ある企業は AWS Organizations を使って複数の AWS アカウントを管理しており、機密データを含むアカウントからのデータ流出リスクを防ぐ必要があります。セキュリティチームから以下の要件が提示されました。 ・組織内の全アカウントにおいて、組織外の Amazon S3 バケットへのデータ書き込みを禁止する ・各メンバーアカウントの IAM 管理者がこの制限を変更・回避できないようにする ・AWS Organizations に新規追加されるアカウントにも自動的に適用される これらの要件を最も確実に満たすアプローチはどれですか？
AWS Organizations の SCP は組織内の全アカウントに適用される最大権限の境界を定義し、各アカウントの IAM 管理者でも上書きできない予防的制御を実現します。ルート OU に SCP を適用することで新規追加アカウントにも自動適用されます。aws:ResourceOrgID 条件キーを Deny ルールと組み合わせると、組織外の S3 バケットへの書き込みを確実に禁止できます。 選択肢AのIAM パーミッション境界はアカウント内の IAM 管理者が変更できるため、権限を持つ管理者による回避が可能です。また新規 IAM ロール作成時に境界の適用が自動保証されません。 選択肢CのAWS Config は検出・修復に時間がかかる事後対応型であり、違反発生から修復までの間にデータ流出が起きる可能性があります。予防的な制御にはなりません。 選択肢DのAmazon Macie は機密データの検出・分類サービスであり、S3 書き込み操作をリアルタイムにブロックする機能は持っていません。