SCS-C03：AWS Certified Security - Specialty アイデンティティとアクセス管理 問6
アイデンティティとアクセス管理／認証戦略の設計・実装・トラブルシューティング重要な操作（本番リソースの削除など）を許可する前に、ユーザーが多要素認証（MFA）で認証済みであることを必須にしたいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「アイデンティティとアクセス管理」に対応。実際の試験問題ではありません）
- AIAM ポリシーの条件に aws:MultiFactorAuthPresent を用い、MFA で認証されていない場合は当該操作を拒否する
- Bパスワードポリシーで必要な文字数を増やせば MFA を強制できる
- Cアクセスキーを定期的にローテーションすれば MFA を強制できる
- Dセキュリティグループで MFA 未認証の通信を拒否する
正解：A
解説
IAM ポリシーの条件キー aws:MultiFactorAuthPresent を用いると、MFA で認証されたセッションかどうかで許可・拒否を分けられます。MFA 未認証のリクエストで重要操作を Deny するポリシーにすれば、MFA を必須化できます。パスワードポリシーやアクセスキーのローテーションは MFA の強制とは別物で、セキュリティグループは認証状態を判別しません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。aws:MultiFactorAuthPresent の条件で、MFA 未認証時に重要操作を拒否して MFA を必須化できます。
- B誤り。パスワードの文字数強化は認証強度の一部ですが、MFA の強制にはなりません。
- C誤り。アクセスキーのローテーションは鍵の衛生管理で、MFA の強制とは無関係です。
- D誤り。セキュリティグループは L3/L4 の通信制御で、MFA の認証状態は判別できません。