SCS-C03：AWS Certified Security - Specialty アイデンティティとアクセス管理 問4
アイデンティティとアクセス管理／認可戦略の設計・実装・トラブルシューティング急速に増える多数のプロジェクトとチームに対し、ロールやポリシーの数を増やし続けずにスケールするアクセス制御を実現したいと考えています。リソースと IAM プリンシパルにタグ（属性）を付けて制御する方針です。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「アイデンティティとアクセス管理」に対応。実際の試験問題ではありません）
- Aプロジェクトとチームの組み合わせごとに個別の IAM ロールを作り続ける
- B全員に共通の広い権限を与えて運用で調整する
- Cアクセスキーをプロジェクトごとに分けて配布する
- D属性ベースのアクセス制御（ABAC）を採用し、プリンシパルとリソースのタグを条件に用いるポリシーで、ロールを増やさずにアクセスを制御する
正解：D
解説
属性ベースのアクセス制御（ABAC）は、IAM プリンシパルとリソースに付けたタグ（属性）を条件にポリシーで評価する方式です。プロジェクトやチームが増えてもロールやポリシーを増やさずに、タグの一致でアクセスを制御できるため、大規模環境でスケールします。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。組み合わせごとにロールを作り続けると管理が爆発し、スケールしません。
- B誤り。全員に広い権限を与えるのは最小権限に反し、危険です。
- C誤り。アクセスキーの配布は漏えいリスクが高く、スケールするアクセス制御になりません。
- D正しい。ABAC はタグ（属性）を条件に用いるため、ロールを増やさずにスケールするアクセス制御を実現できます。