SCS-C02#3(governance)
ある企業はAWS Organizationsを利用しており、ProductionとSandboxの2つのOUを保有します。Sandbox OU内のアカウントでは、コスト管理のためEC2のインスタンスタイプをt3.microおよびt3.smallのみに制限したいと考えています。どのSCPが最も適切ですか。
正解：C
正解の根拠
SCPはDeny戦略が一般的で、ec2:InstanceTypeの条件キーをStringNotEqualsで使うと、許可リスト以外のタイプを起動するAPIコールが組織レベルで拒否されます。これはAWSが推奨するガードレール設計パターンです。
SCP条件キー例
| 項目 | 値 |
|---|---|
| Effect | Deny |
| Action | ec2:RunInstances |
| Condition | StringNotEquals ec2:InstanceType |
不正解の理由
- A: SCPのAllow戦略はFullAWSAccessとの組み合わせが必要で、設計が複雑化します。
- B: SCPを削除すると組織レベルのガードレールが失われ、IAM制御では一貫性がありません。
- D: ec2:RunInstancesのResourceにインスタンスタイプは記述できず、構文として無効です。
コメント