セキュリティとコンプライアンス #1
セキュリティグループと NACL の適用単位・特性の違い
セキュリティグループ = インスタンス単位・ステートフル・許可ルールのみ。サブネット単位・ステートレス・許可/拒否両方は NACL。レイヤーと特性で区別する。
API 操作の監査ログを担う AWS CloudTrail の役割
『誰が・いつ・どの API 操作』は AWS CloudTrail（操作の監査ログ）。性能・メトリクスの監視は CloudWatch、リソース構成の追跡は Config、と役割を分ける。
構成の記録と準拠評価を担う AWS Config の役割
『リソース構成の記録』『ルールへの準拠評価』は AWS Config。『API 操作の記録』は CloudTrail。Config=構成（状態）/ CloudTrail=操作（行為）の対比が頻出。
ルートユーザーの扱いと MFA・最小権限の原則
ルートユーザーは 日常で使わない / MFA を有効化 / 認証情報を厳重保管 / 日常は最小権限の IAM を使う が鉄則。共有・日常運用・MFA 無効はいずれも危険なアンチパターン。
・MFA（多要素認証）: パスワードに加えてワンタイムコードなど別の要素も求め、本人確認を強化する仕組み。
・SSO（シングルサインオン）: 一度の認証で複数のアカウントやアプリにログインできる仕組み（AWS では IAM Identity Center が提供）。
WAF・Shield・GuardDuty・Macie・KMS の役割分担
役割の対応: WAF=Web 攻撃ブロック / Shield=DDoS 緩和 / GuardDuty=脅威検知 / Macie=機密データ検出 / KMS=鍵管理。サービス名と役割の取り違えがひっかけの定番。