SCSアイデンティティとアクセス管理
あるグローバル企業はAWS Organizationsで数百のアカウントを運用しています。セキュリティチームは「組織内のすべてのアカウントのAmazon S3バケットおよびAWS STS・SQSなどのリソースに対し、組織に属さない外部プリンシパルからのアクセスを一律に拒否する」データ境界を確立したいと考えています。各リソースのリソースベースポリシーを個別に編集・維持する運用は避ける必要があります。最も適切な方法はどれですか。
AAWS Organizationsのリソースコントロールポリシー（RCP）を用い、aws:PrincipalOrgID 条件で組織外プリンシパルを拒否するポリシーを組織・OU単位で一元的に適用する
✓ 正解
RCPは組織配下のリソースに対する権限上限を一元管理でき、aws:PrincipalOrgID条件で組織外プリンシパルを拒否すれば各リソースポリシーを個別編集せず全社的なデータ境界を実現できる。要件に完全に合致する。
BAWS Organizationsのサービスコントロールポリシー（SCP）に aws:PrincipalOrgID 条件のDenyステートメントをアタッチしてすべてのアカウントのリソースへのアクセスを制限する
SCPは組織内IAMプリンシパルの最大権限を制御するもので、リソースに対して外部プリンシパルが行うアクセスは制御対象外。リソース側のデータ境界を確立する目的には使えないため不適切。
CAWS Firewall Managerのポリシーで全アカウントのS3バケットポリシーを自動配布・修復し、aws:PrincipalOrgID 条件で外部アクセスを拒否する
Firewall ManagerはセキュリティグループやWAF・Shieldなどの集中管理が主目的で、全アカウントのS3バケットポリシーを横断的にデータ境界として強制する仕組みではない。要件に適さない。
DAWS Config の組織カスタムルールで外部公開リソースを検出し、自動修復アクションでリソースベースポリシーに拒否条件を追記する
Config組織ルールは違反検出と事後修復の仕組みで、リソースベースポリシーを個別に書き換える運用が発生する。リソースポリシーの個別編集を避けるという要件に反するため不適切。
解説
リソースコントロールポリシー（RCP）は、Organizations配下のアカウントが持つリソースに対して有効な権限の上限を集中管理する仕組みです。S3・STS・SQS・Secrets Managerなど対応サービスのリソースに対し、aws:PrincipalOrgID 条件で組織外プリンシパルを一律拒否すれば、各リソースポリシーを個別編集せずに組織全体のデータ境界を確立できます。RCPはリソース側に作用する点でSCP（プリンシパル側に作用）と相補的です。
選択肢BのSCPは組織内のIAMプリンシパルの権限上限を制御するもので、リソースに対する外部プリンシパルのアクセスは制御できないため要件を満たさない。
選択肢CのFirewall ManagerはセキュリティグループやWAF/Shield等が主対象で、全アカウントのS3バケットポリシーを横断的にデータ境界として強制する用途には適さない。
選択肢DのConfigルールは検出と事後修復であり、リソースポリシーを個別に書き換える運用が発生するため「個別編集を避ける」要件に反する。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →