DVA-C02：AWS Certified Developer - Associate アプリケーションのセキュリティ 問16
アプリケーションのセキュリティ／アプリコードでの機密データの管理S3 上の非公開オブジェクトを、特定の相手だけに一定時間だけダウンロードさせたい。バケットを公開せず、恒久的なIAM権限も渡さずに実現したい。最も適した方法はどれか。
当サイトのオリジナル問題（DVA-C02：AWS Certified Developer - Associateの出題範囲「アプリケーションのセキュリティ」に対応。実際の試験問題ではありません）
- A事前署名付き URL（pre-signed URL。有効期限付きで一時的にオブジェクトへのアクセスを委任する）
- Bバケットを公開（パブリック読み取り）にする
- C相手に管理者権限のIAMユーザーを発行する
- Dオブジェクトを暗号化しないで渡す
正解：A
解説
事前署名付き URL（pre-signed URL）は、権限を持つ発行者が、有効期限付きで特定オブジェクトへのアクセス（ダウンロード/アップロード）を一時的に委任する仕組みで、バケットを公開せず恒久的なIAM権限も渡さずに実現できます。バケット公開・管理者IAMユーザー発行・暗号化の有無は、この要件の手段ではありません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。一時的・限定的なアクセス委任は事前署名付きURLです。
- B誤り。バケットの公開は非公開の要件に反します。
- C誤り。管理者権限のIAMユーザー発行は過剰かつ恒久的で不適切です。
- D誤り。暗号化の有無は一時アクセス委任の手段ではありません。