組織の外へのデータの持ち出しの防止

正解は イ です。 SCPは組織の中のプリンシパル の権限の上限で、外部のプリンシパルには効きません。資源側の上限は RCP(リソースコントロールポリシー) で設定します。 ポリシー 制限する対象 SCP 組織の中のプリンシパル(IAMユーザー・ロール) RCP 組織の中の資源へのアクセス(外部のプリンシパルを含む) SCPは組織の外のプリンシパルを制限できない。 全てのバケットに、組織の外からのアクセスの上限を一括で設定できる。 漏れと遅れが出る。 ACLは非推奨で、拒否の一括設定にならない。

組織の全てのS3バケットについて、組織の外のプリンシパルからのアクセスを一律に拒否したい。各バケットのポリシーを個別に直すのは避けたい。

最も適切なものを1つ選択してください。

出典AWS非公式・オリジナル問題
ア
SCPで外部を拒否する
イ
RCPで、組織の外のプリンシパルを拒否する
ウ
全てのバケットのポリシーを、担当者が毎月確認して手作業で直す
エ
全てのバケットでACLを有効にして、組織の外のアカウントを個別に指定する