セキュアなアーキテクチャ設計
AWS OrganizationsのSCP(サービスコントロールポリシー)とIAMポリシーの違いに関する記述として正しいものはどれか。
- ASCPは権限を直接付与することができ、IAMポリシーは権限の上限を設定するだけである
- BSCPとIAMポリシーはどちらも個々のIAMユーザーにのみ適用できる
- ✓SCPはアカウントやOUに対して権限の上限(ガードレール)を設定するものであり、それ自体では権限を付与しない。実際の権限はIAMポリシーで付与する必要がある
- DSCPはルートユーザーにも常に適用されない
解説
SCPは組織単位やアカウントに対する権限の上限(ガードレール)を定義する仕組みであり、SCP自体が許可を与えることはない。実際にアクションを許可するにはIAMポリシーでの明示的な許可が別途必要である。
根拠AWS Organizations サービスコントロールポリシー(SCP)