SCS-C03：AWS Certified Security - Specialty アイデンティティとアクセス管理 問12
アイデンティティとアクセス管理／認可戦略の設計・実装・トラブルシューティング一時的に別ロールを引き受けて作業するが、そのセッションの間だけ、引き受けたロールが本来持つ権限よりもさらに狭い権限に絞りたい。最も適した方法はどれか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「アイデンティティとアクセス管理」に対応。実際の試験問題ではありません）
- Aロールの権限ポリシー自体を恒久的に書き換える
- BAssumeRole 時にセッションポリシーを渡し、そのセッションの実効権限をさらに絞り込む
- Cセキュリティグループを変更する
- D新しい IAM ユーザーを作成する
正解：B
解説
STS の AssumeRole 時にセッションポリシーを渡すと、そのセッションの実効権限が「ロールの権限 ∩ セッションポリシー」に絞られ、一時的にさらに狭い権限で作業できます。ロール本体の書き換えは恒久的、セキュリティグループはネットワーク制御、IAMユーザー作成はセッション縮小の手段ではありません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。ロール本体の書き換えは恒久的で、そのセッションだけ絞る要件に合いません。
- B正しい。セッション単位で権限を絞るのはセッションポリシーです。
- C誤り。セキュリティグループはネットワーク制御です。
- D誤り。IAMユーザー新規作成はセッション単位の権限縮小ではありません。