SCSセキュリティの基盤とガバナンス複数選択
ある企業がAWS Organizationsを使用してマルチアカウント環境を管理している。セキュリティチームは、Amazon GuardDutyが組織内のいかなるアカウントでも無効化されないよう強制的な制御を実装したい。管理アカウントを含むすべてのアカウントでこの制御を確実に実現するために組み合わせるべき対策はどれか？（2つ選択）
AルートOUにSCPを適用し、guardduty:DeleteDetector と guardduty:DisassociateFromMasterAccount アクションを明示的に拒否する
✓ 正解
（正解）：ルートOUへのSCP適用により、すべてのメンバーアカウントでGuardDutyの無効化を防止できます。
B管理アカウントのrootユーザーに対してMFA必須ポリシーを設定し、GuardDutyの変更権限を持つIAMポリシーをすべての管理アカウントユーザーから削除または厳格に制限する
✓ 正解
（正解）：管理アカウントはSCPの対象外のため、IAMポリシーの制限とMFA強制という別の手段で管理アカウントを保護する必要があります。
CAWS Control Towerの予防的ガードレールとしてGuardDutyの無効化を禁止するSCPをランディングゾーン全体に適用する
Control TowerがSCPベースのガードレールを使用するため、メンバーアカウントは保護されますが、管理アカウントには適用されず要件を完全に満たしません。
DGuardDuty委任管理者として別のセキュリティ専用アカウントを指定し、管理アカウントからのGuardDuty設定変更を防ぐ
GuardDuty委任管理者はメンバーアカウントのGuardDutyを一元管理しますが、管理アカウント自身のGuardDuty設定の変更を防ぐ機能はありません。
解説
SCPはAWS Organizations内のメンバーアカウントに対して機能しますが、管理アカウント（旧マスターアカウント）にはSCPが適用されないという重要な制約があります。
選択肢A（正解）：ルートOUへのSCP適用により、すべてのメンバーアカウントでGuardDutyの無効化を防止できます。
選択肢B（正解）：管理アカウントはSCPの対象外のため、IAMポリシーの制限とMFA強制という別の手段で管理アカウントを保護する必要があります。
選択肢C：Control TowerがSCPベースのガードレールを使用するため、メンバーアカウントは保護されますが、管理アカウントには適用されず要件を完全に満たしません。
選択肢D：GuardDuty委任管理者はメンバーアカウントのGuardDutyを一元管理しますが、管理アカウント自身のGuardDuty設定の変更を防ぐ機能はありません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →