DVA-C02：AWS Certified Developer - Associate アプリケーションのセキュリティ 問10
アプリケーションのセキュリティ／アプリと AWS サービスの認証・認可の実装オンプレミスや他システムのコンポーネントが AWS リソースへアクセスする際に、長期のアクセスキーを配布せず、短期間で失効する一時的な認証情報を使わせたい。利用するサービスはどれか。
当サイトのオリジナル問題（DVA-C02：AWS Certified Developer - Associateの出題範囲「アプリケーションのセキュリティ」に対応。実際の試験問題ではありません）
- A各コンポーネントに IAM ユーザーの長期アクセスキーを配布する
- Bルートユーザーの認証情報を使う
- CAWS STS（Security Token Service。ロールの引き受けで一時的な認証情報を発行する）
- D認証情報をコードに埋め込む
正解：C
解説
AWS STS は、IAM ロールの引き受け（AssumeRole）により、短期間で失効する一時的な認証情報を発行するサービスで、長期キーの配布を避けられます。長期アクセスキーの配布・ルートユーザー使用・コード埋め込みは、いずれも漏えいリスクが高く不適切です。（オンプレミスのサーバーからは AWS IAM Roles Anywhere を使って STS の一時認証情報を取得できます。）
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。長期アクセスキーの配布は漏えいリスクが高く、一時認証情報の要件に反します。
- B誤り。ルートユーザーの使用は重大なリスクで禁止事項です。
- C正しい。一時的な認証情報の発行はAWS STS（AssumeRole）です。
- D誤り。認証情報のコード埋め込みは重大なリスクです。