SCS-C03：AWS Certified Security - Specialty アイデンティティとアクセス管理 問11
アイデンティティとアクセス管理／認証戦略の設計・実装・トラブルシューティング本番リソースの削除など重要な操作を、ユーザーが多要素認証（MFA）で認証済みの場合に限って許可したい。IAM ポリシーで用いる仕組みはどれか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「アイデンティティとアクセス管理」に対応。実際の試験問題ではありません）
- A条件キー aws:MultiFactorAuthPresent を使い、MFA 認証済みのときだけ許可する条件を付ける
- Bセキュリティグループで MFA を要求する
- CS3 ライフサイクルポリシーで MFA を要求する
- DCloudFront で MFA を要求する
正解：A
解説
IAM ポリシーの条件（Condition）で aws:MultiFactorAuthPresent が true のときだけ重要操作を許可する（または MFA 無しを Deny する）ことで、MFA 認証済みを必須にできます。セキュリティグループ・KMS キーポリシー・CloudFront は、IAM 操作の MFA 条件の仕組みではありません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。MFA認証済みを条件にするのは aws:MultiFactorAuthPresent 条件キーです。
- B誤り。セキュリティグループはネットワーク制御で、MFA条件の仕組みではありません。
- C誤り。S3 ライフサイクルはストレージ管理で、IAM の MFA 条件の仕組みではありません。
- D誤り。CloudFrontは配信で、IAM操作のMFA条件ではありません。