Question#52(SCS-C01)
ある会社の開発者は、AWS Lambda 関数 URL を使用して関数を直接呼び出しています。会社は、開発者が本番アカウントで認証されていない関数を設定またはデプロイできないようにする 必要があります。会社はこの要件を AWS Organizations を使って実現 したいと考えています。また、ソリューションは開発者に追加の作業を要求しないようにする必要があります。
この要件を満たすソリューションはどれですか。正解：D
正解です。Organizations レベルで、開発者が本番アカウントに未認証 Function URL をデプロイすることを防止します。IAM 認証 (AWS_IAM) は許可されるため、要件を完全に満たします。
Lambda Function URLs には 2 種類の認証タイプがあります。
AWS_IAM: IAM 認証を必須にする（安全）NONE: 認証なしで誰でもアクセス可能（危険、本番環境では避けるべき）
NONE）の関数 URL を作成できないようにする」ことです。
これに最も合致するのは SCP を使って lambda:FunctionUrlAuthType = NONE の場合に Create/Update を拒否する制御 です。これにより開発者は IAM 認証を有効にした Function URL しか作成できなくなります。 SCP は Organizations レベルで適用できるため、本番アカウント全体で強制され、開発者が追加作業をする必要はありません。
コメント