ある大手製薬企業は、AWS Organizationsを使用して60のAWSアカウントを管理しています。FDA（米国食品医薬品局）の21 CFR Part 11規制（電子記録・電子署名に関する規制）に準拠するため、以下のバックアップ要件を実装する必要があります： ①すべてのアカウントのRDS・EC2（EBSボリューム）・DynamoDB・EFSのバックアップを一元的に管理・強制する ②バックアップデータは最低7年間保持する ③バックアップデータは改ざん・削除から保護される必要がある（不変性の確保） ④バックアップデータを別のAWSリージョン（DR用セカンダリリージョン）にも保持する ⑤バックアップポリシーの変更はメンバーアカウントのユーザーからは行えないようにする ⑥ランサムウェアなどのセキュリティインシデントに備え、バックアップボールトを本番アカウントから論理的に分離する 要件を最も効率的に満たす実装を2つ選択してください。
AWS Organizations のバックアップポリシー（Backup Policies）は、SCP・タグポリシーと同様に Organizations ポリシータイプの一つです。管理アカウントから JSON 形式でバックアッププランを定義し、OU・アカウントに適用することで全アカウントのバックアップを一元的に強制できます。 バックアップポリシー内にクロスリージョンコピールールを含めることで DR 用セカンダリリージョンへの保持（要件④）を満たし、SCP と組み合わせることでメンバーアカウントからのポリシー変更を防止できます（要件⑤）。 もう一方の正解は、専用 BackupVault アカウントへのクロスアカウントバックアップです。AWS Backup Vault Lock は WORM（Write Once Read Many）セマンティクスでバックアップの削除・変更を防止します。コンプライアンスモードでは管理者でさえも Vault Lock 設定を変更・削除できないため最高レベルの不変性が確保され（要件③）、最小保持期間を7年に設定できます（要件②）。専用アカウントへ分離することでランサムウェアなどから論理的に隔離されます（要件⑥）。 選択肢Cは、ボールトを各本番アカウント内に置くと侵害時にバックアップも削除されうるため要件⑥を満たさず、ガバナンスモードは管理者が解除できるため規制要件に不十分です。 選択肢Dは、DataSync が RDS・EBS スナップショットの直接同期向けに設計されておらず独自実装の運用負荷が高いため不適切です。 選択肢Eは、StackSets のスタックポリシーが CloudFormation スタックの更新保護であり、バックアップデータの不変性保護ではないため要件を満たしません。