AWS SAAメモ

WAFには国単位のアクセス制限機能であるGeoMatchがある

ネットワークACLとセキュリティグループの違い

S3にはバケットポリシーとして
組織単位（Organization）
リージョン単位
などでアクセス制限できる

Control Tower の強制（Preventive）ガードレールは該当するAPI呼び出し自体を抑止する仕組み。リージョン制限ガードレールを有効化することで、指定外リージョンのリソース作成APIがブロックされる。

Effect：許可、拒否
Action：ゲットとかプットとか
Resource：対象のリソース
Condition：条件

とりあえずDENYが優先されることを覚えとけ
あとは、明示的にDENYされるのを見極める

EventBridgeaから呼び出す時は呼び出される側にリソースベースポリシーを設定する。