解説

S3 VPCエンドポイントポリシーは、そのエンドポイントを経由するすべてのS3アクセスに対して適用されるリソースベースのポリシーである。`aws:ResourceOrgID` Conditionキーを使ったDenyステートメントを設定することで、リクエスト先のS3バケットが自社のOrganizations外のAWSアカウントに属する場合にアクセスを拒否できる。この制御はエンドポイントレベルで一元的に機能するため、個々のIAMロールポリシーを変更せずに済み、アプリケーション側への影響も最小限で管理が容易なデータ境界（Data Perimeter）の実装手法として推奨される。 選択肢AのIAMロールポリシーは、Denyステートメントの追加自体は技術的に正しいが、全EC2インスタンスのロールポリシーを個別に更新する必要があり、新規インスタンスへの適用漏れリスクや変更の複雑さが生じるためエンドポイントポリシーでの一元制御より管理コストが高い。 選択肢CのネットワークACLは、S3のIPアドレスレンジが組織内外問わず共通のIPを使用しているため、特定のOrganizations外バケットのみをフィルタリングする手段として機能しない。 選択肢DのAmazon Macieは機密データの検出・モニタリングサービスであり、リアルタイムのデータ転送を予防する仕組みを持たないため検知後の対応では流出が発生する可能性がある。