理論

実践

一問道場

選択肢：

A. 制約する必要がある各 AWS サービスについて、明示的な拒否（Deny）ステートメントを作成する。

実際例:

問題点:

• 手間がかかる: 上記の例では、ec2, dynamodb, s3以外の各サービスを個別に拒否していますが、新しいAWSサービスが追加される度に、拒否ステートメントを追加しなければならないため、管理が煩雑です。

• 漏れのリスク: 新たに追加されたサービスに対して、拒否設定を忘れてしまう可能性があります。

D. SCP の末尾にワイルドカード（）を使用した明示的な拒否ステートメントを追加する。

実際例:

問題点:

• 過剰な拒否設定: を使用して全サービスを拒否する場合、ec2, dynamodb, s3以外のサービスを拒否することは確かですが、他の依存関係を持つリソースが許可されない可能性があり、問題が発生する可能性もあります。たとえば、s3を利用するLambda関数やEC2インスタンスなどが問題に直面するかもしれません。

総括と改善案

• A: 手動で個別に拒否を追加する方法は、サービスの追加に対応できるものの、管理が煩雑になり、漏れのリスクが高いです。

• BC は OU 全体 に影響を与える可能性があるため避けた方がよいです。

• D は他のアカウントに影響を与えることなく、特定のアカウントに対して明示的な制限を加える方法として最適です。

• D: ワイルドカードを使用して拒否する方法は簡潔で効果的ですが、他のサービスの依存関係に注意が必要です。