CLF-C02：AWS Certified Cloud Practitioner セキュリティとコンプライアンス 問24
セキュリティとコンプライアンス／AWS のアクセス管理（IAM・最小権限・ルートユーザー保護）アプリケーションや利用者に対して、長期的なアクセスキーを配布・埋め込む代わりに、必要なときに一時的な認証情報を取得して AWS リソースにアクセスさせたいと考えています。最も適切な仕組みはどれですか。
当サイトのオリジナル問題（CLF-C02：AWS Certified Cloud Practitionerの出題範囲「セキュリティとコンプライアンス」に対応。実際の試験問題ではありません）
- Aルートユーザーのアクセスキーを共有する
- B各ユーザーに恒久的なアクセスキーを発行して設定ファイルに保存する
- CIAM ロールを引き受け（AssumeRole）させ、一時的な認証情報を使わせる
- Dすべてのアクセスをパスワード認証のみで行う
正解：C
解説
IAM ロールを引き受ける（AssumeRole）と、有効期限のある一時的な認証情報が発行され、長期的なアクセスキーの配布・埋め込みを避けられます。これにより鍵の漏えいや管理の負担を減らせます。ルートユーザーの鍵共有や恒久的アクセスキーのファイル保存は漏えいリスクが高く、ベストプラクティスに反します。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。ルートユーザーのアクセスキー共有は極めて危険で、ベストプラクティスで強く非推奨です。
- B誤り。恒久的なアクセスキーをファイルに保存すると漏えいリスクが高く、望ましくありません。
- C正しい。IAM ロールの引き受けにより、有効期限付きの一時認証情報を使え、鍵の配布・埋め込みを避けられます。
- D誤り。パスワード認証のみではプログラムからのアクセスや一時認証情報の利点が得られず、要件に合いません。