CLF / ドメイン2 セキュリティとコンプライアンス
重要な内容
AWS Organizations
は、複数のAWSアカウントを1つの「組織」としてまとめ、一元的に管理するサービスです。 アカウントの作成やグループ化、組織全体へのポリシー適用、請求の一本化をまとめて行えます。
CLF では、複数アカウントの管理・統制（セキュリティ分野）と、一括請求による（請求分野）の両方の観点で問われます。
Point
- Organizations（オーガニゼーションズ） は「組織」という意味です。
- 「複数のAWSアカウントを1つの組織として束ねるサービス」と覚えます。
- AWS Organizations 自体は追加料金なしで利用できます。
- 和訳
- Organization: 組織、団体
- Weblio英和辞書「organization」
概要
企業では、本番用・開発用・部署ごとなど、目的に応じてAWSアカウントを分けるのがベストプラクティスとされています。 ただし、アカウントが増えると、権限の統制や請求の管理をアカウントごとに行うのは大変です。
を使うと、複数のアカウントを1つの組織にまとめ、次のことができるようになります。
- アカウントを （組織単位）というグループに整理します。
- （サービスコントロールポリシー）で、組織全体やグループ単位の操作制限をかけます。
- 一括請求（Consolidated Billing）で、全アカウントの請求を1つにまとめます。
試験では、「複数アカウント」「一元管理」「請求をまとめる」「組織全体で禁止する」といったキーワードから、Organizations とその機能を選べることが重要です。
主要技術
①マルチアカウント管理の基本（管理アカウント・メンバーアカウント・OU）
組織は、1つの管理アカウントと、複数のメンバーアカウントで構成されます。 アカウントは （組織単位）というグループにまとめて、階層構造で整理できます。
| 要素 | 役割 | 判断ポイント |
|---|---|---|
| 管理アカウント | 組織を作成し、アカウントの招待・作成や支払いを行うアカウントです。 | 組織に1つだけ存在し、全アカウント分の料金を支払います。 |
| メンバーアカウント | 組織に所属する、管理アカウント以外のアカウントです。 | による制限の対象になります。 |
| ルート | 組織階層の頂点となる入れ物です。 | すべての OU とアカウントを含みます。 |
| OU（組織単位） | アカウントをまとめるグループです。 | 部署や環境ごとにまとめて、ポリシーを一括適用します。 |
OU にポリシーを適用すると、その中のアカウントすべてに効果が及びます。 アカウント1つずつに設定するより、管理の手間と設定漏れを減らせます。
Point
- OU = Organizational Unit（組織単位） の略です。
- IAM グループが「ユーザーのまとまり」であるのに対し、OU は「アカウントのまとまり」です。
- 組織階層の頂点は Root（ルート） と呼びます。アカウントの「ルートユーザー」とは別物なので注意します。
- 和訳
- Unit: 単位、まとまり
- Weblio英和辞書「unit」
②SCP（サービスコントロールポリシー） ⚠️ 頻出
は、組織・・アカウントに適用して、メンバーアカウントで実行できる操作の上限を定めるポリシーです。 「アカウントに対する」と表現され、範囲の外に出る操作をまとめて防ぎます。
SCP で最も重要なのは、SCP は許可を与えないという点です。 SCP はできる操作の上限（枠）を定めるだけで、実際に操作を許可するのは各アカウント内の ポリシーです。 実際にできる操作は、SCP で許可された範囲と IAM ポリシーで許可された範囲の重なった部分になります。
| 比較項目 | SCP | 判断ポイント | |
|---|---|---|---|
| 適用先 | 組織・OU・アカウント | ユーザー・グループ・ロール | 「組織全体・アカウント単位」なら SCP です。 |
| 役割 | 操作の上限を定めます（ガードレール）。 | 操作を許可・拒否します。 | 許可を与えられるのは IAM ポリシーだけです。 |
| 許可の付与 | 与えられません。 | 与えられます。 | SCP だけでは何も操作できません。 |
| 対象 | メンバーアカウント内のすべてのユーザーとロール（含む） | アタッチされた対象のみ | SCP はアカウントのルートユーザーにも効きます。 |
⚠️ 頻出: 「組織内のすべてのアカウントで特定のサービスやの利用を禁止したい」という要件は、SCP が答えになります。 IAM ポリシーをアカウントごとに設定する選択肢は、一元管理の要件に合いません。
Point
- SCP = Service Control Policy（サービスコントロールポリシー） の略です。
- Guardrail（ガードレール） は道路の防護柵のことで、「枠から外れないように制限する仕組み」の比喩です。
- 覚え方
- SCP = 上限を定める（Control = 統制）
- IAMポリシー = 許可を与える
- 実際の権限 = SCP と IAM ポリシーの重なり（積集合）
- SCP は管理アカウント自体には効果がありません。効くのはメンバーアカウントだけです。
- 和訳
