IAM権限境界（Permission Boundary）とSCPの違い難易度 標準無料
IAMの「権限境界（permission boundary）」とOrganizationsの「SCP」はどちらも“権限の上限を定める”という点で似ているが、性質には明確な違いがある。正しい記述を2つ選べ。
- A権限境界は特定のIAMユーザー/ロールに設定し、そのプリンシパルが持てる権限の上限を定める。SCPはOrganizationsの機能でアカウント/OU単位に上限を定める仕組みで、適用対象の粒度が異なる
- B権限境界もSCPも、それ単体では権限を付与しない。実際に使える権限は「アイデンティティベースポリシーのAllow」と「境界/SCPが許可する範囲」の共通部分になる
- CSCPはIAMユーザー/ロール単位できめ細かく設定でき、権限境界はアカウント全体にのみ適用できるという、逆の粒度を持つ
- D権限境界を設定すると、その分だけ対象ロールの実効権限を通常のIAMポリシーより拡張できる
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
両者はいずれも「権限を付与するものではなく、上限（フィルタ）を定めるもの」という共通点を持ちながら、適用対象が異なる。
- 権限境界（permission boundary）：IAMの機能で、特定のIAMユーザー/ロールにアタッチし、 そのプリンシパルが持てる権限の上限を定める。主に「権限委任された管理者が、自分より広い権限のロールを誤って作らないようにする」目的で使われる。
- SCP：AWS Organizationsの機能で、アカウント／OU単位に適用し、その配下の全プリンシパル（管理者・ルートユーザー含む）の実効権限の上限を定める。
- 実効権限は、いずれの仕組みでも 「アイデンティティベースポリシー（またはリソースベースポリシー）のAllow」と「境界/SCPが許可する範囲」の共通部分（AND） になる。境界やSCPだけでは何も権限を付与できない。
- C適用対象が逆。権限境界がIAMユーザー/ロール単位、SCPがアカウント/OU単位である。
- D権限境界は権限を拡張しない。あくまで上限（フィルタ）であり、実効権限を狭める方向にしか作用しない。
ひっかけ： 「SCPはIAMユーザー/ロール単位で細かく設定できる（C）」は適用対象の取り違え（SCPはアカウント/OU単位）。
「境界を設定すると実効権限が通常のIAMポリシーより広がる（D）」も誤り。境界・SCPはどちらも“権限を狭める方向にしか働かない”という性質を必ず押さえる。
公式ドキュメント・関連IAM User Guide ― Permissions boundaries for IAM entities↗AWS Organizations User Guide ― Service control policies (SCPs)↗
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）