AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. 新規 IAM ロールを各アカウントに追加するためのサービスコントロールポリシー (SCP) を組織内に作成する。

サービスコントロールポリシー (SCP) は、組織のアカウントで使える権限の上限（ガードレール）を定める仕組みです。
SCP はアクションを許可／拒否するだけで、IAM ロールなどのリソースを作成する機能はありません。SCP 自体は誰にも権限を付与せず（付与は各アカウントの IAM ポリシーの役割です）、ロールの展開手段にはなり得ません。

B. AWS CloudFormation 変更セットと、新規 IAM ロールを作成するためのテンプレートを組織に展開する。

変更セット (change set) は、CloudFormation スタックの更新内容を適用前にプレビューする機能にすぎません。
そもそも通常のスタックや変更セットは単一アカウント・単一リージョンが対象で、組織内の多数のアカウントへまとめて展開する仕組みを持ちません。各アカウントで個別に実行する運用となり、要件の「各アカウントへの展開」を効率的に満たせません。

正解

C. AWS CloudFormation StackSets を使用して、新規 IAM ロールを作成するためのテンプレートを各アカウントに展開する。

これが正解です。AWS CloudFormation StackSets は、1 つのテンプレートを複数のアカウント・複数のリージョンへ一括で作成／更新／削除できる機能です。
AWS Organizations と統合されており、OU（組織単位）や組織全体を対象に指定できるほか、自動デプロイを有効にすれば新しく組織へ参加したアカウントにも自動でスタックが展開されます。IAM ロールのような共通リソースを全アカウントへ配る典型的な手段です。

D. AWS Config を使用して、新規 IAM ロールを各アカウントに追加するための組織ルールを作成する。

AWS Config は、リソースの構成を記録・評価（コンプライアンス判定）するサービスです。組織ルール（organization rules）を使えば組織全体へルールを配布できますが、それは「準拠しているかを評価する」ためのもので、IAM ロールを新規作成する機能ではありません。
修復アクション（SSM Automation）と組み合わせれば是正は可能ですが、ロールの初期展開手段としては遠回りで、StackSets の方が直接的かつ適切です。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
AWS Organizations 配下の多数のアカウントが対象	複数アカウントへ一括展開できる仕組みが必要。単一アカウント前提の手段は候補外 →選択肢（B）を消す
新規 IAM ロールを「デプロイ（作成）」したい	求められているのはリソースの作成。制限や評価の仕組みでは代替できない →選択肢（A・D）を消す
各アカウントに同じ構成を配布する	CloudFormation StackSets は 1 テンプレートを複数アカウント／リージョンへ展開できる →選択肢（C）が正解
将来の新規アカウントも見据えた運用	StackSets の自動デプロイで、組織に追加されたアカウントへ自動展開できる →選択肢（C）が正解

ひっかけポイント

• SCP は「組織全体に効くポリシー」という響きから正解に見えるが、できるのは権限の上限設定（拒否）だけ。SCP は IAM ロールを作れないし、単独では権限も与えない
• 「CloudFormation」という単語に釣られて変更セットを選ばないこと。変更セットは更新差分のプレビューであり、複数アカウント展開の機能ではない（複数アカウントは StackSets）
• AWS Config の「組織ルール」も組織全体に配れるが、評価するだけで作成はしない。「配布できる＝リソースを作れる」ではない点が引っかけ
• 選択肢はどれも「組織全体に何かを適用する」響きを持つ。作成（StackSets）／制限（SCP）／評価（Config）の役割分担で切り分ける

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「特定のリージョンでしかリソースを作らせたくない」	SCP（条件付き Deny）が正解軸に。
「全アカウントでS3 バケットの暗号化が有効かを継続的に確認したい」	AWS Config の組織ルール（＋修復アクション）が正解軸に。
「新規アカウント作成時にベースライン構成を自動適用したい」	StackSets の自動デプロイ、または AWS Control Tower のランディングゾーンが正解軸に。
「単一アカウント内で更新前に影響範囲を確認したい」	CloudFormation 変更セットが正解に浮上する。

関連サービスの解説

AWS CloudFormation
AWS Identity and Access Management (AWS IAM)
AWS Organizations