SCSセキュリティの基盤とガバナンス
ある企業はAWS Organizationsで複数アカウントを運用しています。セキュリティチームは、データ境界（データパーミータ）として「組織に属さない外部プリンシパルが、組織内のすべてのS3バケットのオブジェクトへアクセスすることを、各バケットポリシーの記述内容にかかわらず組織全体で確実にブロックする」要件を満たす必要があります。個々のバケット所有者が誤って外部公開のバケットポリシーを設定しても無効化されることが求められます。最も適切な実装はどれですか。
A組織ルートにサービスコントロールポリシー（SCP）を適用し、aws:PrincipalOrgIDが組織IDと一致しない場合にs3:GetObjectを拒否する
SCPは組織内のIAMプリンシパルに対する最大権限ガードレールであり、外部アカウントのプリンシパルがリソースベースポリシー経由でアクセスするケースには適用されないため、外部公開を組織全体で確実にブロックできない。
B組織ルートにリソースコントロールポリシー（RCP）を適用し、aws:PrincipalOrgIDが組織IDと一致しない場合にs3:*を拒否する
✓ 正解
RCPはリソース側に適用される組織レベルのガードレールで、組織外の外部プリンシパルによるアクセスにも作用する。aws:PrincipalOrgIDで組織外を一括拒否でき、個別バケットポリシーの誤設定も上書きするため要件を満たす。
C全アカウントのIAMロールにPermission Boundaryを設定し、組織外プリンシパルへのアクセスを制限する
Permission Boundaryは自アカウント内のIAMユーザー/ロールの権限上限を定義する機構にすぎず、外部プリンシパルやリソースへのアクセスを制御できないため、本要件のデータ境界強制には機能しない。
D各S3バケットのバケットポリシーにaws:PrincipalOrgID条件を追加し、組織外からのアクセスを拒否する
バケットポリシーへの条件追加は有効な対策だが、バケットごとに個別設定が必要で記述漏れや所有者による誤上書きが起こり得る。組織全体で確実に強制し誤設定を無効化する要件には適さない。
解説
リソースコントロールポリシー（RCP）は組織内のリソースに対する最大アクセス権限を定義するガードレールであり、IAMプリンシパルではなくリソース側に適用される。そのため、組織外の外部プリンシパルがリソースベースポリシー経由でアクセスする場合にも有効で、aws:PrincipalOrgID条件でデータパーミータを組織全体に一括強制でき、個別バケットポリシーの誤設定も上書きできる。
選択肢0のSCPは組織内のIAMプリンシパルの最大権限を制御するもので、組織外プリンシパルや別組織からのアクセスには適用されないため、外部公開を防げない。
選択肢2のPermission Boundaryは自アカウント内のIAMエンティティの権限上限を定めるだけで、外部プリンシパルやリソースアクセスには作用しない。
選択肢3のバケットポリシーは個別設定であり、バケットごとに記述が必要で漏れや誤設定が起こりやすく、組織全体での確実な強制にはならない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →