SAA-C03：AWS Certified Solutions Architect - Associate セキュアなアーキテクチャの設計 問23
セキュアなアーキテクチャの設計／AWS リソースへのセキュアなアクセスの設計開発チームのリーダーに、自チーム用の IAM ロールやユーザーを作成する権限を委譲したいと考えています。ただし、委譲された本人が、与えられている範囲を超える過剰な権限を自分や新規ロールに付与できないようにしたい。最も適切な仕組みはどれですか。
当サイトのオリジナル問題（SAA-C03：AWS Certified Solutions Architect - Associateの出題範囲「セキュアなアーキテクチャの設計」に対応。実際の試験問題ではありません）
- Aロールの信頼ポリシーで、特定の IP アドレスからのみロールを引き受けられるようにする
- BIAM グループに管理ポリシーをアタッチし、メンバー全員に同じ権限を一律に与える
- CIAM アクセス許可の境界（permissions boundary）を使い、委譲されたプリンシパルが付与・行使できる最大権限を制限する
- DAWS Organizations の SCP だけを使って、個々の IAM ユーザーの権限上限を細かく制御する
正解：C
解説
IAM アクセス許可の境界（permissions boundary）は、エンティティが持てる最大権限の上限を定める機能です。権限委譲の際にこの境界を課すことで、委譲先が境界を超える権限を自分や新規に作るロールへ付与できないようにでき、安全な権限委譲を実現できます。SCP はアカウントや OU 単位のガードレールで個々のユーザー単位の委譲上限管理には向かず、信頼ポリシーの IP 制限やグループ付与はこの要件を満たしません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。信頼ポリシーの IP 制限はロールを引き受けられる条件の制御であり、委譲先が過剰な権限を付与するのを防ぐものではありません。
- B誤り。グループへの一律付与は権限の配布方法であって、委譲先が付与できる権限の上限を制限する仕組みではありません。
- C正しい。permissions boundary は付与・行使できる権限の上限を定めるため、安全な権限委譲に最適です。
- D誤り。SCP はアカウント/OU 単位のガードレールで、特定ユーザーへの権限委譲の上限をきめ細かく課す用途には適しません。