスプリンシパルとし、aws:SourceArnがトレイルと一致する適切なパス規則を使用します。CloudTrailが一元化されたバケットに書き込めない理由に関するSAP-C02の質問は、ほとんどの場合このポリシーを指しています。

   トレイルが設定されると、組織内のすべてのアカウントにおけるすべてのAPI呼び出しがこのバケットに記録されます。ステップ4のIAMロールは、共有サービスアカウントにこのバケットへの読み取りアクセス権を付与します。これは、集中監査チームが個々のメンバーアカウントへのアクセスを必要とせずに、組織全体の活動をレビューできることを意味します。これが、5つのブロックで構成されるSAP-C02エンタープライズアーキテクチャです。

   コピー

   resource "aws_s3_bucket" "audit_logs" {
     bucket_prefix = "certlabpro-sap-c02-audit-"
   }
   
   resource "aws_s3_bucket_public_access_block" "audit_logs" {
     bucket = aws_s3_bucket.audit_logs.id
   
     block_public_acls       = true
     block_public_policy     = true
     ignore_public_acls      = true
     restrict_public_buckets = true
   }
   
   resource "aws_s3_bucket_versioning" "audit_logs" {
     bucket = aws_s3_bucket.audit_logs.id
     versioning_configuration {
       status = "Enabled"
     }
   }
   
   resource "aws_s3_bucket_policy" "audit_logs_cloudtrail" {
     bucket = aws_s3_bucket.audit_logs.id
   
     policy = jsonencode({
       Version = "2012-10-17"
       Statement = [
         {
           Sid       = "AWSCloudTrailAclCheck"
           Effect    = "Allow"
           Principal = { Service = "cloudtrail.amazonaws.com" }
           Action    = "s3:GetBucketAcl"
           Resource  = aws_s3_bucket.audit_logs.arn
         },
         {
           Sid       = "AWSCloudTrailWrite"
           Effect    = "Allow"
           Principal = { Service = "cloudtrail.amazonaws.com" }
           Action    = "s3:PutObject"
           Resource  = "${aws_s3_bucket.audit_logs.arn}/AWSLogs/*"
           Condition = {
             StringEquals = {
               "s3:x-amz-acl" = "bucket-owner-full-control"
             }
           }
         },
       ]
     })
   }
   
   resource "aws_cloudtrail" "org_trail" {
     name                          = "certlabpro-sap-c02-org-trail"
     s3_bucket_name                = aws_s3_bucket.audit_logs.bucket
     is_multi_region_trail         = true
     is_organization_trail         = true
     include_global_service_events = true
     enable_log_file_validation    = true
   
     depends_on = [
       aws_s3_bucket_policy.audit_logs_cloudtrail,
       aws_organizations_organization.main,
     ]
   }
   
   # Cross-account IAM permissions (continued from Step 4): the role we
   # created earlier now gets read access to the audit bucket so a
   # shared-services audit team can query CloudTrail across the org.
   resource "aws_iam_role_policy" "shared_services_audit_read" {
     name = "read-audit-logs"
     role = aws_iam_role.shared_services_reader.id
   
     policy = jsonencode({
       Version = "2012-10-17"
       Statement = [{
         Effect   = "Allow"
         Action   = ["s3:GetObject", "s3:ListBucket"]
         Resource = [aws_s3_bucket.audit_logs.arn, "${aws_s3_bucket.audit_logs.arn}/*"]
       }]
     })
   }

クリーンアップ