Organizations / SCP難易度 標準無料
コンプライアンス要件により、あるOU配下の全アカウントについて、東京リージョン（ap-northeast-1）以外でのリソース作成を、各アカウントの管理者権限を持つユーザーであっても一律に禁止したい。この要件を最も確実かつ予防的（preventive）に満たす方法を選べ。（単一選択）
- A各アカウントのIAM管理者に依頼し、リージョン制限を含むIAMポリシーを各アカウントのIAMユーザー/ロールへ個別にアタッチしてもらう
- BAWS Configルールで許可リージョン外のリソース作成を検知し、検知後にLambdaで自動的に削除する
- C対象OUに、
aws:RequestedRegionがap-northeast-1以外の場合に主要なアクション（IAM/Organizations等グローバルサービスを除く）をDenyするSCPをアタッチする - DS3バケットポリシーに
aws:RequestedRegion条件を追加し、S3バケットへのアクセスを東京リージョンからのみに制限する
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：CAI作成・独立検証済
解説
「管理者権限を持つユーザーであっても」「一律に」「予防的に」という要件は、IAMポリシーではなく AWS OrganizationsのSCP（サービスコントロールポリシー）で実現すべきシグナルである。SCPは対象OU/アカウントの 全プリンシパル（ルートユーザー・管理者含む）の実効権限の上限を定めるガードレールだからである。
具体的には、対象OUに次のようなSCPをアタッチする。
{
"Effect": "Deny",
"NotAction": [ "iam:*", "organizations:*", "route53:*", "cloudfront:*", ... ],
"Resource": "*",
"Condition": {
"StringNotEquals": {
"aws:RequestedRegion": ["ap-northeast-1"]
}
}
}
aws:RequestedRegion 条件キーで許可リージョンを絞ることで、そのOU配下のどのアカウントの誰が実行しても、
対象外リージョンでのリソース作成操作はDenyで拒否される（各アカウントのIAM側の設定に関わらず有効）。
- A各アカウントの管理者が自分の権限でポリシーを変更・除外できてしまい、「管理者であっても一律に禁止」という予防的統制にならない。運用も各アカウントでバラつく。
- Bこれは検知的（detective）統制であり、一時的にでもリソースが作成されてしまう。「作成自体を禁止する予防的統制」という要件に合わない。
- DS3バケットポリシーはそのバケットへのアクセスだけを制御する話であり、OU配下の全アカウント・全サービスでのリソース作成をリージョン制限する要件をカバーしない。
ひっかけ： 「各アカウントに個別のIAMポリシーを設定する（A）」は、そのアカウントの管理者が自分でポリシーを外せてしまうため
予防的ガードレールにならない。「Config ruleで検知して是正（B）」は検知的（detective）統制であり、
作成自体を防ぐ予防的統制ではない点が問われている。
公式ドキュメント・関連AWS Organizations User Guide ― SCP examples: Deny access to AWS based on the requested Region↗
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）