開発者サンドボックスアカウントのコスト上限管理
オンライン学習サービスを提供する企業は AWS Organizations でランディングゾーンを運用しており、開発者は社用メールアドレスを使って自分で検証用アカウントを払い出せるようになっています。検証用途とはいえ、開発者が高額なサービスを起動したり、使い終わったリソースを放置したりすることによる想定外の請求が問題になり始めました。財務部門は、開発者 1 人あたりに月額の固定枠を割り当て、その枠に達した場合には稼働中のリソースを自動的に停止・削除させたいと考えています。これらの要件を満たす手順の組み合わせを 3 つ選択してください。
複数選択問題です (正解 3 つ)。選んでから判定してください。
解説を読む（正解: B、C、F）
マルチアカウント環境でのコストガードレールは、「利用可能なサービスを組織レベルで制限する」層と「支出額を予算として監視し、超過時に自動アクションを起こす」層の二段構えで設計します。B は AWS Budgets でアカウントごとに月額固定の予算を作成するもので、アカウント払い出しの自動化に組み込めば、新しい開発者アカウントにも漏れなく予算が適用され、固定枠を与えるという要件を直接満たします。C は SCP で高額サービスへのアクセスを拒否します。SCP は組織側で管理され、メンバーアカウントの管理者権限を持つ開発者でも解除できないため、そもそも高価なサービスを起動させないガードレールとして機能します。F は予算のしきい値到達を契機に SNS へ通知し、そこから Lambda を呼び出して稼働中のリソースを停止・削除する構成で、枠に達したら自動停止という要件を満たします。A は誤りで、SCP は API アクションと条件による許可・拒否を表現する仕組みであり、金額ベースの月額利用上限を設定する機能はありません。D は IAM ポリシーによる制限ですが、開発者は払い出されたアカウント内で強い権限を持つため自らポリシーを変更・削除でき、ガードレールとして成立しません。E も誤りで、AWS Budgets のアクションが実行できるのは IAM ポリシーや SCP の適用、EC2/RDS インスタンスの停止といった定義済みの操作に限られ、すべてのサービスを一括終了させるアクションは提供されていません。
マルチアカウント環境のコスト可視化とアラート集約
医療機器メーカーが、社内のクラウド費用配賦の仕組みを事業部単位に改めようとしています。現在はクラウドガバナンス部門が全社の支出をまとめたレポートを各事業部長に配布しています。同社は AWS Organizations を使い、事業部ごとに個別の AWS アカウントを管理しています。組織の既存タグ付け標準にはアプリケーション、環境、所有者の 3 つのキーが含まれています。ガバナンス部門は、各事業部が自部門のクラウド支出の月次レポートを受け取れる一元化された仕組みを求めており、あらかじめ設定したしきい値を超える利用が発生した場合には通知も送りたいと考えています。最も費用対効果の高いソリューションはどれですか。
解説を読む（正解: B）
AWS Organizations を用いるマルチアカウント環境では、コストの可視化とアラートを各アカウントに分散させるのではなく、管理アカウント (支払いアカウント) に集約するのが定石です。管理アカウントの AWS Budgets と AWS Cost Explorer は、組織内のすべてのメンバーアカウントの連結請求データを参照できるため、追加のデータ収集基盤を作ることなく事業部横断のレポートとしきい値アラートを実現できます。既存のタグ付け標準にあるアプリケーション、環境、所有者をコスト配分タグとして有効化すれば、そのタグを予算やレポートのフィルターとして使えるため、事業部単位の粒度で予算を切り、超過時に Amazon SNS トピック経由で各事業部へ通知できます。したがって、管理アカウントで AWS Budgets と Cost Explorer を構成する選択肢が、一元化と費用対効果の両方を満たす正解です。各アカウントで AWS Budgets と Cost Explorer を個別に設定する選択肢と、各アカウントの請求ダッシュボードでレポートを作る選択肢は、いずれもアカウント数だけ設定と保守が増え、レポート内容も分散するため「一元化されたソリューション」という要件を満たしません。コストと使用状況レポートを Lambda で加工する選択肢は技術的には実現可能ですが、レポート生成、しきい値判定、メール配信をすべて自前で実装・保守することになり、追加の S3 ストレージ費用と Lambda 実行費用に加えて開発保守コストが発生するため、最も費用対効果が高い選択とは言えません。
マルチアカウント組織の割引共有と予算ガードレール
ある企業は AWS Organizations で 40 のメンバーアカウントを管理しており、管理アカウントで一括請求を行っています。コンピューティングの Savings Plans とリザーブドインスタンスは主に管理アカウントでまとめて購入していますが、規制対象の基幹システムを持つ 1 つのアカウントについては、そのアカウント自身が購入した割引が他のアカウントの使用に吸収されないよう分離したいという要望が上がっています。さらに財務部門は、事業部単位でコストを可視化したうえで、予算を超過した事業部の環境では新規リソースの作成を自動的に抑止したいと考えています。組織全体のボリュームディスカウントは維持する必要があります。これらを満たす対応を 2 つ選択してください。
複数選択問題です (正解 2 つ)。選んでから判定してください。
解説を読む（正解: A、C）
AWS Organizations の一括請求では、既定でリザーブドインスタンスと Savings Plans の割引が請求ファミリー全体で共有され、購入したアカウント以外の使用にも適用されます。管理アカウントは請求設定の「リザーブドインスタンスおよび Savings Plans の割引共有」でアカウント単位に共有のオン/オフを切り替えられ、特定アカウントで共有をオフにすると、そのアカウントが購入した割引は自身の使用にのみ適用され、逆に他アカウントの割引もそのアカウントには適用されなくなります。A はこの機能を使うため、組織に所属したままボリュームディスカウントを維持しつつ、規制対象アカウントの割引だけを分離できます。C の AWS Cost Categories はアカウントやタグなどのディメンションを事業部といった独自の分類にまとめる機能で、Cost Explorer や AWS Budgets からその分類単位でコストを扱えます。AWS Budgets アクションはしきい値超過時にサービスコントロールポリシー (SCP) や IAM ポリシーの適用、EC2/RDS インスタンスの停止といった処理を自動実行できるため、新規リソース作成の自動抑止という要件を満たします。B は組織から切り離すと一括請求によるボリューム階層の恩恵と割引共有の仕組みそのものを失い、「組織全体のボリュームディスカウントを維持する」という要件に反する過剰な対応です。D は誤りで、ゾーン指定のリザーブドインスタンスはキャパシティ予約の効果こそ持つものの、割引共有が有効なかぎり請求ファミリー内で共有されます。購入アカウントは割引適用の優先権を得るだけで、余剰分は他アカウントに流れるため、共有をオフにする設定は依然として必要です。E は Cost and Usage Report と Amazon Athena で可視化はできますが、アカウントごとに個別設定する運用負荷が高く、何より超過時の自動的な抑止手段が存在せず、手動のメール依頼では要件を満たしません。