SCS-C03：AWS Certified Security - Specialty アイデンティティとアクセス管理 問9
アイデンティティとアクセス管理／認可戦略の設計・実装・トラブルシューティングAWS Organizations 配下の全メンバーアカウントに対して、各アカウントの管理者であっても超えられない『許可の上限（ガードレール）』を設け、たとえば特定リージョン以外の利用を一律に禁止したい。最も適した仕組みはどれか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「アイデンティティとアクセス管理」に対応。実際の試験問題ではありません）
- A各アカウントの IAM ユーザーに個別ポリシーを付ける
- Bリソースベースポリシーだけで制御する
- Cサービスコントロールポリシー（SCP。アカウントで許可され得る操作の最大範囲を制限する）
- Dセキュリティグループで制御する
正解：C
解説
サービスコントロールポリシー（SCP）は、AWS Organizations でメンバーアカウントにおいて許可され得る操作の最大範囲（ガードレール）を定め、アカウントの管理者でも超えられない制限を一律に適用できます（SCP 自体は許可を付与しません）。個別 IAM ポリシー・リソースベースポリシー・セキュリティグループは、組織横断の許可上限にはなりません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。個別IAMポリシーはアカウント管理者が変更でき、超えられない上限にはなりません。
- B誤り。リソースベースポリシーは個々のリソース単位で、組織の上限ガードレールではありません。
- C正しい。アカウントの許可上限を定める組織ガードレールはSCPです。
- D誤り。セキュリティグループはネットワーク制御です。