DEA-C01：AWS Certified Data Engineer - Associate データセキュリティとガバナンス 問1
データセキュリティとガバナンス／認証メカニズムの適用AWS Glue ジョブが Amazon S3 や AWS Glue Data Catalog にアクセスするための認証方式として、最も適切なのはどれですか。
当サイトのオリジナル問題（DEA-C01：AWS Certified Data Engineer - Associateの出題範囲「データセキュリティとガバナンス」に対応。実際の試験問題ではありません）
- Aジョブのスクリプトに IAM ユーザーの長期アクセスキーをハードコードする
- Bルートユーザーの認証情報をジョブに設定する
- CS3 バケットを一般公開してアクセスキーなしで読み書きさせる
- DGlue ジョブに IAM ロール（実行ロール）を割り当て、必要な権限だけを持つ一時的な認証情報でアクセスさせる
正解：D
解説
Glue ジョブなどの AWS サービスには、必要な権限だけを持つ IAM ロール（実行ロール）を割り当て、一時的な認証情報でアクセスさせるのがベストプラクティスです。長期アクセスキーのハードコードやルートユーザーの使用、バケットの一般公開は、漏えい・権限過大のリスクが高く不適切です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。長期アクセスキーのハードコードは漏えいリスクが高く、推奨されません。
- B誤り。ルートユーザーの使用は最小権限に反し、重大なリスクです。
- C誤り。S3 の一般公開は情報漏えいにつながり不適切です。
- D正しい。Glue ジョブに最小権限の IAM 実行ロールを割り当て、一時認証情報でアクセスさせるのが適切です。