変更要約: SCS-C02 第6章を深掘り（比較表・シナリオ・FAQ・ひっかけ・深掘り段落を各節に追加、図を日本語版に対応）
6.1マルチアカウントのセキュリティ統制
組織規模の統制——AWS Organizations／SCP、Control Tower、委任管理者、集中ログ/セキュリティアカウント、Firewall Manager——を理解します。複数アカウントに一貫したガードレールを課します。
大規模なセキュリティは組織レベルの統制で実現します。Organizations と SCP でガードレールを課し、役割別にアカウントを分けます。
6.1.1組織のセキュリティ統制
- Organizations/SCP：OU 階層に予防的ガードレール（許可の上限）を課す（例: リージョン制限）。
- Control Tower：ランディングゾーンとガードレールを自動構築し、標準化する。
- 委任管理者/専用アカウント：GuardDuty/Security Hub/Config を専用セキュリティアカウントで一元管理。
- Firewall Manager：WAF/Shield/SG ルールを組織横断で一元適用する。
「予防的ガードレール＝SCP（許可の上限・権限付与ではない）」「ランディングゾーン自動化＝Control Tower」「セキュリティサービスの組織一元管理＝委任管理者（専用アカウント）」「ログは専用ログアカウントへ集約」 は SCS-C02 で頻出です。SCP は IAM 許可と両方そろって初めて有効です。
SCS-C02 のマルチアカウント統制は「組織レベルで一貫したガードレールを敷き、セキュリティを集約運用する」ことを問います。AWS Organizations はアカウントを OU に階層化し、SCP（サービスコントロールポリシー）で予防的ガードレール（許可の上限）を課します——SCP は権限を付与せず、Deny で「全アカウントで MFA なし操作を禁止」「許可リージョン以外を禁止」「特定の危険な API を禁止」「ルートユーザーの利用制限」などを強制します。Control Tower は CAF に基づくランディングゾーン（管理/ログアーカイブ/監査アカウント、ネットワーク、SSO）とコントロール（ガードレール）を自動構築し、新規アカウントは Account Factory でベースライン付きで払い出します。セキュリティサービスは委任管理者アカウント（通常は専用のセキュリティ/監査アカウント）に集約し、GuardDuty/Security Hub/Config/Macie/IAM Access Analyzer/Detective を組織全体で一元管理、メンバーアカウントの検出を自動取り込みします。ログは専用のログアーカイブアカウントに CloudTrail 組織証跡や Config を集約し、本番から分離して WORM で保護。ネットワーク/WAF は Firewall Manager で組織横断にポリシーを適用します。多層防御の原則として、SCP（予防）＋ Config/Security Hub（発見）＋自動修復（是正）＋専用アカウント分離（影響局所化）を重ねます。設計の要は、SCP は上限（IAM とのAND）、Control Tower で基盤自動化、委任管理者で集約、ログ/セキュリティを専用アカウントに分離することです。
| 目的 | 手段 | 要点 |
|---|---|---|
| 予防的ガードレール | SCP | 許可の上限・Deny で強制・権限付与でない |
| 基盤の標準化/自動化 | Control Tower | ランディングゾーン・Account Factory |
| セキュリティの組織一元管理 | 委任管理者（専用アカウント） | GuardDuty/Security Hub/Config 等 |
| ログ/ネットワークの統制 | ログアーカイブアカウント / Firewall Manager | 本番分離＋WORM・組織横断ルール |
シナリオ：数十アカウントの組織で、(1) 全社で東京/バージニア以外のリージョンを禁止、(2) セキュリティ検出を一元管理、(3) ログを改ざんから守りたい。→ SCP で aws:RequestedRegion が許可リージョン以外の場合を Deny（予防的ガードレール）。GuardDuty/Security Hub/Config を委任管理者（専用セキュリティアカウント）に集約してメンバーを一元管理。CloudTrail 組織証跡と Config を専用ログアーカイブアカウントの S3 に集約し Object Lock（WORM）で保護。新規アカウントは Control Tower の Account Factory でこれらを自動適用して払い出します。
FAQ：SCP で組織のガードレールを敷けば、各アカウントの権限は自動で付与される？ いいえ。SCP は許可の上限（ガードレール）であって権限を付与しません。実際のアクセスには各アカウントの IAM/リソースポリシーで別途 Allow が必要で、有効権限は「SCP ∩ IAM」です。SCP の主目的は「ここまでしか許さない」という枠を全社に強制すること。基盤の自動展開や新規アカウントのベースライン適用は Control Tower が担います。
ひっかけ：「SCP で Allow を書けば配下アカウントに権限が付く」と考えるのは誤り——SCP は上限で、付与は IAM が行います（SCP ∩ IAM が有効権限）。また、セキュリティログを本番と同じアカウントに置くのは、侵害時に攻撃者が消せるため不適切——専用のログアーカイブアカウント＋WORMで分離保護します。セキュリティサービスをアカウントごとに個別運用するのも非効率で、委任管理者で一元化します。
6.1.2この節のまとめ
- 統制＝Organizations/SCP＋Control Tower
- 一元管理＝委任管理者（専用セキュリティ/ログアカウント）＋Firewall Manager
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 組織内の全アカウントで、特定リージョン以外の利用を技術的に禁止するガードレールを課したい。何を使いますか？
Q2. GuardDuty や Security Hub を、組織全体で専用のセキュリティアカウントから一元管理したい。何を使いますか？
Q3. 多数のアカウントに WAF ルールやセキュリティグループポリシーを一元的に適用・強制したい。何を使いますか？