ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
あるヘルスケア企業は、HIPAA準拠のため、プライベートサブネットのEC2インスタンスが自社所有のS3バケットにのみアクセスできる構成を必要としています。以下の要件があります。
・S3アクセスはゲートウェイ型VPCエンドポイント経由のみとし、インターネットゲートウェイは存在しない
・他のAWSアカウント（自社AWS Organizations組織外）が所有するS3バケットへのデータ書き込みを技術的に防止する
・新しいAWSアカウントが自社組織に追加された場合も自動的に制御対象となること
この要件を最も効率的に満たす構成はどれですか？
AVPCエンドポイントポリシーで自社アカウントのS3バケットARNを明示的に列挙して許可し、各バケットのバケットポリシーにaws:SourceVpce条件でアクセス元エンドポイントを制限する
VPCエンドポイントポリシー（ARN個別列挙方式）は、新規バケット作成のたびにエンドポイントポリシーの手動更新が必要となり、スケールしません。組織外バケットへのアクセスを自動的に防止する仕組みになっていません。
BSCPでs3:PutObjectアクションを組織内全アカウントに拒否し、特定のバケットARNへの書き込みのみを例外として許可することで組織全体のデータ書き込みを制御する
SCPは組織内アカウントのIAMプリンシパルの行動を制限しますが、組織外のS3バケットをリソースとするアクセス（他組織バケットへの書き込み）を技術的に遮断する手段として不完全です。
CVPCエンドポイントポリシーの条件にaws:ResourceOrgIDを使用し、自組織のOrganization IDと一致するアカウントが所有するS3バケットへのアクセスのみを許可して組織外バケットへのアクセスを拒否する
✓ 正解
VPCエンドポイントポリシーでグローバル条件キー aws:ResourceOrgID を使用すると、アクセス先のS3バケットを所有するAWSアカウントが指定した組織（AWS Organizations）に属するものに限定できます。新しいアカウントが組織に追加されると自動的に制御対象となるため、バケットARNを個別管理する必要がなく、スケーラブルなデータ持ち出し防止を実現します。
DNAT Gatewayを廃止してVPCエンドポイントのみでS3に接続し、エンドポイントのルートテーブルをプライベートサブネットにのみ関連付けることでインターネット経由のS3アクセスを遮断する
NAT Gatewayを廃止したVPCエンドポイント専用構成は、エンドポイントポリシーによるアクセス先の制限が設定されていないため、エンドポイント経由で組織外バケットへのアクセスが依然として可能です。
解説
VPCエンドポイントポリシーでグローバル条件キー aws:ResourceOrgID を使用すると、アクセス先のS3バケットを所有するAWSアカウントが指定した組織（AWS Organizations）に属するものに限定できます。新しいアカウントが組織に追加されると自動的に制御対象となるため、バケットARNを個別管理する必要がなく、スケーラブルなデータ持ち出し防止を実現します。
選択肢AのVPCエンドポイントポリシー（ARN個別列挙方式）は、新規バケット作成のたびにエンドポイントポリシーの手動更新が必要となり、スケールしません。組織外バケットへのアクセスを自動的に防止する仕組みになっていません。
選択肢BのSCPは組織内アカウントのIAMプリンシパルの行動を制限しますが、組織外のS3バケットをリソースとするアクセス（他組織バケットへの書き込み）を技術的に遮断する手段として不完全です。
選択肢DのNAT Gatewayを廃止したVPCエンドポイント専用構成は、エンドポイントポリシーによるアクセス先の制限が設定されていないため、エンドポイント経由で組織外バケットへのアクセスが依然として可能です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →