要件に対する考察

1. 最小特権アクセスの提供：
• ユーザーが承認されていないサービスをプロビジョニングできないようにする必要があります。
• この要件を満たすには、特定のサービスにアクセスを限定する仕組み（IAMポリシーやSCPの活用）が必要です。

2. 中央アカウントでの管理：
• インフラサービスの作成や配布は、中央アカウントで管理されなければなりません。
• AWS Service Catalogなどの集中管理ツールが役立ちます。

3. 複数アカウントへの配布：
• AWS Organizationsを活用して複数アカウントにサービスを共有する必要があります。

4. タグの強制適用：
• 作成されるインフラにタグ付けを義務付ける仕組みが必要です。
• AWS Service CatalogやCloudFormationのタグプロパティを利用できます。

選択肢ごとの分析

A.

• 内容: CloudFormationテンプレートを中央S3バケットに保存し、IAMロールやユーザーをS3バケットポリシーで管理する。

• メリット: インフラテンプレートを中央管理できる。

• 不足点: タグの強制や最小特権アクセス、Organizationsの連携が考慮されていない。

• 評価: 不適切

B.

• 内容: CloudFormationテンプレートをService Catalog製品として中央アカウントにアップロードし、Organizations構造と共有する。

• メリット: Service Catalogを利用して、中央管理と複数アカウントへの配布が可能。

• 評価: 適切

C.

• 内容: ユーザーにCloudFormationとS3のアクセス権を与え、SCPで他のサービスを制限する。

• メリット: 最小特権アクセスを提供可能。

• 不足点: タグの強制適用が考慮されていない。管理の中央化やService Catalogの活用がない。

• 評価: 不適切

D.

• 内容: Service Catalogのエンドユーザー権限を付与し、自動化スクリプトでポートフォリオをインポートし、TagOptionや起動制約を適用する。

• メリット: Service Catalogを活用し、タグ付けや起動制約が可能。自動化により管理負荷が軽減。

• 評価: 適切

E.

• 内容: Service Catalog TagOption Libraryで必要なタグを管理し、製品やポートフォリオに適用する。

• メリット: 必要なタグの一貫性を保証。Service Catalogと連携。

• 評価: 適切

F.

• 内容: CloudFormationのResource Tagsプロパティでタグ適用を強制する。

• メリット: CloudFormationテンプレート単位でタグ付けが可能。

• 不足点: Service Catalogのような中央管理や複数アカウントの配布が考慮されていない。

• 評価: 不適切

正解

• 中央管理: Service Catalogでテンプレートを中央管理（B）。

• 最小特権アクセス: Service Catalogのエンドユーザー権限（D）。

• タグ強制: TagOption Libraryを使用したタグ管理（E）。

• 複数アカウント配布: Service Catalogのポートフォリオ共有（B）。