273-AWS SAP AWS 「理論・実践・一問道場」SCP

type

status

date

slug

summary

理論

この問題に関連する本質的な知識は、AWS Organizations と Service Control Policies (SCP)、および タグポリシー の利用です。

1. AWS Organizations の利用

AWS Organizationsは、複数のAWSアカウントを一元的に管理するためのサービスです。企業はAWS Organizationsを使って、複数のアカウントをグループ化し、リソースの管理やガバナンスを効率化できます。これにより、企業はセキュリティやコンプライアンスの基準を維持しやすくなります。

2. Service Control Policies (SCP) の活用

SCPは、AWS Organizations内でアクセス制御を行うためのポリシーです。SCPは、特定のAWSリージョンへのアクセスを制限することができます。例えば、あるメンバーアカウントに対して「us-east-1」リージョンのみアクセス可能とするように設定できます。これにより、規制要件に従ったアクセス制限が可能になります。

3. タグポリシーの設定

タグポリシーは、AWSリソースに対して一貫したタグ付けを強制するために使用します。企業のグループ標準に基づいて、リソースが必ず特定のタグを持つようにすることができます。タグポリシーを適用することで、企業のガバナンスと監視が簡単になります。

4. OU (Organizational Units) の使用

AWS Organizations内でOU（組織単位）を作成し、異なるグループのアカウントをまとめることで、それぞれのOUに特定のポリシーを適用できます。例えば、特定のOU内のアカウントにのみ特定のリージョンでリソースを展開できるように制限をかけることができます。

結論

AWS Organizations、SCP、タグポリシーを組み合わせて利用することで、アカウントに対するアクセス制限やリソース管理を効率的に行い、規制要件を満たすことができます。これにより、リソース管理が一元化され、セキュリティやコンプライアンスを簡単に維持できます。

実践

略

一問道場

質問 #273

トピック 1

ある企業は、複数のアカウントを管理するためにAWS Organizationsを使用しています。規制要件により、企業は特定のメンバーアカウントがリソースをデプロイできるAWSリージョンを制限したいと考えています。アカウント内のリソースはタグ付けされ、グループ標準に基づいて強制され、中央で最小限の設定で管理される必要があります。

これらの要件を満たすためにソリューションアーキテクトは何をすべきですか？

A. 特定のメンバーアカウントにAWS Configルールを作成してリージョンを制限し、タグポリシーを適用する。

B. AWS Billing and Cost Managementコンソールの管理アカウントから、特定のメンバーアカウントのリージョンを無効にし、ルートでタグポリシーを適用する。

C. 特定のメンバーアカウントをルートに関連付け、タグポリシーと条件を使用してリージョンを制限するSCPを適用する。

D. 特定のメンバーアカウントを新しいOUに関連付け、タグポリシーと条件を使用してリージョンを制限するSCPを適用する。