セキュリティチームは、組織内のどのアカウントのS3バケット、KMSキー、SQSキューにも、組織外のプリンシパルがアクセスできないようにしたい。
各アカウントの開発者がリソースポリシーを誤って書いても、この制限が必ず効くようにしたい。
最も適切なものを1つ選択してください。
出典AWS非公式・オリジナル問題
ア
IAM Access Analyzerで外部アクセスを検出し、検出されたらLambdaでポリシーを修正する
イ
RCPを組織のルートに適用し、aws:PrincipalOrgID が自組織でないプリンシパルのアクセスを拒否する
ウ
すべてのアカウントにSCPを適用し、aws:PrincipalOrgID が自組織でない場合にS3・KMS・SQSの操作を拒否する
エ
各アカウントのIAMロールにアクセス許可の境界を設定し、外部アカウントへの権限付与を禁止する