AWS Organizationsを使えば、複数のAWSアカウントを一元管理できます。その中でも「サービスコントロールポリシー（SCP）」は、組織内のアカウントに対するアクセス制御の要となる機能です。

本記事では、SCPの適用範囲について分かりやすく解説します。

SCPは、組織内のAWSアカウントで許可されるアクションの最大許可範囲（Permissions guardrail）を定義するポリシーです。

SCPはIAMポリシーとは異なり、そのアカウントでIAMポリシーが許可していても、SCPで拒否されていれば実行不可になります。

🔍 ポイント：SCPはルートユーザーにも適用される点が、IAMポリシーとの大きな違いです。

アクションが許可されるには、以下の両方を満たす必要があります：

SCPで許可されている × IAMポリシーで許可されている

つまり、SCPとIAMポリシーの両方で明示的に許可されている必要があり、どちらかで拒否されていれば実行不可になります。

[ Root ]
   └── [ OU A ] ← SCPがアタッチされていれば、配下のアカウントにも適用
         ├── [ Account 1 ]
         └── [ Account 2 ]

たとえば、「OU A」にSCPを設定すれば、Account 1 と Account 2にもそのポリシーが継承されます。

❌ IAMポリシーで制限すれば十分？
→ ルートユーザーにはIAMポリシーを適用できません。SCPが必要です。
❌ SCPを設定すれば自動で制御される？
→ デフォルトでは「FullAWSAccess」というSCPがアタッチされています。不要なサービスを制限するには、これを無効化して独自ポリシーを作成する必要があります。

項目	ポイント
適用単位	OUまたはアカウント
適用範囲	配下のすべてのIAMエンティティ（ユーザー、ロール、ルートユーザー）
継承	上位のOUやRootから自動で継承される
IAMとの違い	IAMポリシーはユーザー単位、SCPはアカウント単位で制御
設定場所のおすすめ	なるべくRootにまとめて設定することで効率的に管理可能