AWS○×難易度 応用

AWS Organizations のメンバーアカウントで SCP が拒否している操作も、そのアカウントのルートユーザーなら実行できる。

正答

× 誤り

解説

SCP は、適用されたメンバーアカウントのすべての IAM ユーザーとロールに加えて、ルートユーザーにも効く。「ルートユーザーなら何でもできる」と考えて、SCP の拒否をルートで回避しようとするのは誤りで、ルートの認証情報を日常の作業に使うこと自体も避けるべき。SCP が影響しないのは、組織の管理アカウントや、サービスにリンクされたロールなど一部に限られる。SCP による拒否は、エラー文の service control policy という語で見分けられる。必要な操作であれば、組織の管理者に理由を添えて相談する。

参考: docs.aws.amazon.com

scporganizationsroot-user