AWS Organizations 委任管理者（Delegated Administrator）難易度 高無料
組織のセキュリティチームが、管理アカウント（Organizationsの管理アカウント）を日常運用で極力使わない方針を徹底したいと考えている。GuardDuty・Security Hub・IAM Access Analyzer・Config Aggregatorなど組織全体を横断する管理は、専用のセキュリティアカウントに委譲したい。この要件・仕組みに関する正しい記述を2つ選べ。
- A管理アカウントから特定のメンバーアカウントを委任管理者として登録することで、そのアカウントからGuardDuty/Security Hub等の組織全体の設定・検出結果集約を管理できるようになる
- B委任管理者の登録・解除は必ず管理アカウントから実行する必要があり、セキュリティアカウント側から自分自身を委任管理者として登録することはできない
- C委任管理者に指定されたアカウントは、Organizationsの管理アカウントとしての役割を完全に引き継ぎ、新規アカウントの作成やOU編成も行えるようになる
- D委任管理者機能を使うと、対象サービスの利用料金の請求先が管理アカウントからセキュリティアカウントへ完全に切り替わる
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
多くのAWSセキュリティ/管理系サービス（GuardDuty、Security Hub、IAM Access Analyzer、Config、Firewall Manager等）は 委任管理者（delegated administrator）の仕組みをサポートしている。
- 管理アカウントから、特定のメンバーアカウント（通常はセキュリティ専用アカウント）を委任管理者として登録すると、 以後はそのセキュリティアカウントから組織全体の該当サービスの設定・組織全体のビュー（例：全アカウントの検出結果集約）を 管理できるようになる。管理アカウントに日常的にログインする必要がなくなる。
- 委任管理者の登録・解除自体は管理アカウントからのみ実行可能であり、委任先のセキュリティアカウント側から 勝手に他アカウントを委任管理者に指定することはできない。
- これにより「管理アカウントは初期セットアップ・組織構造の変更など最小限の操作にとどめ、日常運用は専用アカウントに委譲する」 というベストプラクティス（管理アカウントの利用最小化）を実現できる。
- C誤り。委任管理者はGuardDuty等の対応サービスの組織横断管理権限のみを持つのであって、Organizations自体の管理（新規アカウント作成やOU編成）まで引き継ぐわけではない。
- D委任管理者は管理権限の委譲であり、請求（コンソリデーテッドビル自体の合算先）の仕組みを変えるものではない。
ひっかけ： 「委任管理者の登録自体もセキュリティアカウント側から自己申請できる（誤答の1つ）」という誤解に注意。
委任のトリガー（who delegates whom）は必ず管理アカウント側からの操作であり、セキュリティアカウント側は
委任された範囲内でのみ組織全体の管理を行える立場にとどまる。
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）