Q1 — 単一選択企業はAWS Organizationsを利用している。アーキテクトは管理アカウントで組織管理を行いながら、同じアカウントへ本番アプリケーションも配置しようとしている。最も適切な設計はどれか。
A. 本番ワークロードを管理アカウントへ残し、VPCだけを分離する
B. 管理アカウントへ本番と開発を集約し、環境タグとIAMロールで論理的に分離する
C. 本番ワークロードを管理アカウントへ残し、アプリケーション用IAMロールだけを分離する
D. 管理アカウントは組織管理に必要な用途へ限定し、本番ワークロードはメンバーアカウントへ配置する
答えと解説
答え:D
管理アカウントは組織全体を管理する特権アカウントです。通常のアプリケーションワークロードはメンバーアカウントへ配置し、管理アカウントのリスクと影響範囲を不必要に広げない設計が適切です。
Q2 — 単一選択AWS OrganizationsでSecurity OUとWorkloads OUを運用している。新しいメンバーアカウントへ両方のOUの制御を適用したいという理由から、同じアカウントを2つのOUへ同時所属させる案が出た。組織階層を設計するときの前提として最も適切なのはどれか。
A. 1つのメンバーアカウントを複数OUへ同時所属させ、各OUの制御を合成する
B. 管理アカウントそのものをルートとして扱い、その配下へメンバーアカウントだけを直接配置する
C. 1つのルートからOUをネストでき、メンバーアカウントはルート直下または1つのOUへ配置して継承関係を設計する
D. OUは1階層だけ利用できるため、異なる制御が必要な場合は別Organizationを作成する
答えと解説
答え:C
AWS Organizationsには1つのルートがあり、OUはネストできます。メンバーアカウントはルート直下または1つのOUへ配置し、必要な制御はOU階層と継承を使って設計します。ルートと管理アカウントは別概念です。
Q3 — 単一選択決済、注文、在庫の本番アカウントは、同じライフサイクルとセキュリティ制御を必要としている。最も適切なOU設計はどれか。
A. 共通制御が必要な本番アカウントとして同じOUへまとめる
B. アカウント作成日ごとにOUを分ける
C. アカウントごとに必ず専用OUを1つ作成する
D. アカウント名の先頭文字ごとにOUを分ける
答えと解説
答え:A
OUはアカウント数や名前ではなく、共通する機能・役割 / 制御要件を持つアカウントをグループ化するために使います。
Q4 — 単一選択企業では部門の統合や名称変更が頻繁に行われる。アーキテクトは現在の組織図をそのまま5階層のOUへ反映しようとしているが、AWS上で実際に異なる制御要件を持つのはセキュリティ、インフラストラクチャ、本番、SDLCだけである。最も適切なOU設計はどれか。
A. 部門のレポートラインを完全再現するため、利用可能な5階層をすべて使う
B. アカウント数が増えるたびに下位OUを追加し、階層を深くする
C. リージョンと可用性ゾーンの数を基準にOUの階層を作る
D. 機能・役割 / 共通制御要件を基準にし、意味のある制御境界だけで必要最小限の階層を作る
答えと解説
答え:D
OUはレポート構造を再現するためではなく、共通制御の範囲を安定して表現するために設計します。利用可能な階層を使い切るのではなく、意味のある境界だけを階層へ残します。
Q5 — 単一選択アーキテクトがルート配下へL1 → L2 → L3 → L4 → L5 → L6というOU階層を設計しようとしている。現在 AWS Organizationsの仕様として最も適切な評価はどれか。
A. ルート配下へ作成できるOUは最大5階層なのでL6は作成できない
B. OUは最大5個までしか作成できないためL6だけでなく6個目のOUは作れない
C. ルートを1階層目として数えるためL5も作成できない
D. OUネストの深さ制限はなく、L6以降も作成できる
答えと解説
答え:A
現在 AWS OrganizationsではOUをルート配下へ最大5階層までネストできます。OU数の上限と階層の深さは別の概念です。
Q6 — 単一選択開発アカウントをSDLC OUから本番OUへ移動する予定である。移動前に最も注意すべきことはどれか。
A. アカウントへ直接アタッチされたOrganizationsポリシーだけが残り、親ポリシーは常に無関係になる
B. 移動先OUと上位階層のチェーンが変わるため、そのアカウントを範囲に含むOrganizationsポリシーが変わり得る
C. 送信元OUのポリシー範囲はアカウント移動後も自動的に維持される
D. 宛先 OUのポリシーはアカウントへ直接コピーされ、以後OUを移動しても固定される
答えと解説
答え:B
アカウントの階層上の位置を変えると、移動先OUからルートまでの親チェーンが変わります。そのため、そのアカウントを範囲に含む組織全体の制御も変わり得ます。
Q7 — 単一選択アーキテクトは「ルート」と「管理アカウント」は同じものだと説明している。最も適切な評価はどれか。
A. 正しい。ルートは管理アカウントへ付与される別名である
B. 正しい。ルートはAWSリソースを所有する特別なAWSアカウントである
C. 誤り。ルートは最上位コンテナで、管理アカウントは組織管理用のAWSアカウントである
D. 誤り。管理アカウントはOUの一種で、ルートの下へ移動できる
答えと解説
答え:C
ルートは階層上のコンテナ、管理アカウントは組織を管理するAWSアカウントです。両者は同じものではありません。