SCS-C03：AWS Certified Security - Specialty アイデンティティとアクセス管理 問1
アイデンティティとアクセス管理／認証戦略の設計・実装・トラブルシューティング多数の AWS アカウントと多数の従業員について、既存の社内 ID プロバイダー（SAML 2.0）を使ったシングルサインオンを実現し、アカウントごとの権限付与を一元的に管理したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「アイデンティティとアクセス管理」に対応。実際の試験問題ではありません）
- AAWS IAM Identity Center を使い、外部 IdP と連携したシングルサインオンと、アカウント横断のアクセス許可（permission set）を一元管理する
- B各アカウントに個別の IAM ユーザーを従業員の人数分作成し、パスワードを配布する
- CAmazon Cognito ユーザープールで従業員の AWS マネジメントコンソールアクセスを管理する
- Dルートユーザーの認証情報を全従業員で共有する
正解：A
解説
AWS IAM Identity Center（旧 AWS SSO）は、外部 ID プロバイダー（SAML 2.0）と連携したシングルサインオンを提供し、permission set を使って複数アカウントへのアクセス許可を一元管理できます。アカウントごとの IAM ユーザー作成は規模に対して破綻し、Cognito はアプリのエンドユーザー向け、ルートユーザーの共有は重大な禁止事項です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。IAM Identity Center は外部 IdP 連携の SSO と、アカウント横断の権限を permission set で一元管理できます。
- B誤り。アカウントごとの IAM ユーザー作成は多数のユーザー・アカウントでは管理が破綻します。
- C誤り。Amazon Cognito はアプリのエンドユーザー向け ID 管理で、従業員のアカウントアクセス管理には適しません。
- D誤り。ルートユーザーの認証情報の共有は重大なセキュリティ違反で、絶対に行いません。