ある組織では、AWS Organizations を使用して数百の AWS アカウントを一元的に管理しています。現在、製品チームは自分たちのアカウントで S3 アクセスポイントを作成および管理しています。すべての S3 アクセスポイントは、VPC からのみアクセス可能である必要があります (インターネットアクセスなし)。組織全体でこの要件を適用するための最も運用効率の高い方法は何ですか？

正解は、組織のルートでサービスコントロールポリシー (SCP) を作成することです。SCPは、AWS Organizations内のすべてのアカウントにわたって、許可されるアクションの最大権限を設定する効果的な方法です。この場合、s3:AccessPointNetworkOrigin 条件キーを使用して、VPC以外のネットワークオリジンを持つS3アクセスポイントの作成を拒否することで、組織全体で一貫したセキュリティ要件を強制できます。 他の選択肢は不適切です。 S3アクセスポイントリソースポリシーは、個々のアクセスポイントに適用されるため、組織全体にわたる一貫した強制には運用効率が悪いです。 AWS CloudFormation StackSetsは、IAMポリシーをデプロイできますが、SCPの方がより上位レベルで強制力があり、アカウントの作成時にも自動的に適用されるため、運用効率が高いです。 S3バケットポリシーは、バケットへのアクセスを制御しますが、S3アクセスポイントの作成自体を制御するものではありません。