第6章 · 管理とセキュリティガバナンス·v2.0.0·更新 2026/6/5·読了目安 約11分
変更要約: SCS-C02 第6章を深掘り（比較表・シナリオ・FAQ・ひっかけ・深掘り段落を各節に追加、図を日本語版に対応）
6.1マルチアカウントのセキュリティ統制
この節の要点
組織規模の統制——AWS Organizations／SCP、Control Tower、委任管理者、集中ログ/セキュリティアカウント、Firewall Manager——を理解します。複数アカウントに一貫したガードレールを課します。
大規模なセキュリティは組織レベルの統制で実現します。Organizations と SCP でガードレールを課し、役割別にアカウントを分けます。
6.1.1組織のセキュリティ統制
- Organizations/SCP：OU 階層に予防的ガードレール（許可の上限）を課す（例: リージョン制限）。
- Control Tower：ランディングゾーンとガードレールを自動構築し、標準化する。
- 委任管理者/専用アカウント：GuardDuty/Security Hub/Config を専用セキュリティアカウントで一元管理。
- Firewall Manager：WAF/Shield/SG ルールを組織横断で一元適用する。
試験ポイント
「予防的ガードレール＝SCP（許可の上限・権限付与ではない）」「ランディングゾーン自動化＝Control Tower」「セキュリティサービスの組織一元管理＝委任管理者（専用アカウント）」「ログは専用ログアカウントへ集約」 は SCS-C02 で頻出です。SCP は IAM 許可と両方そろって初めて有効です。