【SAP-C02 模擬】全メンバーアカウントでCloudTrail無効化と特定リージョン外の利用を確実に禁止するには？
AWS Organizations で数十のメンバーアカウントを運用しています。どのメンバーアカウントの管理者であってもCloudTrailを無効化できないようにし、承認された2リージョン以外のサービス利用を禁止したいと考えています。最も確実で一元的な方法はどれですか。
正解: B
組織全体で「できることの上限(ガードレール)」を強制するのはSCPです。SCPの明示的な拒否はアカウント管理者(rootを含む)でも覆せないため、CloudTrail無効化の禁止やリージョン制限を確実に効かせられます。AはIAMを各アカウントで個別管理する必要があり漏れが生じ、管理者が自分でポリシーを変更できてしまいます。Cは検知のみで予防になりません。Dは Identity Center 経由のアクセスにしか効かず、全経路を強制できません。