理解確認：Service Control PolicyによるGovernance

本番OUのSCPではAmazon S3アクションが利用可能になっている。しかし開発者ロールにはAmazon S3を許可するIAM権限がない。開発者がAmazon S3 APIを実行できるか。

メンバーアカウントの管理者ロールにはAdministratorAccessがある。ルートのSCPではec2:DisableEbsEncryptionByDefaultが明示的に拒否されている。結果として最も適切なものはどれか。

許可リスト型SCPを採用し、対象階層ではFullAWSAccessを外している。ルートはEC2とS3、本番OUはEC2のみ、アカウントはEC2とS3を許可している。SCP上利用可能なサービスはどれか。

企業はほとんどのAWSサービス利用を許可するが、本番ではセキュリティ制御を無効化する少数のアクションだけを禁止したい。最も適切なSCP戦略はどれか。

サービスコントロールポリシー（SCP）の適用範囲について正しいものを3つ選択してください。

IAMでs3:DeleteBucketを許可されたアカウントをサンドボックスOUから本番OUへ移動した。本番OUのSCPはs3:DeleteBucketを明示的な拒否している。移動後の結果はどれか。

本番アカウント群だけに共通する厳格なガードレールが必要で、サンドボックスアカウントには同じ制限を適用したくない。アカウント群はそれぞれ本番OUとサンドボックスOUへ整理されている。最も適切な範囲はどれか。

セキュリティ要件として、メンバーアカウントのルートユーザーにも通常のEC2 APIアクションを実行させたくない。SCPについて正しい説明はどれか。

新しいAWS Organizations環境でSCPを導入したいが、現在は一括請求機能だけを利用している。必要な対応はどれか。

本番OUで承認サービスをEC2だけに制限したい。アーキテクトは同じOUにFullAWSAccessを残したまま、別のSCPでEC2だけを許可した。最も適切な評価はどれか。

アーキテクトはAWSサービスがサービスリンクロールの権限で実行する処理そのものをSCPで禁止しようとしている。最も適切な評価はどれか。

企業は既存100アカウントへ新しい厳格なSCPを導入したい。必要な運用を誤って止めるリスクを最小化する方法として最も適切なのはどれか。