理解確認：エンタープライズIDとアクセス制御の全体像

企業では、社員は既存の企業IdPを使って複数のAWSアカウントへアクセスし、EC2上のアプリケーションはAmazon S3へアクセスする。人にもワークロードにも長期アクセスキーを配布したくない。最も適切な組み合わせはどれか。

Amazon EC2上のアプリケーションがAmazon S3からオブジェクトを取得する。アプリケーションへ長期アクセスキーを保存したくない。最も適切なのはどれか。

古い外部ツールがAWS APIへアクセスする必要がある。このツールは一時的な認証情報、フェデレーション、ロールベースの認証情報取得に対応しておらず、固定アクセスキーしか利用できない。最も適切な対応はどれか。

社員は企業IdPによるサインインには成功している。しかしec2:TerminateInstancesを実行するとアクセス拒否になる。主に確認すべき設計領域はどれか。

AWS Lambda 関数がDynamoDBへアクセスしている。現在は関数の環境設定に長期アクセスキーを設定している。改善として最も適切なのはどれか。

アプリケーションにはcompany-reports バケットのオブジェクト取得だけが必要である。現在のポリシーはAction: s3:GetObject、Resource: *である。最も適切な改善はどれか。

特定のS3 バケットへのGetObjectは許可したいが、指定したVPCエンドポイントを経由するリクエストだけに制限したい。アクションとリソースはすでに適切である。追加で主に利用するポリシー要素はどれか。

あるリクエストについて、適用されるポリシーの1つがアクションを許可し、別の適用されるポリシーが同じリクエストを明示的に拒否している。結果として正しいものはどれか。

IAM プリンシパルがあるAWS APIを呼び出した。適用されるポリシーにはそのアクションへの明示的な拒否はないが、許可も存在しない。結果はどれか。

エンタープライズアクセスの基本設計として適切なものを3つ選択してください。

IAMポリシーを最小権限へ近づけるとき、直接評価すべきポリシー要素を3つ選択してください。

AWS Organizations配下の多数のメンバーアカウントについて、長期ルート認証情報を減らしながら、必要な特権操作には対応できるようにしたい。現在のAWSで最も適切な基本方針はどれか。