SCS-C03：AWS Certified Security - Specialty アイデンティティとアクセス管理 問7
アイデンティティとアクセス管理／認可戦略の設計・実装・トラブルシューティングオンプレミスのサーバーで動くアプリに、長期の IAM アクセスキーを配布せず、既存の X.509 証明書（PKI）を使って AWS の一時的な認証情報を取得させたい。最も適したサービスはどれか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「アイデンティティとアクセス管理」に対応。実際の試験問題ではありません）
- AAWS IAM Roles Anywhere（X.509 証明書で信頼を確立し、一時認証情報を取得させる）
- B各サーバーに IAM ユーザーの長期アクセスキーを配布する
- Cルートユーザーの認証情報を使う
- DEC2 インスタンスプロファイルを割り当てる
正解：A
解説
AWS IAM Roles Anywhere は、オンプレミスなど AWS 外のワークロードが、既存の X.509 証明書（PKI）で信頼を確立し、STS から一時的な認証情報を取得できるサービスです。長期キー配布・ルートユーザー使用は不適切、EC2 インスタンスプロファイルは EC2 向けで AWS 外のサーバーには使えません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。オンプレの証明書ベースで一時認証情報を得るのは IAM Roles Anywhere です。
- B誤り。長期キーの配布は漏えいリスクが高く要件に反します。
- C誤り。ルートユーザーの使用は重大なリスクで禁止です。
- D誤り。インスタンスプロファイルはEC2向けで、オンプレのサーバーには使えません。