SCS-C03：AWS Certified Security - Specialty セキュリティ基盤とガバナンス 問4
セキュリティ基盤とガバナンス／AWS アカウントの集中管理戦略すべての機能を有効にした AWS Organizations の各メンバーアカウントに対して、たとえそのアカウントの IAM 管理者であっても、承認されていないリージョンの使用や特定の高リスク API（例: CloudTrail の無効化）を禁止したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「セキュリティ基盤とガバナンス」に対応。実際の試験問題ではありません）
- A各アカウントの IAM ポリシーで個別に禁止操作を設定する
- B各ユーザーにアクセス許可境界を設定して禁止操作を制限する
- Cサービスコントロールポリシー（SCP）を Organizations に適用し、メンバーアカウントが持ちうる権限の上限（ガードレール）として禁止操作を制限する
- DAWS Config のルールで禁止操作をブロックする
正解：C
解説
サービスコントロールポリシー（SCP）は AWS Organizations の機能で、アカウント（または OU）が持ちうる権限の上限（ガードレール）を定めます。すべての機能を有効にした組織では、メンバーアカウントの IAM 管理者であっても、SCP で禁止された操作（承認外リージョンの使用や CloudTrail の無効化など）は実行できません。ただし SCP は、組織の管理（マスター）アカウントのユーザー・ロールや、サービスにリンクされたロールには適用されない点に注意が必要です。また SCP は権限を付与するものではなく、あくまで上限を定めるものです。IAM ポリシーやアクセス許可境界はアカウント内の制御で組織全体を一律に縛れず、Config は検出であって操作そのものの抑止はしません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。各アカウントの IAM ポリシー個別設定では、組織全体で一律に禁止を強制できません。
- B誤り。アクセス許可境界は個々の IAM エンティティの上限で、組織全体のガードレールにはなりません。
- C正しい。SCP を適用すれば、メンバーアカウントの管理者でも越えられない権限の上限（ガードレール）を設定できます。ただし管理アカウントのユーザー・ロールやサービスリンクロールには適用されません。
- D誤り。AWS Config は非準拠の検出・評価が目的で、操作そのものを事前にブロックするものではありません。