SCS-C03：AWS Certified Security - Specialty セキュリティ基盤とガバナンス 問2
セキュリティ基盤とガバナンス／セキュアで一貫したデプロイ戦略AWS Organizations 配下の多数のアカウントに対して、AWS WAF のルールやセキュリティグループのポリシーなどを、一元的に適用し、準拠状態を強制したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「セキュリティ基盤とガバナンス」に対応。実際の試験問題ではありません）
- A各アカウントの管理者が個別に WAF ルールを設定する
- BSCP（サービスコントロールポリシー）だけで WAF ルールの内容まで一元適用する
- CAWS Firewall Manager を使い、組織全体に WAF・セキュリティグループ・Network Firewall・Shield のポリシーを一元的に適用・強制する
- DAmazon GuardDuty で WAF ルールを各アカウントへ配布する
正解：C
解説
AWS Firewall Manager は、AWS Organizations と連携し、組織内の多数アカウントに対して AWS WAF のルール、セキュリティグループ、AWS Network Firewall、Shield Advanced などのポリシーを一元的に適用し、準拠状態を強制できます。SCP は許可の境界（ガードレール）を定めるもので WAF ルールの内容そのものは配布できず、GuardDuty は脅威検出が目的です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。各アカウントで個別設定すると一貫性が保てず、一元的な強制にはなりません。
- B誤り。SCP は許可の上限（ガードレール）を定めるもので、WAF ルールの内容を一元適用する機能ではありません。
- C正しい。Firewall Manager で、組織全体に WAF・セキュリティグループ・Network Firewall・Shield のポリシーを一元適用・強制できます。
- D誤り。GuardDuty は脅威検出サービスで、WAF ルールの配布は行いません。