SCSセキュリティの基盤とガバナンス
ある企業がAWS Organizationsを使用して複数アカウントを管理しています。
コンプライアンス要件として、組織内全アカウントのRDSデータベースおよびEBSボリュームに以下のバックアップポリシーを強制適用する必要があります。
要件：
- 毎日バックアップ（保持期間35日）
- 毎月バックアップ（保持期間12ヶ月）
- 特定リージョンへのクロスリージョンコピー
- 個別アカウントのチームがポリシーを変更・無効化できないこと
この要件を最も効率的に実現する方法はどれですか？
AAWS OrganizationsのバックアップポリシーをOUに適用し、AWS Backupのバックアッププランを組織全体で強制する
✓ 正解
AWS Organizationsはバックアップポリシー（Backup Policy）という専用ポリシータイプを持ち、AWS Backupのバックアッププランをスケジュール・保持期間・クロスリージョンコピー設定を含めてOU・アカウントレベルで強制適用できます。このポリシーはメンバーアカウントが変更・削除できないため「変更不可」の要件を満たします。
BService Control Policy（SCP）を使用してAWS Backupの関連APIへのアクセスをメンバーアカウントで制限し、管理アカウントのみが操作できるようにする
「SCP」は、IAMアクションの許可・拒否を制御しますが、バックアップスケジュールや保持期間の内容を定義・強制する機能はなく、バックアップポリシーの代替にはなりません。
CAWS ConfigルールでバックアップタグのないリソースをNon-compliantとして検出し、AWS Lambdaで自動的にバックアップ設定を追加する
「Config Rules」は、事後対応（reactive）であり、設定されるまでのタイムラグがあります。また「変更不可」の強制力もありません。
DAWS Systems Manager Automationを使用して全アカウントのバックアップ設定を定期的に確認・修正するワークフローを構築する
「Systems Manager Automation」は定期実行の運用タスクに使えますが、メンバーが変更できない「強制適用」の要件を満たせず、スケール時の管理負荷も高いです。
解説
AWS Organizationsはバックアップポリシー（Backup Policy）という専用ポリシータイプを持ち、AWS Backupのバックアッププランをスケジュール・保持期間・クロスリージョンコピー設定を含めてOU・アカウントレベルで強制適用できます。このポリシーはメンバーアカウントが変更・削除できないため「変更不可」の要件を満たします。
選択肢Bの「SCP」は、IAMアクションの許可・拒否を制御しますが、バックアップスケジュールや保持期間の内容を定義・強制する機能はなく、バックアップポリシーの代替にはなりません。
選択肢Cの「Config Rules」は、事後対応（reactive）であり、設定されるまでのタイムラグがあります。また「変更不可」の強制力もありません。
選択肢Dの「Systems Manager Automation」は定期実行の運用タスクに使えますが、メンバーが変更できない「強制適用」の要件を満たせず、スケール時の管理負荷も高いです。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →