SCS-C03：AWS Certified Security - Specialty アイデンティティとアクセス管理 問2
アイデンティティとアクセス管理／認証戦略の設計・実装・トラブルシューティング別の AWS アカウントのアプリケーションに、自アカウントのリソースへのアクセス権を与えます。長期的なアクセスキーを相手に渡さずに実現したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「アイデンティティとアクセス管理」に対応。実際の試験問題ではありません）
- A自アカウントに IAM ユーザーを作り、その長期アクセスキーを相手アカウントへ共有する
- Bクロスアカウントの信頼ポリシーを設定した IAM ロールを用意し、相手に AWS STS の AssumeRole で一時的な認証情報を取得させる
- Cルートユーザーのアクセスキーを相手に渡す
- Dリソースをインターネットに公開して誰でもアクセスできるようにする
正解：B
解説
クロスアカウントアクセスでは、アクセスを許可する側に信頼ポリシー付きの IAM ロールを用意し、相手側に AWS STS の AssumeRole で一時的な認証情報を取得させるのが基本です。長期的なアクセスキーやルートユーザーの認証情報を渡すのは漏えいリスクが高く、リソースの一般公開も不適切です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。長期アクセスキーの共有は漏えい・失効管理の問題があり、推奨されません。
- B正しい。IAM ロール＋STS AssumeRole で、長期キーを渡さず一時的な認証情報で権限を委譲できます。
- C誤り。ルートユーザーのアクセスキーを渡すのは最も危険で、絶対に行いません。
- D誤り。リソースの一般公開は最小権限に反し、要件を満たしません。