SAAセキュアなアーキテクチャの設計
グローバル展開する製造業の企業がAWS Organizationsを使って60以上のAWSアカウントを管理しています。セキュリティ要件として「すべての本番アカウントでAmazon GuardDutyを無効化することを禁止する」「ap-northeast-1（東京リージョン）以外でのリソース作成を禁止する」を組織全体に強制したいと考えています。個別アカウントの管理者がこれらの制限を回避できないようにする、最も管理負荷の少ないソリューションはどれか？
A各AWSアカウントのルートユーザーでログインし、GuardDutyの無効化を拒否するIAMポリシーとリージョン制限ポリシーを個別に設定する
ルートユーザーによる各アカウントへの個別IAMポリシー設定は、管理負荷が非常に高くスケーラビリティがありません。
BAWS OrganizationsのSCP（サービスコントロールポリシー）を作成し、本番アカウントを含むOU（組織単位）にアタッチする
✓ 正解
SCP（サービスコントロールポリシー）はOU（組織単位）単位で適用でき、配下の全アカウントのIAMエンティティ（アカウント管理者含む）が持てる最大権限を制限できます。GuardDutyの無効化APIを拒否するSCPと特定リージョン以外のAPIコールを拒否するSCPをOUにアタッチするだけで、個別アカウントの設定変更なく一括強制できます。
CAWS Configのカスタムルールを全アカウントにデプロイし、非準拠検出時にLambdaで自動修復する
AWS Configはリアクティブなコンプライアンスチェックであり、Preventive Control（予防的制御）にはなりません。非準拠リソースを検出してからLambdaで修復するまでの時間差に空白期間が生じます。
DAWS Control TowerのGuardrailsを本番アカウント全てに個別適用し、GuardDutyとリージョンポリシーを設定する
AWS Control TowerのGuardrailsは内部的にSCPを活用しますが、Control Tower自体の別途セットアップが必要なため複雑性・管理負荷が増します。SCPのみで要件を満たせる場合は直接SCPを使う方が適切です。
解説
SCP（サービスコントロールポリシー）はOU（組織単位）単位で適用でき、配下の全アカウントのIAMエンティティ（アカウント管理者含む）が持てる最大権限を制限できます。GuardDutyの無効化APIを拒否するSCPと特定リージョン以外のAPIコールを拒否するSCPをOUにアタッチするだけで、個別アカウントの設定変更なく一括強制できます。
選択肢Aの「各AWSアカウントのルートユーザーでログインし個別設定する」は各アカウントへルートユーザーで個別ログインしてIAMポリシーを設定する方法であり、管理負荷が非常に高くスケーラビリティがありません。
選択肢Cの「AWS Configのカスタムルール」はAWS ConfigはリアクティブなコンプライアンスチェックであってPreventive Control（予防的制御）にはなりません。非準拠リソースを検出してからLambdaで修復するまでの時間差に空白期間が生じます。
選択肢Dの「AWS Control TowerのGuardrails」はAWS Control TowerのGuardrailsは内部的にSCPを活用しますが、Control Tower自体の別途セットアップが必要なため複雑性・管理負荷が増します。SCPのみで要件を満たせる場合は直接SCPを使う方が適切です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →