SCS-C03 練習問題 9

ある会社が AWS Organizations を使って、Production、Development、Testing の 3 つのワークロード OU から成る組織を管理しています。会社は AWS CloudFormation テンプレートを使って、これらの OU に属する AWS アカウント内のワークロードインフラを定義・デプロイしています。各ワークロード OU には、それぞれ異なる SCP がアタッチされています。 会社は、Development OU と Testing OU のワークロードに対して CloudFormation スタックの更新を正常にデプロイできました。しかし、同じ CloudFormation テンプレートを使って Production OU 内のアカウントでスタック更新をデプロイしようとすると、更新が失敗します。エラーメッセージは IAM 権限が不足していることを報告しています。 セキュリティエンジニアがこの問題をトラブルシューティングするために最初に取るべきステップはどれですか？

【正解】A

【0からの解説】
問われているのは「最初（FIRST）に取るべきトラブルシューティングのステップ」です。トラブルシュートの基本は、いきなり構成を変更するのではなく、まず事実（どの API がなぜ失敗したか）を調べて根本原因を切り分けることです。

同じテンプレートが Development／Testing では成功し Production だけ失敗していること、エラーが「IAM 権限不足」であることから、原因は Production 固有の権限要因（SCP による拒否、または CloudFormation 実行ロールの権限不足）のどちらかと推測できます。これを切り分けるには、AWS CloudTrail ログを確認し、どの API 呼び出しが・どのプリンシパルで・どんな理由（明示的 Deny など）で失敗したかを見るのが最短かつ安全な第一歩です。CloudTrail のエラーメッセージには SCP による拒否か IAM 権限不足かを判別する手がかり（errorCode/errorMessage）が含まれます。

【誤りの選択肢】
B：原因確認の前に本番（Production）の SCP をすべて削除するのは、セキュリティガードレールを外す危険な操作で、本番環境では特に避けるべきです。「最初のステップ」として不適切です。
C：実行ロールの権限確認は有効な調査ですが、原因が SCP の拒否である可能性も同等にあります。まず CloudTrail で「どの API がなぜ失敗したか」を見れば、ロール権限の問題か SCP の問題かを一度に切り分けられるため、A の方が「最初の」ステップとして適切です。
D：Production の SCP を Testing と同じにするのは、確認前にガードレールを弱める変更であり、根本原因の特定にもなりません。本番のセキュリティ要件を損なうため不適切です。

【参考】
CloudTrail を使ったトラブルシューティング
SCP の評価とトラブルシューティング