A. 本番 / 開発を別アカウントへ分離し、本番OUへ必要なSCPなどの共通ガードレールを適用する B. 本番と開発を1つのアカウント内の別VPCへ分離し、IAMポリシーで影響範囲を管理する C. AWS Control Towerとアカウントファクトリーを導入し、アカウント追加が少ない環境でもプロビジョニング標準化を前提にする D. 本番 / 開発を別アカウントへ分離するが、共通SCPをOrganizationsルートへ適用して両環境を同じ禁止条件にする
企業はAWS Control Towerで新規プロジェクトアカウントを継続作成し、本番と開発を別OUへ配置する。中央ネットワークアカウントがTransit Gatewayを所有してAWS RAMで各アカウントへ共有し、本番OUではワークロード側によるTransit Gatewayの新規作成・置換を禁止したい。一方で共有済みネットワークの利用は継続させ、監査ログは中央保存する必要がある。適切な設計判断を4つ選択してください。
A. 本番/開発をOUで分離し、本番OUのSCPでは禁止したい管理操作を制限しつつ、共有リソース利用に必要な操作まで一律拒否しない B. 新規アカウントの継続プロビジョニングと標準化にはAWS Control Towerのアカウントファクトリー等を利用する C. Transit Gatewayは中央ネットワークアカウントからAWS RAMで共有し、利用側には必要なIAM権限も付与する。SCPのAllowだけで権限が付与されるとは考えない D. 本番OUへram:*の明示的Denyを設定しても、RAM共有済みTransit Gatewayの関連付けや利用には影響しないとみなす E. CloudTrailの組織の証跡などを使い、監査レコードを専用ログアーカイブへ中央保存する F. SCPでAllowを記述すれば、利用側IAMポリシーに許可がなくても共有リソースを操作できる