正解：A
aws:PrincipalOrgIDは、AWS Organizationsの組織全体へのアクセスを制御するグローバル条件キーです。この問題の最適解である理由：
- 単一のポリシー変更のみ：S3バケットポリシーに条件キーを1つ追加するだけ
- 自動的にすべてのメンバーアカウントをカバー：組織に加入/脱退するアカウントが自動的に反映
- 最小の運用オーバーヘッド：個別アカウントIDの管理やタグ付けが不要
- 条件キー例：
"aws:PrincipalOrgID": "o-xxxxxxxxxx"
他の選択肢について：
B. OU作成とPrincipalOrgPathsは部門別制御には有効ですが、組織全体の許可にはPrincipalOrgIDがシンプルです。
C. CloudTrail監視＋ポリシー更新は運用オーバーヘッドが大きく、リアルタイム性もありません。
D. ユーザータグ管理は運用が煩雑で、すべてのユーザーへのタグ付けが必要です。
正解：A
ゲートウェイVPCエンドポイントは、VPC内のリソースからS3やDynamoDBへのプライベート接続を提供する機能です。主な特徴：
- インターネット不要：トラフィックがAWSネットワーク内に留まる
- 無料：ゲートウェイエンドポイントは追加料金なし（S3とDynamoDBのみ）
- ルートテーブルに追加：自動的にS3宛てのトラフィックがエンドポイント経由に
- セキュリティ向上：パブリックインターネットを完全にバイパス
他の選択肢について：
B. CloudWatch Logs経由のルーティングは複雑で、プライベート接続の直接的な解決策ではありません。
C. インスタンスプロファイル（IAMロール）は認証・認可の仕組みで、ネットワーク接続は別途必要です。
D. API Gatewayはプライベート接続のためのツールではなく、API作成用です。
正解：A
AWS Secrets Managerは、データベース認証情報の管理に特化したサービスで、自動ローテーション機能を提供します。この問題に最適な理由：
- 自動ローテーション：
- RDS、Aurora、DocumentDB、Redshiftとのネイティブ統合
- スケジュールに基づく自動パスワード更新
- アプリケーション側のコード変更なし - KMSによる暗号化：保存時に自動的に暗号化
- きめ細かいアクセス制御：IAMポリシーで制御
- プログラム的取得：アプリケーションがAPIでシークレットを取得
- 監査：CloudTrailで全アクセスを記録
他の選択肢について：
B. Systems Manager Parameter Storeの標準ティアはネイティブな自動ローテーション機能を持ちません（Lambdaで自作が必要）。Secrets Managerの方が適切です。
C/D. S3やEBSに認証情報を保存する方法は、ローテーション機能がなく、運用オーバーヘッドも大きいです。
正解：A
AWS Secrets Manager + マルチリージョンレプリケーションは、複数リージョンにわたるDB認証情報管理の最適解です。主な機能：
- マルチリージョンシークレット：プライマリシークレットを他のリージョンに自動レプリケーション
- 自動ローテーション：RDS、Aurora、DocumentDB、Redshiftのネイティブ統合
- スケジュールベース：30日、60日、90日など指定間隔でローテーション
- KMS暗号化：保存時に自動的に暗号化
- 最小の運用オーバーヘッド：カスタムLambda不要、AWSが全て管理
他の選択肢について：
B. Systems Manager Parameter Storeはマルチリージョンレプリケーションもネイティブ自動ローテーションもサポートしていません（自作が必要）。
C. S3 + EventBridge + Lambdaはカスタム実装が大量に必要で、運用オーバーヘッドが大きいです。
D. KMS + DynamoDB + Lambdaのカスタム実装は複雑すぎ、Secrets Managerが専用ソリューションです。
正解：C
AWS Network Firewallは、VPCのネットワークトラフィックに対してステートフル検査・フィルタリング・侵入防止機能を提供するマネージドサービスです。主な機能：
- ステートフル検査：接続状態を追跡して適切な判断
- トラフィックフィルタリング：L3-L7のルールベースフィルタリング
- 侵入防止システム（IPS）：悪意のあるトラフィックをブロック
- Suricata互換：オープンソースIPSルールを使用可能
- ドメインフィルタリング：FQDNベースのアクセス制御
- マネージド：オンプレミスの検査サーバーの代替として最適
他の選択肢について：
A. GuardDutyは脅威検出サービスで、トラフィックフィルタリング機能はありません。
B. トラフィックミラーリングは監視・分析用で、フィルタリング機能はありません。
D. Firewall Managerは複数アカウントのファイアウォールポリシー管理ツールで、Network Firewall自体を管理します（単独では検査機能を提供しません）。
正解：A
IAMロールは、EC2インスタンスにAWSリソースへのアクセスを付与するベストプラクティス手段です。主な利点：
