AWS ソリューションアーキテクト プロフェッショナルマルチアカウント・ガバナンスオリジナル・公式資料照合難易度★★★★☆
Organizationsのメンバーアカウントに、S3の全操作を許可するIAMロールがある。root/OU/アカウントにはFullAWSAccessが適用され、OUに追加したSCPだけがs3:DeleteObjectを明示的にDenyする。アカウント側へ同操作をAllowする別SCPも追加した。結果として正しいのはどれか。
A
後から付けたAllow SCPがOUのDenyを上書きする
SCPは後勝ちではなく、適用される明示的Denyを別のAllowで解除できない。
B
IAMロールがS3全操作を許可しているので削除できる
IAMのAllowは、組織階層で適用されるSCPのDenyを超えられない。
C
当該OU配下のロールによるs3:DeleteObjectは拒否される★ 正解
親OUで適用される明示的Denyがメンバーアカウントを制限する。
D
SCPは管理アカウントだけへ適用されるのでメンバーは影響を受けない
SCPは主にメンバーアカウントを制限し、管理アカウントを制限しない。
解説
複数SCPの許可だけでなく、階層のどこかで適用される明示的Denyを確認する。SCPの上限とIAMの許可の両方を満たす必要がある。
根拠資料・確認情報
対応範囲：SAP-C02 / SAP-C03
資料確認日：2026-10-28
同じレッスンの問題
問題 1
メンバーアカウントに適用するSCPを、Allow ec2:DescribeInstancesだけの1本に置換した。同アカウントのFullAWSAccessは外し、親のroot/OUはFullAWSAccessのまま、対象IAMロールにはAdministratorAccessがある。SCPの上限として許されるのはどれか。
問題 2
AWS Control Tower の主目的はどれか。
問題 3
IAM Identity Center (旧 AWS SSO) の主な役割はどれか。
問題 4
AWS Organizations の「請求の統合 (Consolidated Billing)」のメリットはどれか。