AIFAIソリューションのセキュリティ、コンプライアンス、ガバナンス
グローバル展開する金融サービス企業が50以上のAWSアカウントを持つ組織を運用しています。AIガバナンスポリシーとして、データ居住要件を満たすためにAmazon Bedrockの利用を特定リージョンのみに制限し、かつどのアカウント管理者もこの制限を解除できないようにする必要があります。この要件を最も効果的に実現する方法はどれですか。
A各アカウントのすべてのIAMロールに許可リージョンを指定するIAM権限の境界（Permission Boundary）を適用する
ロールに付与できる最大権限を制限できる仕組みだが、50以上のアカウントの既存・新規すべてのIAMロールへの適用を自動で強制する機能はなく、適用漏れのリスクがあるためSCPほど確実な一元制御にならない。
BAWS OrganizationsのサービスコントロールポリシーSCPで対象外リージョンのBedrock APIアクションを明示的に拒否する
✓ 正解
組織全体のOUやアカウントに適用される予防的ガードレールで、アカウント管理者でも上書き不可。対象外リージョンのBedrock APIアクションを拒否するSCPを組織ルートに適用することで、全アカウントへ一貫した制限を中央管理で確実に強制できる。
CAWS Configルールを設定して非準拠リージョンでのBedrock利用を検出し管理者にアラートを送信する
リソースの設定状態を評価して非準拠を検出・アラートする検知的コントロールであり、アクション自体を事前に防止する予防的コントロールではないため、ポリシー違反のBedrockアクションが実行されることを阻止できない。
DAmazon Bedrock Guardrailsで許可リージョンのエンドポイントのみに制限するコンテンツポリシーを作成する
生成AIモデルが出力するコンテンツのフィルタリング（有害コンテンツ除去・PIIマスキング・トピック制限等）を行う機能であり、APIアクセスのリージョン制限やアカウント横断的なガバナンス制御の機能は持っていない。
解説
AWS OrganizationsのサービスコントロールポリシーSCPは、組織内のOUまたはアカウントに適用できる予防的ガバナンスコントロールです。SCPはIAMポリシーが付与できる最大権限を制限するガードレールとして機能し、アカウントの管理者ユーザーでも上書きできません。特定リージョン以外でのBedrock APIアクションを拒否するSCPを組織ルートまたは対象OUに適用することで、全アカウントに一貫した制限を中央管理で強制できます。
選択肢AのIAM Permission Boundaryはロールごとに個別設定が必要であり、既存・新規すべてのロールへの適用を50以上のアカウント全体で漏れなく強制するには追加の仕組みが必要となり、SCPほど確実な一元制御にはなりません。
選択肢CのAWS Configは既存の設定状態を評価して非準拠を検出・通知する「検知的コントロール」であり、アクション自体を事前に防止する予防的コントロールではないため、違反そのものを阻止できません。
選択肢DのAmazon Bedrock Guardrailsは生成AIモデルが返すコンテンツのフィルタリング（有害コンテンツ除去・PIIマスキング等）を行う機能であり、リージョン制限やアカウント横断的なAPIアクセス制御の機能は持っていません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでAIFを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →