SOAセキュリティとコンプライアンス

AWS Organizationsで複数アカウントを管理する企業のセキュリティチームが、開発OU配下の全アカウントでEC2インスタンスをap-northeast-1とus-east-1以外のリージョンに作成できないよう制限したい。最も運用負荷が低く一元的に強制できる方法はどれか。

A
開発OU配下の全アカウントで全IAMユーザーにPermission Boundaryを適用し、リージョン条件を設定する
IAM Permission Boundaryは個々のIAMエンティティへの個別設定が必要で、新規エンティティへの自動適用ができないためOU全体の一元管理には運用負荷が高い。
B
開発OUにSCPを適用し、aws:RequestedRegion条件で許可リージョン以外のEC2操作をDenyする
✓ 正解
SCPはOU単位で一括適用され配下の全アカウント・全ユーザーに強制される。aws:RequestedRegion条件でリージョン外の操作を事前防止できる。
C
AWS ConfigカスタムルールをCloudFormation StackSetsで各アカウントにデプロイし、対象外リージョンのEC2をLambdaで終了する
Config+Lambdaはリソース作成後の事後検出・削除であり、SCPによる事前防止と比べて不正リソースが一時的に存在するリスクと追加の運用負荷が生じる。
D
各開発アカウントのIAM管理者ポリシーにリージョン制限条件を追加し、全IAMユーザーにアタッチする
各アカウントへのIAMポリシー個別適用は管理対象が増えるたびに更新作業が発生し、一元管理・最小運用負荷の要件を満たさない。

解説

SCPはOrganizationsのOU単位で一括強制でき、aws:RequestedRegion条件で特定リージョン外のEC2操作を事前に拒否する予防的コントロールである。IAMやConfigと異なりリソース作成自体をブロックするため運用負荷が最小。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
← SOA の問題一覧に戻る