1. マルチアカウント戦略のOU構成例

Root
├── Security（セキュリティ集中管理アカウント）
│   └── GuardDuty・CloudTrail・SecurityHub統合
├── Management（管理アカウント）
│   └── Billing・Cost Explorer・Organizations管理
├── Sandbox（開発者学習用）
│   └── 個人ごとのAWSアカウント。削除制限なし
├── Workloads
│   ├── Dev（開発環境）
│   ├── Staging（ステージング環境）
│   └── Prod（本番環境）
│       └── SCPで削除操作を制限
└── Shared Services
    └── ECR・Route53・DirectConnect共有アカウント

2. SCPの実践例

// 東京リージョン以外でのリソース作成を禁止するSCP
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": [
            "ap-northeast-1",  // 東京
            "us-east-1"  // バージニア（グローバルサービス用）
          ]
        }
      }
    }
  ]
}

3. SCPのよく使うユースケース

• 本番アカウントでのRDS削除禁止：「rds:DeleteDBInstance・rds:DeleteDBCluster」をDenyするSCPをProd OUに適用する
• GuardDutyの無効化禁止：「guardduty:DeleteDetector」をDenyしてセキュリティ監視を組織全体で強制する
• 特定のインスタンスタイプ制限：コストコントロールのため「t3.nano〜t3.large以外のEC2は起動禁止」をSandboxアカウントに適用する