AWS Control Tower ガードレール難易度 高無料
AWS Control Towerのガードレールに関する記述のうち、正しいものを2つ選べ。
- AプリベンティブガードレールはSCPとして実装され、許可されていないAPI呼び出し自体をブロックする
- Bディテクティブガードレールもプリベンティブと同様にAPI呼び出し自体をブロックし、非準拠リソースの作成を未然に防止する
- CディテクティブガードレールはAWS Config管理ルールとして実装され、既存リソースの非準拠状態を継続的に検知しダッシュボードに表示する
- Dガードレールはアカウント単位でのみ有効化でき、OU単位でまとめて適用することはできない
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
Control Towerのコントロール（ガードレール）は、プリベンティブ（予防的）・ディテクティブ（発見的）・プロアクティブ（事前予防的）の3種類がある。
- プリベンティブガードレールは内部的にSCPとして実装されており、対象OU配下で許可されていない操作自体を API呼び出し時点でブロックする。
- ディテクティブガードレールは内部的にAWS Config管理ルールとして実装されており、 既に存在するリソースの構成が準拠していない状態（non-compliant）を継続的に検知し、Control Towerダッシュボードに表示する。 ディテクティブガードレールはリソースの作成自体を止めない（発見後の是正は別途必要）。
- プロアクティブガードレールは内部的にCloudFormation Hooks（
preCreate／preUpdateハンドラ）として実装されており、 リソースがプロビジョニングされる前に非準拠を判定してブロックする。ただし効くのはCloudFormationスタック操作を経由した作成・更新に限られ、 コンソール・API・SDKからの直接操作には効かない。 - ガードレールはOU単位で有効化する（アカウント個別ではなくOUに対して適用する設計）。
- B誤り。ディテクティブガードレールはConfig管理ルールベースの検知機構であり、作成後の非準拠状態を検知するだけで作成自体は止めない。
- D誤り。Control TowerのガードレールはOU単位で有効化する設計であり、OU配下の全アカウントに一括適用される。
ひっかけ： 「ディテクティブガードレールも違反リソースの作成をブロックする（誤答の1つ）」という混同に注意。
作成をブロックするのはプリベンティブ（SCP）とプロアクティブ（CloudFormation Hooks）で、ディテクティブは「検知して知らせる」役割にとどまる。
両者を一括りに「防止」と捉えないこと。また「ガードレールはプリベンティブとディテクティブの2種類」という古い理解にも注意＝現在はプロアクティブを加えた3種類である。
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）