AWS Certified Solutions Architect - Associate 問題集

正解: C

正解の理由
SCP の評価のページは、Organizations がルート・OU・アカウントの作成時に FullAWSAccess を付けること、そしてこれを一部のサービスだけを許可するポリシーに置き換えれば、SCP を更新して明示的に許可するまで新しいサービスは許可されない、と書いている。SCP の許可は経路のすべての階層で必要なので、ルートで置き換えれば組織全体に効き、OU やアカウントごとに置き換えれば範囲ごとに違う許可リストにできる。

違う選択肢
「FullAWSAccess を残したまま、使うサービスだけを許可する SCP を同じ階層に足す」… FullAWSAccess はすべてのサービスと操作を許可する SCP である。これを残したままでは、新しいサービスも許可されたままになり、使うサービスだけに絞ることにならない。
「拒否リストの SCP をルートに付け、新しいサービスは出たときに拒否に加える」… 拒否リストでは、拒否の文に書いていないサービスはすべて許可される。新しいサービスは拒否に加えるまで使えてしまうので、明示的に認めるまで使えない、という方針にならない。
「各アカウントの IAM ポリシーで、認めたサービスだけを許可するよう全ロールを書き換える」… IAM のポリシーは各アカウントの管理者が書き換えられるので、管理者が広い権限を付ければ新しいサービスも使えてしまう。管理者の設定にかかわらず上限を効かせるのが SCP の役割である。

押さえどころ
許可リスト型は「書いたものだけを使える」、拒否リスト型は「書いたもの以外は使える」。新しいサービスへの備えが要るなら許可リスト型にする。ページは、許可の文と既定で拒否する仕組みだけに頼ると、広い許可が絞った許可を上回って意図しないアクセスが起きうるとも注意しており、拒否の文を組み合わせるのが勧められている。