SCS-C03：AWS Certified Security - Specialty アイデンティティとアクセス管理 問3
アイデンティティとアクセス管理／認可戦略の設計・実装・トラブルシューティング開発者自身に IAM ロールやユーザーを作成・管理する権限を委譲したいのですが、そのプロセスで開発者が自分や作成物に付与できる最大の権限を制限し、権限昇格を防ぎたいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「アイデンティティとアクセス管理」に対応。実際の試験問題ではありません）
- A開発者に AdministratorAccess を付与し、運用上の注意で権限昇格を防ぐ
- BMFA を必須にすれば権限昇格は防げる
- Cアクセス許可境界（permissions boundary）を用いて、開発者が作成・付与できる IAM エンティティの最大権限の上限を定める
- DAWS CloudTrail でログを取得すれば権限昇格を防げる
正解：C
解説
アクセス許可境界（permissions boundary）は、IAM ユーザーやロールが持ちうる最大権限の上限を定める機能です。開発者に IAM エンティティの作成権限を委譲する際に、作成できるエンティティへ境界の付与を必須にすることで、委譲された範囲を超える権限昇格を防げます。MFA は本人確認、CloudTrail は監査が目的で、いずれも権限の上限を制限するものではありません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。AdministratorAccess の付与はむしろ権限昇格を容易にし、要件と正反対です。
- B誤り。MFA は認証強化であり、付与できる権限の上限を制限するものではありません。
- C正しい。permissions boundary で、委譲された開発者が付与できる最大権限の上限を定められます。
- D誤り。CloudTrail は事後の監査記録で、権限昇格を未然に防ぐ制御ではありません。