- Guardrail: ガードレール、防護柵
- Weblio英和辞書「guardrail」
③一括請求（Consolidated Billing） ⚠️ 頻出
一括請求は、組織内のすべてのアカウントの請求を管理アカウントに集約する機能です。 アカウントごとに支払い手続きをする必要がなくなり、組織全体のコストを1か所で把握できます。
| メリット | 内容 | 判断ポイント |
|---|---|---|
| 請求の一本化 | 全アカウント分をまとめた1つの請求書を受け取ります。 | 支払いは管理アカウントが行います。 |
| 使用量の合算によるボリューム割引 | 全アカウントの使用量を合算して段階制の割引を判定します。 | やデータ転送など、使うほど単価が下がる料金で有利になります。 |
| RI・ の割引共有 | あるアカウントで購入した割引を、他のアカウントの使用分にも適用できます。 | 未使用の割引枠を組織内で無駄なく使えます。 |
| 追加料金なし | 一括請求自体は無料で利用できます。 | コスト増なしで導入できます。 |
たとえば、各アカウント単体では割引の条件に届かない使用量でも、組織全体で合算すれば割引が適用される場合があります。 アカウントを分けてもコスト面で不利にならない仕組みです。
⚠️ 頻出: 「複数アカウントの請求をまとめたい」「アカウント間で使用量を合算して割引を受けたい」「の割引を他のアカウントと共有したい」は、いずれも の一括請求が答えになります。
Point
- Consolidated Billing（コンソリデーテッド・ビリング） = 「統合請求」です。
- Consolidate（統合する） + Billing（請求） で「請求をひとまとめにする」と覚えます。
- RI = Reserved Instance（リザーブドインスタンス）、Savings Plans とともに、長期利用の割引を組織内で共有できます。
- 和訳
- Consolidate: 統合する、まとめる
- Weblio英和辞書「consolidate」
④AWS Control Tower
は、ベストプラクティスに沿ったマルチアカウント環境（ランディングゾーン）を自動でセットアップし、統制し続けるサービスです。 や などを内部で組み合わせて動作します。
| サービス | 役割 | 判断ポイント |
|---|---|---|
| AWS Organizations | 複数アカウントの一元管理の土台です。 | アカウントのグループ化、、一括請求が要件のときに選びます。 |
| AWS Control Tower | Organizations を土台に、推奨構成の環境を自動構築・統制します。 | 「新しいマルチアカウント環境を素早く、ベストプラクティスに沿って構築」で選びます。 |
CLF では、Control Tower は「マルチアカウント環境のセットアップと統制を自動化するサービス」と押さえておけば十分です。
Point
- Landing Zone（ランディングゾーン） は「着陸地帯」という意味で、これからAWS利用を広げていくための「整備済みの土台環境」を指します。
- Control Tower は「管制塔」という意味です。複数アカウントという飛行機を管制塔から統制するイメージで覚えます。
- 和訳
- Landing: 着陸
- Weblio英和辞書「landing」
試験対策
CLF の問題では、まず「対象がアカウント1つか、複数か」を確認します。 複数アカウントの管理・統制・請求が話題なら、 とその機能を優先して考えます。
| 問題文のキーワード | 優先して考える機能・サービス | 理由 |
|---|---|---|
| 複数アカウントの請求を1つにまとめる | Organizations の一括請求 | 管理アカウントに請求を集約できます。 |
| 使用量を合算してボリューム割引を受ける | Organizations の一括請求 | 組織全体の使用量で割引を判定します。 |
| RI・ の割引を複数アカウントで共有 | Organizations の一括請求 | 購入した割引を組織内で共有できます。 |
| 組織内の全アカウントで特定サービスを禁止 | アカウントに対するとして上限を定めます。 | |
| 特定の利用を組織全体で制限 | SCP | や組織単位で一括制限できます。 |
| アカウントを部署・環境ごとにグループ化 | OU（組織単位） | OU 単位でポリシーを一括適用できます。 |
| 新しいマルチアカウント環境を素早く構築 | ベストプラクティスに沿った環境を自動セットアップします。 | |
| ユーザーに操作の許可を与える | SCP は許可を与えられません。 | |
| 複数アカウントへのサインインを一元化 | 権限の統制ではなく、 の要件です。 |
よくある誤答のパターンは次のとおりです。
- SCP と ポリシーの混同です。SCP は上限を定めるだけで、許可を与えるのは IAM ポリシーです。
- 「SCP は管理アカウントにも効く」という誤解です。SCP が効くのはメンバーアカウントだけです。
- Organizations と Control Tower の混同です。一元管理の土台が Organizations、その上で環境構築と統制を自動化するのが Control Tower です。