SAA-C03：AWS Certified Solutions Architect - Associate セキュアなアーキテクチャの設計 問25
セキュアなアーキテクチャの設計／AWS リソースへのセキュアなアクセスの設計多数のプロジェクトチームが同じ AWS アカウントでリソースを作成します。チームが増えるたびに IAM ポリシーを個別に書き換えずに、各チームが自分たちのタグが付いたリソースだけを操作できるようにしたい。最も適切なアクセス制御の方式はどれですか。
当サイトのオリジナル問題（SAA-C03：AWS Certified Solutions Architect - Associateの出題範囲「セキュアなアーキテクチャの設計」に対応。実際の試験問題ではありません）
- Aリソースとプリンシパルのタグを突き合わせる属性ベースアクセス制御（ABAC）を用い、タグ条件で許可する単一のポリシーを使う
- Bチームごとに個別の IAM ポリシーを作成し、新チームが増えるたびに追記・管理する
- Cすべてのチームに AdministratorAccess ポリシーを付与する
- Dルートユーザーの認証情報を各チームで共有して使う
正解：A
解説
属性ベースアクセス制御（ABAC）は、リクエスト元プリンシパルのタグとリソースのタグを突き合わせて許可を判断する方式です。「自分のチームタグと一致するリソースだけ操作できる」という単一のポリシーで表現できるため、チームが増えてもポリシーを書き換える必要がなく、スケールします。チームごとの個別ポリシー追記（RBAC 的手運用）はスケールせず、Administrator 付与やルートユーザー共有は最小権限に反します。
選択肢ごとの解説
- A正しい。ABAC はタグの一致で許可を判断するため、チームが増えても単一ポリシーのまま運用でき、最小権限を保てます。
- B誤り。チームごとに個別ポリシーを追記する運用はチーム数に比例して管理が増え、スケールしません。
- C誤り。全チームへの Administrator 付与は、自分のリソースだけ操作させたいという最小権限の要件に反します。
- D誤り。ルートユーザーの認証情報の共有は重大なセキュリティリスクで、決して行ってはいけません。