アカウント分離戦略 / 新規アカウントベースライン難易度 高無料
Control Towerで管理されたランディングゾーンにおいて、新規メンバーアカウントをAccount Factory経由でプロビジョニングした際に自動的に構成される/適用される代表的な要素を2つ選べ。
- A新規アカウントは自動的に組織用CloudTrail証跡の記録対象になり、APIアクティビティがLog Archiveアカウントへ自動集約される
- Bアカウントが属するOUに設定済みのプリベンティブ/ディテクティブガードレール（SCP/Config管理ルール）が自動的に適用される
- Cアプリケーション固有の業務用IAMロール・ポリシー一式が、想定される用途に応じてAccount Factoryにより自動生成される
- D新規アカウントには自動的に既存の全EC2インスタンスやRDSデータベースが複製される
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
Control TowerのAccount Factoryで新規アカウントを払い出すと、ランディングゾーンの標準ベースラインが自動適用される。
- 新規アカウントは自動的に組織用CloudTrail証跡（organization trail）の記録対象となり、ログ専用（Log Archive）アカウントの S3バケットへAPIアクティビティが集約される（アカウント側で個別に証跡を作成する必要はない）。
- アカウントが属するOUに紐づくガードレール（プリベンティブ＝SCP、ディテクティブ＝Configルール）が自動的に適用され、 追加のOU割り当て変更なしにベースラインの統制が効いた状態で払い出される。
- 一方で、アカウント固有のVPCサブネット設計・アプリケーション用IAMロールの作成などワークロード固有の構成は Account Factoryの標準機能の範囲外であり、払い出し後に個別に構築する必要がある。
- C誤り。Account Factoryが自動化するのは共通の基盤ベースラインであり、アプリケーション固有のIAMロール設計・作成は払い出し後に個別に行う必要がある。
- D誤り。新規アカウントは空のベースライン環境として払い出され、既存の他アカウントのワークロードリソースが複製されることはない。
ひっかけ： 「新規アカウントのアプリケーション用IAMロールまで自動生成される（誤答の1つ）」という過大評価に注意。
Account Factoryが自動化するのは共通の基盤ベースライン（ネットワーク・IAM Identity Center・ガードレール・ログ集約）であり、
アプリケーション固有のIAMロール設計まではカバーしない。
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）