SAP-C02 Q622 · Multi-Account

Question

솔루션 아키텍트는 AWS Organizations에서 조직에 새 AWS 계정을 자동으로 프로비저닝하는 솔루션을 설계하고 있습니다. 솔루션 아키텍트는 조직에 AWS Control Tower를 활성화했습니다. 솔루션은 새 AWS 계정을 생성한 후 보안 제어를 활성화하고 청구 경보와 같은 리소스를 생성해야 합니다. 솔루션은 확장 가능해야 합니다. 운영 오버헤드를 최소화하면서 이러한 요구 사항을 충족하는 솔루션은 무엇입니까?

Accepted Answer

**문제 요구사항 정리:**
1. AWS Organizations + Control Tower 환경에서 새 계정 자동 프로비저닝
2. 계정 생성 후 보안 제어 활성화 + 청구 경보 등 리소스 자동 생성
3. 확장 가능(scalable)해야 함
4. 운영 오버헤드 최소화

**정답 C가 각 요구사항을 충족하는 흐름:**

① **Account Factory + AWS Service Catalog** → Control Tower의 공식 계정 생성 메커니즘. Service Catalog 제품으로 계정을 프로비저닝하면 Control Tower의 가드레일(보안 제어)이 자동 적용됨

② **수명 주기 이벤트(Lifecycle Events)** → Control Tower가 계정 생성 완료 시 `CreateManagedAccount` 이벤트를 EventBridge로 발행. 이를 트리거로 Lambda 함수 자동 호출 가능

③ **Lambda → CloudFormation 배포** → Lambda가 새 계정에 청구 경보 등 커스텀 리소스를 CloudFormation 스택으로 배포

④ **AWSControlTowerExecution 역할** → Control Tower가 멤버 계정에 자동 생성하는 역할. 관리 계정의 Lambda가 이 역할을 AssumeRole하여 멤버 계정에서 CloudFormation 실행 가능

이 패턴은 **이벤트 기반 자동화**로, 계정이 몇 개든 동일한 프로세스가 트리거되므로 확장성이 뛰어나고 수동 개입이 불필요함

📖 해설

✅ 정답 분석

❌ 오답 분석

📘 핵심 개념

🏗️ 아키텍처

⚙️ 운영 관점

🔒 보안 관점

🎯 시험 팁