複数 AWS アカウントの一元的なガバナンス
複数の AWS アカウントを保有する企業が、全アカウントの請求を 1 枚の請求書にまとめ、部門ごとの組織単位 (OU) を作り、承認されていないリージョンの利用を組織全体のポリシーで一律に禁止したいと考えています。この要件を満たす AWS のサービスはどれですか。
解説を読む（正解: A）
AWS アカウントは請求とセキュリティの明確な境界であるため、部門やシステムごとにアカウントを分ける設計が推奨されますが、その結果として「アカウントが増えるほど統制が効かなくなる」という課題が生じます。AWS Organizations はこの課題に応える、複数アカウントを一元管理するためのサービスです。管理アカウントの配下に組織を作り、アカウントを組織単位 (OU) の階層に整理でき、一括請求 (コンソリデーティッドビリング) によって全アカウントの利用料を 1 枚の請求書にまとめつつ、ボリューム割引やリザーブドインスタンス／Savings Plans の共有も受けられます。さらにサービスコントロールポリシー (SCP) を OU やアカウントに適用すれば、そのアカウントの管理者であっても越えられない権限の上限を設定でき、特定リージョンの利用禁止といったガードレールを組織全体に強制できます。よって選択肢 A が正解です。選択肢 B の AWS IAM はユーザー・グループ・ロールとポリシーによって「1 つのアカウント内」のアクセス許可を制御する仕組みで、アカウントをまたいだ請求統合や組織全体のガードレール設定はできません。選択肢 C の AWS STS は一時的な認証情報を発行するサービスで、クロスアカウントのロール引き受けには使えますが、アカウントの階層管理やポリシー強制の仕組みではありません。選択肢 D の AWS CLI は AWS サービスを操作するためのコマンドラインツールにすぎず、それ自体がガバナンス機能を提供するわけではありません。
複数 AWS アカウントの階層的な統合管理
事業部ごとに 30 個の AWS アカウントを個別に開設してきました。今後は管理アカウントを頂点とする階層 (グループ) を作り、階層単位で利用可能なサービスを制限するポリシーを一括適用し、請求もひとつにまとめたいと考えています。最も適した AWS サービスはどれですか。
解説を読む（正解: B）
複数の AWS アカウントを 1 つの組織として束ね、ガバナンスと請求を一元化するためのサービスが AWS Organizations です。Organizations では管理アカウント (旧マスターアカウント) を頂点に組織を作成し、その配下に組織単位 (OU) をツリー状に配置してメンバーアカウントを所属させます。OU またはアカウントにサービスコントロールポリシー (SCP) を適用すると、そのアカウント内の IAM ユーザーやロールが行使できる権限の上限 (ガードレール) を設定でき、階層構造に沿ってポリシーが継承されます。さらに一括請求 (コンソリデーティッドビリング) により全アカウントの費用が管理アカウントに集約され、使用量が合算されることでボリューム割引やリザーブドインスタンス / Savings Plans の共有といった恩恵も受けられます。階層化・ポリシー一括適用・請求統合という 3 要件をすべて満たすのは B です。A の IAM Identity Center は複数アカウントへのシングルサインオンとアクセス権限セットの割り当てを担う認証基盤で、そもそも組織構造は Organizations が前提であり、アカウント階層や一括請求を作るサービスではありません。C の Systems Manager は運用データの一元化やパッチ適用・自動化を行う運用管理サービスで、アカウント自体を統制する機能はありません。D の Amazon Cognito は開発したアプリケーションのエンドユーザー向け認証・認可を提供するサービスであり、AWS アカウントの管理とは無関係です。
複数 AWS アカウントの権限上限を組織横断で強制する
複数のAWSアカウントを運用する企業が、各アカウントのIAMユーザーやロールを、管理者権限を持っていても承認済みのリージョンとサービス以外は使えないよう制限したいと考えています。各アカウント管理者に依存せず組織全体で強制する必要があります。適切なAWSの機能はどれですか。
解説を読む（正解: D）
AWS Organizations は複数のAWSアカウントを1つの組織としてまとめ、組織単位 (OU) の階層で一元管理するためのサービスです。その中核機能がサービスコントロールポリシー (SCP) で、SCP はアカウントや OU に適用され、そのアカウント内のあらゆる IAM プリンシパル (ユーザー・ロール、場合によってはルートユーザーも含む) が行使できる権限の「上限 = ガードレール」を定義します。SCP 自体は権限を付与せず、許可されうる操作の範囲を絞り込むだけである点が特徴です。本シナリオでは、新規に払い出したアカウントの管理者ですら承認外のリージョンやサービスを使えないようにする必要があり、アカウントをまたいで一律に強制できる SCP が唯一の適切な手段です。AWS Systems Manager は EC2 やオンプレミスサーバーの運用管理 (パッチ適用、インベントリ収集、リモート実行) を担うサービスであり、アカウントの権限境界を定義する機能はありません。Amazon Cognito は自社アプリケーションのエンドユーザー向けのサインアップ・サインイン基盤であり、AWSアカウント内部の管理者権限を制御する用途ではありません。IAM のカスタマー管理ポリシーは同一アカウント内のユーザーやロールに権限を付与・制限できますが、そのアカウントの管理者が自分で書き換えられてしまうため、組織として上限を強制するという要件は満たせません。