SAA-C03：AWS Certified Solutions Architect - Associate セキュアなアーキテクチャの設計 問10
セキュアなアーキテクチャの設計／AWS リソースへのセキュアなアクセスの設計ある企業で、特定のチームに S3 バケットの読み取りだけを許可し、他の操作やサービスには一切アクセスさせたくない。最小権限の原則に沿った最も適切な方法はどれか。
当サイトのオリジナル問題（SAA-C03：AWS Certified Solutions Architect - Associateの出題範囲「セキュアなアーキテクチャの設計」に対応。実際の試験問題ではありません）
- A必要な S3 の読み取りアクションだけを許可する IAM ポリシーを作成し、そのチームのロール/グループに付与する
- BAdministratorAccess 管理ポリシーを付与する
- Cルートユーザーの認証情報をチームで共有する
- Dすべてのサービスを許可し、S3 以外は使わない運用ルールにする
正解：A
解説
最小権限の原則では、必要な操作（この場合 S3 の読み取りアクション）だけを許可する IAM ポリシーを作成し、対象のロールやグループに付与します。AdministratorAccess は過剰、ルートユーザー共有は重大なリスク、運用ルールだけでは技術的制御になりません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。必要な操作だけを許可するIAMポリシーを付与するのが最小権限です。
- B誤り。AdministratorAccess は全権限で、最小権限に反します。
- C誤り。ルートユーザーの共有は重大なセキュリティリスクで禁止事項です。
- D誤り。運用ルールでの制限は技術的な制御ではなく、最小権限の実装になりません。