거버넌스 천장(SCP), 베이스라인 자동화(Control Tower), 증거 수집(Audit Manager)을 갖췄다면, 남은 것은 일상 운영이다. 수백 개 계정에 방화벽 정책을 일관되게 깔고, 태그·비용을 통제하고, 새 계정이 태어날 때마다 보안 도구가 자동으로 켜지게 하는 운영 평면이다. 이 날의 핵심은 AWS Firewall Manager(중앙 방화벽 정책 배포), 태그·비용 거버넌스, 그리고 보안 베이스라인 자동화다.
세 주제를 관통하는 한 문장이 있다. "정책은 한 번 선언하고, 시스템이 계속 수렴시킨다." Day 1의 SCP가 할 수 없는 것을 정의했다면, 오늘의 도구들은 반드시 있어야 하는 것을 계속 유지시킨다. 전자는 경계, 후자는 수렴이다. 시험 보기에서 "차단해야 하는가, 아니면 자동으로 붙여 줘야 하는가"를 먼저 가르는 것이 정답으로 가는 첫 갈림길이다.
WAF·Shield·Security Group·Network Firewall·Route 53 Resolver DNS Firewall를 계정마다 손으로 설정하면 누락과 드리프트가 불가피하다. **Firewall Manager(FMS)**는 조직 전역에 방화벽 정책을 한 번 정의해 자동 배포·강제하는 서비스다.
전제 조건이 중요하다(시험 단골): 1