組織全体の利用可能リージョンを制限する

認証、ネットワーク境界、暗号鍵、監査の役割を分けて考える。

サービスコントロールポリシーで許可リージョンを制限する

SCPは組織・OU・アカウントへ適用し、利用可能な最大権限の境界を定義できる。

各IAMユーザーのインラインポリシーだけを編集する

アカウントごとの設定に依存し、組織全体の一貫したガードレールにならない。

S3バケットポリシーでEC2リージョンを制限する

S3のリソースアクセス制御は、全サービスのリージョン利用制限ではない。

CloudFrontのキャッシュポリシーでAWS APIを拒否する

CloudFrontのキャッシュ設定はAWS API操作の権限を制御しない。

サービスコントロールポリシー

組織・OU・アカウントで利用できる最大権限を制限するポリシー。

SCP

AWS Organizationsで適用するサービスコントロールポリシーの略称。