AWS Organizations / SCP難易度 高無料
組織のセキュリティチームが、あるOU配下の全アカウントに対して恒久的なガードレールを設計している。SCP（サービスコントロールポリシー）の性質として正しい記述を2つ選べ。
- ASCPはOrganizationsの管理アカウント自身にも適用され、管理アカウントのルートユーザーの操作も制限できる
- BSCPは対象アカウント内のルートユーザーを含む全プリンシパル（サービスリンクロールを除く）に適用される。管理者権限を持つユーザーであってもSCPの明示的Denyから逃れることはできない
- CSCPをアタッチするだけで、記載したActionがそのアカウント内の全プリンシパルに対して自動的に許可されるようになる
- DSCPは権限の上限（フィルタ）として機能し、IAMポリシー側でAllowされている操作であってもSCPで許可されていなければ実行できない
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：B・DAI作成・AIで再検証済
解説
SCPはAWS Organizationsのプリベンティブ（予防的）ガードレールであり、対象アカウントの実効権限の上限（フィルタ）を定める。
- SCPは管理アカウント（旧マスターアカウント）自体には適用されない。管理アカウントに対してガードレールを効かせたい場合は、 管理アカウントの利用を最小限にする・別途Config/CloudTrailで監視する等の設計が必要になる。
- SCPはそれ単体で権限を付与することは一切なく、IAMポリシー（アイデンティティ/リソースベース）側のAllowとの 共通部分（AND）が実効権限になる。SCPだけをアタッチしても何も使えるようにはならない。
- SCPはルートユーザーを含む対象アカウントの全プリンシパルに適用される（管理者権限であってもSCPのDenyからは逃れられない。例外はサービスリンクロールで、SCPの影響を受けない）。
- A誤り。SCPは管理アカウントには適用されない。管理アカウントに対するガードレールは別の設計（利用最小化・監視強化等）が必要。
- C誤り。SCPは権限を付与しない。実効権限はIAMポリシー側のAllowとSCPが許可する範囲の共通部分になる。
ひっかけ： 「SCPは管理アカウントにも適用される（A）」「SCP単体で権限を付与できる（C）」はいずれも典型的な誤解。
SCPはメンバーアカウントに対する上限フィルタであり、権限の"源泉"にはならない点を混同しないこと。
また2026年時点でAWSは新しくDeclarative Policies（宣言的ポリシー）も提供しており、これはSCPと異なり
特定のサービスの構成（例：EBSのパブリックアクセスブロック、VPCのデフォルト設定等）を宣言的に固定する仕組みで、
SCP（アクション単位のAllow/Deny）とは適用範囲・目的が異なる別機能である。
公式ドキュメント・関連AWS Organizations User Guide ― Service control policies (SCPs)↗AWS Organizations User Guide ― Service control policies (SCPs)↗
AIが作成し、別の手順のAIで誤りを点検した解説です（有資格者による監修は経ていません）