解説

ABAC（属性ベースアクセス制御）を使ったIAMポリシーでは、`aws:PrincipalTag/Team`（アクセスするユーザーのタグ値）と `aws:ResourceTag/Team`（操作対象リソースのタグ値）が一致する場合のみアクションを許可する条件を設定できます。全開発者に共通の単一ABACポリシーを適用し、各ユーザーに `Team=チーム名` タグを付与するだけで実現できます。新しいチームを追加する際はユーザーとリソースにタグを付けるだけでよく、IAMポリシー自体は変更不要なため、15チームでも200チームでも同じポリシーでスケールします。 選択肢AのIAMパーミッションバウンダリーはIAMエンティティに付与できる最大権限の上限を設定する機能であり、タグの一致に基づいて動的にリソースを分離する仕組みではないため要件を満たせない。 選択肢BのAWS Organizations SCPはOU・アカウント単位で適用するガードレールであり、単一AWSアカウント内で複数チームのリソースをタグベースで動的に分離する用途には使えない。 選択肢DのAWS IAM Identity Centerのアクセス許可セット方式ではチームが増えるたびに新しい許可セットを手動作成する必要があり、ポリシー変更不要という要件を満たせない。