AWS Organizations タグポリシー難易度 標準無料
財務部門から「全アカウント・全リソースで CostCenter タグのキー名の表記ゆれ（例：costcenter、Cost_Center 等）を無くし、正しい大文字小文字・許容値でタグ付けされているかを組織全体で監視・強制したい」という要望があった。Organizationsのこの要件に最も適した機能を選べ。（単一選択）
- AOrganizationsのタグポリシーで
CostCenterキーの正しい大文字小文字表記・許容値を定義し、対象OU/アカウントにアタッチして非準拠タグを検知・レポートする。作成自体を強制的に止めたい場合はSCPと組み合わせる - BSCPだけで
CostCenterタグの表記ゆれを検証し、間違った表記のタグが付与された場合は自動的に正しい表記へ書き換える - C各アカウントの管理者に、タグ付けルールをドキュメントで配布し目視でレビューしてもらう
- DAWS BudgetsでCostCenterタグ別の予算アラートを設定することで、間接的にタグの表記ゆれを解消する
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
AWS Organizationsのタグポリシー（Tag Policies）は、組織内のリソースに付与するタグの キーの大文字小文字・許容される値・準拠すべき形式を定義し、非準拠のタグ付けを検知するための機能である。
- タグポリシーはOUやアカウント単位でアタッチでき、
CostCenterというキーの正しい表記や、 許容する値のリストを定義できる。 - タグポリシーにはレポートモードと強制（enforcement）モードがあり、
enforced_for（コンソールでは「このタグの非準拠オペレーションを防止する」）を指定すれば、 タグポリシー単体で、非準拠のタグ値によるリソース作成・タグ付け操作をブロックできる。 ただし強制できるのはタグポリシーがサポートするリソースタイプに限られる。指定しなければ検知・レポートにとどまり、 非準拠のタグをAWS Resource Groups の Tag Editor やコンプライアンスレポートで可視化して是正を促す運用になる。 - ⚠️強制モードでも「タグが1つも付いていない状態での作成」は止められない（必須タグキーの欠落は対象外）。
「タグ未付与での作成」を禁止したいときこそSCP（
aws:RequestTag条件でのDeny）の出番になる。 - SCP単体では「タグの値が正しい表記かどうか」を判定するような柔軟な文字列検証はできず、タグポリシーの方が 表記ゆれの標準化という目的に適している。
- BSCPは許可/拒否の判定のみを行い、タグ値の柔軟な検証・自動修正機能は持たない。表記ゆれの標準定義・検知にはタグポリシーが適する。
- C手動運用は組織全体・継続的な強制力に欠け、アカウント数が増えるほどスケールしない。
- DBudgetsはコスト監視・アラート機能であり、タグの表記そのものを標準化・検証する仕組みではない。
ひっかけ： 「タグポリシーは検知専用で、ブロックには必ずSCPが要る」という思い込みが罠。
enforced_for を指定した強制モードなら、タグポリシー単体で非準拠のタグ値による操作をブロックできる（対応リソースタイプに限る）。
逆に「タグが付いていない状態での作成」はタグポリシーでは止められず、ここがSCPの出番である（両者の役割分担を理解しているかが問われる）。公式ドキュメント・関連AWS Organizations User Guide ― Tag policies↗
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）