あるEU拠点の金融企業が、GDPRおよび社内のデータ主権（Data Sovereignty：データの所在地と管轄に関するポリシー）要件に基づき、以下を実装する必要がある。 ・全データおよびAWSリソースはeu-west-1（アイルランド）とeu-central-1（フランクフルト）のみに配置すること ・開発者・管理者が他リージョンでリソースを作成できないようにすること ・IAM、AWS STS、Amazon CloudFront、Amazon Route 53などのグローバルサービスは引き続き利用可能であること この要件を最も効果的に実装するアーキテクチャはどれか。
SCPはOrganizations全アカウントに一括適用できる予防的コントロールであり、aws:RequestedRegion条件キーでAPIリクエスト先リージョンを制限できる。IAM・STS・CloudFront・Route 53などのグローバルサービスはリージョン概念を持たないため、NotAction要素で除外することが必須である。新規作成されるIAMユーザー・ロールを含む全プリンシパルに自動適用される点が個別IAMポリシー管理と大きく異なる。 選択肢Aの個別IAMポリシーへの条件追加は、既存の全IAMエンティティへの更新作業が膨大で、新規プリンシパルへの適用漏れリスクが高くSCPのような中央集権的な制御に劣る。 選択肢CのAWS Config + Systems Manager Automationは検出的コントロールであり、リソース作成後に削除するリアクティブな対応となる。削除までの間に一時的な非準拠状態やデータ損失リスクが生じる。 選択肢DのVPCエンドポイントポリシーはVPCエンドポイント経由のトラフィックにのみ適用され、インターネット経由やAWSコンソール経由のAPIコールには効果がない。