変更要約: SCS-C02 第6章を深掘り（比較表・シナリオ・FAQ・ひっかけ・深掘り段落を各節に追加、図を日本語版に対応）
6.3運用ガバナンスとコスト/シークレットの統制
運用面の統制——タグ戦略、Trusted Advisor、コスト異常検知、パッチ/構成のコンプライアンス、シークレットの組織管理、バックアップポリシー——を理解します。安全と運用を両立させます。
セキュリティは運用ガバナンスと一体です。タグや自動チェックで一貫性を保ち、異常を早期に捉えます。
6.3.1運用ガバナンス
- タグ戦略：所有者/環境/機密区分で分類し、ポリシー適用やコスト配分に活用する。
- Trusted Advisor：セキュリティ/コスト/耐障害性のベストプラクティスをチェックする。
- コスト異常検知：不審な使用量急増（侵害の兆候になり得る）を検知する。
- シークレットの組織管理/バックアップ：Secrets Manager のクロスアカウント共有、AWS Backup の一元ポリシー。
「分類/コスト配分/ポリシー適用＝タグ戦略」「ベストプラクティスチェック＝Trusted Advisor」「使用量の異常＝コスト異常検知（侵害兆候にも）」「パッチ/構成の維持＝Systems Manager」 は SCS-C02 で頻出です。タグはセキュリティ（ABAC：属性ベースアクセス制御）にも使えます。
SCS-C02 の運用ガバナンスは「セキュリティと運用を一体で回し、属性で統制する」ことを問います。タグ戦略は、所有者・環境・機密区分・コストセンターなどを一貫したキーで付与し、コスト配分、Config/SCP によるタグ強制（必須タグ）、そして ABAC（属性ベースアクセス制御）——aws:PrincipalTag と aws:ResourceTag を条件で突き合わせ「同じ部門タグなら許可」のようにスケーラブルに権限管理——に活用します。RBAC（ロール単位）に対し、ABAC はタグで動的に制御でき、リソース増加に強いのが特徴です。Trusted Advisor はセキュリティ（公開ポート、ルート MFA、IAM の使用状況等）・コスト・耐障害性・サービス上限のベストプラクティスを横断チェックします。コスト異常検知は機械学習で異常な使用量急増を検知し、これは予算超過だけでなく侵害（暗号通貨マイニング等）の兆候にもなります。Systems Manager は State Manager/Patch Manager でパッチ・構成のコンプライアンスを維持し、Inventory で資産を可視化。シークレットは Secrets Manager のクロスアカウント共有/自動ローテーション、バックアップは AWS Backup の組織ポリシー＋別アカウント保護で統制します。設計の要は、タグ戦略（ABAC 含む）を軸に、Trusted Advisor/コスト異常検知/Systems Manager で運用とセキュリティを継続的に統制することです。
| 目的 | 手段 | 要点 |
|---|---|---|
| 分類・権限・コスト配分 | タグ戦略（ABAC） | 必須タグ強制・属性で動的制御 |
| ベストプラクティス点検 | Trusted Advisor | セキュリティ/コスト/耐障害性/上限 |
| 異常な使用量の検知 | コスト異常検知 | 予算超過＋侵害の兆候 |
| パッチ/構成の維持 | Systems Manager | State/Patch Manager・Inventory |
シナリオ：部門ごとにリソースのアクセスを分け、リソースが増えてもポリシーを増やさず管理したい。さらに侵害の早期兆候も捉えたい。→ リソースとプリンシパルに部門タグを付け、ABAC（aws:PrincipalTag/Department と aws:ResourceTag/Department の一致を条件に Allow）で動的にアクセス制御（ロール数を増やさずスケール）。コスト異常検知で不審な使用量急増（マイニング等の侵害兆候）を検知し、Trusted Advisor で公開ポートやルート MFA 未設定を点検、Systems Manager でパッチ準拠を維持します。
FAQ：RBAC と ABAC はどう違う？ RBAC はロール（職務）ごとに権限を割り当てる方式で、明快ですがリソース/チームが増えるとロールが増えがちです。ABAC はタグ等の属性を条件にして動的にアクセスを判断する方式（例: プリンシパルとリソースの部門タグが一致すれば許可）で、リソースが増えてもポリシーを増やさずスケールします。大規模なマルチチーム環境では ABAC が有効です。
ひっかけ：コスト異常検知を「単なる請求アラート」と捉えるのは浅い——使用量の急増は侵害（不正なリソース起動・マイニング）の兆候にもなり、セキュリティ監視としても有効です。また、リソースが増えるたびにロールを増やす RBAC 一辺倒は管理が破綻しやすく、タグベースの ABAC でスケーラブルに権限管理するのが大規模環境の定石です。必須タグは Config/SCP で強制します。
6.3.2この節のまとめ
- 統制＝タグ戦略（ABAC 含む）＋Trusted Advisor
- 検知/維持＝コスト異常検知＋Systems Manager（パッチ/構成）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. リソースを所有者・環境・機密区分で分類し、ポリシー適用やコスト配分に使いたい。何を使いますか？
Q2. 通常と異なる使用量の急増（侵害の兆候になり得る）を自動で検知したい。何を使いますか？
Q3. タグの値（例: 部門）に基づいてアクセスを動的に制御したい。この方式は何と呼ばれますか？