- 一時的な認証情報：EC2メタデータサービスから自動取得、自動ローテーション
- ハードコーディング不要：アクセスキーをコードに埋め込む必要なし
- 最小権限の原則：必要なS3アクションのみに権限を限定
- インスタンスプロファイル経由でアタッチ：EC2インスタンスに関連付け
- マネジメント容易：ロール変更で全インスタンスに反映
他の選択肢について：
B. IAMポリシーはEC2インスタンスに直接アタッチできません（IAMユーザー、グループ、ロールにアタッチ）。
C. IAMグループはIAMユーザーをまとめるもので、EC2にアタッチできません。
D. IAMユーザーは人間向けの長期認証情報で、EC2には不適切（セキュリティリスク）。
正解：A
AWS Configは、AWSリソースの設定変更を記録・評価するサービスで、不正な構成変更の検出に最適です。主な機能：
- 継続的な設定記録：S3バケットを含むリソースの設定変更をすべて記録
- Config Rules：望ましい設定状態を定義し、準拠性を自動評価
- マネージドルール例：s3-bucket-public-read-prohibited、s3-bucket-public-write-prohibited、s3-bucket-ssl-requests-only、s3-bucket-versioning-enabled - 設定履歴とタイムライン：誰がいつ変更したかを追跡
- 自動修復：非準拠リソースの自動修復（Systems Manager Automation統合）
他の選択肢について：
B. Trusted Advisorは一般的なベストプラクティスチェックで、継続的な構成監視には不向きです。
C. Inspectorは脆弱性管理サービスで、S3構成変更検出ではありません。
D. S3アクセスログはオブジェクトアクセスログで、バケット構成変更は記録しません。
正解：A
CloudWatchダッシュボードの共有機能は、AWSアカウントを持たない外部ユーザーにダッシュボードへの読み取り専用アクセスを提供する最適な方法です。主な特徴：
- AWSアカウント不要：受信者はAWSアカウントを作成する必要がない
- 最小権限：指定したダッシュボードのみ閲覧可能、他のリソースにはアクセスできない
- メールベースの招待：メールアドレスで共有可能
- 認証方法：
- 特定のメール：受信者専用リンク
- SSOプロバイダー経由：企業のIDPでログイン
- パブリック：認証なしで誰でもアクセス（非推奨） - 運用オーバーヘッド最小
他の選択肢について：
B. IAMユーザー作成は管理負担が大きく、権限が過剰です（ViewOnlyでも他のリソースが見える）。
C. IAMユーザーの共有アカウントはセキュリティベストプラクティス違反です。
D. 踏み台サーバー + RDPは過剰設計で、コストとセキュリティリスクが大きいです。
正解：B
AWS IAM Identity Center（旧AWS SSO）+ AWS Managed Microsoft AD + 双方向フォレストトラストの組み合わせが最適です。各コンポーネントの役割：
- AWS IAM Identity Center：AWS Organizations全体のSSOを提供
- AWS Directory Service for Microsoft AD：AWS側のマネージドAD
- 双方向フォレストトラスト：
- AWS Managed MS ADがオンプレADのユーザー情報を認証時に参照
- 双方向が必要：IAM Identity Centerがユーザー/グループを検索するため
- 一方向トラストではユーザー検索機能が制限される
※ AWS Single Sign-Onは2022年に「AWS IAM Identity Center」に改名されました。機能は同じです。
他の選択肢について：
A. 一方向トラストではAWS側からオンプレADのユーザー/グループを十分に参照できず、SSOが機能しません。
C. IAM Identity Centerなしの単純なトラストではSSO機能がありません。
D. オンプレIdP（ADFSなど）でも可能ですが、AWS Organizations環境ではIAM Identity Centerがよりシンプルで推奨されます。
正解：A
AWS Configルールは、AWSリソースの構成を継続的に評価する自動化されたコンプライアンスチェックツールです。タグ準拠チェックに最適な理由：
- マネージドルール：
-required-tagsルール：特定のタグが付いているかチェック
- リソースタイプごとに設定可能（EC2、RDS、Redshiftなど） - 継続的評価：リソース作成・変更時に自動的にチェック
- 非準拠リソースを即座に識別：ダッシュボードで可視化
- 自動修復オプション：Systems Manager Automationと統合
- 最小の運用オーバーヘッド：コード不要、GUI設定のみ
他の選択肢について：
B. Cost Explorerはコスト分析用で、タグ付けチェックは主機能ではありません。
C. EC2上での定期実行はインフラ管理と運用オーバーヘッドが大きいです。
D. Lambda + CloudWatchはカスタム実装で、Configより運用オーバーヘッドが大きいです。