SCS-C03：AWS Certified Security - Specialty アイデンティティとアクセス管理 問5
アイデンティティとアクセス管理／認可戦略の設計・実装・トラブルシューティング自アカウントの S3 バケットや IAM ロールなどのうち、外部のアカウントや一般公開に対してアクセスを許可してしまっているものを洗い出したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「アイデンティティとアクセス管理」に対応。実際の試験問題ではありません）
- AIAM Access Analyzer を使い、リソースポリシーを解析して外部（別アカウント・公開）からアクセス可能なリソースを検出する
- BIAM ポリシーシミュレーターで外部公開リソースの一覧を自動生成する
- CAWS CloudTrail のログを見れば外部公開リソースが自動的に一覧化される
- DAmazon Inspector で外部公開リソースを検出する
正解：A
解説
IAM Access Analyzer は、リソースベースのポリシー（S3 バケットポリシー、IAM ロールの信頼ポリシー等）を解析し、外部（別アカウントや一般公開）からアクセス可能になっているリソースを検出します。ポリシーシミュレーターは与えたポリシーが特定アクションを許可するかを検証するもので外部公開の一覧化はできず、CloudTrail は監査、Inspector は脆弱性スキャンが目的です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。Access Analyzer はポリシー解析により、外部からアクセス可能なリソースを検出します。
- B誤り。ポリシーシミュレーターはポリシーの評価テストが目的で、外部公開リソースの一覧生成はできません。
- C誤り。CloudTrail は API コールの監査記録で、外部公開リソースを自動一覧化するものではありません。
- D誤り。Amazon Inspector は脆弱性スキャンが目的で、外部公開の検出は行いません。