SAP-C02-062 · 理解確認
理解確認：Least Privilege Identity設計
14問 · 1問ずつ確認
ロールを利用できない外部レガシーツールがAWS APIへ接続する。STS / フェデレーションにも非対応で、固定認証情報が必須である。最も適切な設計はどれか.
B. 既存の社員用IAMユーザーをツールと共有し、認証情報数を減らす
C. ルートユーザーのアクセスキーを専用シークレットとして保管して利用する
D. 全リソースのリソースベースのポリシーから匿名アクセスを許可する
答えと解説
答え：A
一時的な認証情報で代替できない明確な要件がある場合、専用IAMユーザーを限定的に評価します。
Lambda関数が特定S3 プレフィックスを読み取る。固定アクセスキーは禁止である。最も適切な設計はどれか.
B. 複数のLambda関数で共有するワークロードロールへS3全バケットの読み取りを追加し、固定キーだけを排除する
C. Lambda用IAMロールへ対象プレフィックスの読み取りだけを許可し一時的な認証情報を利用する
D. バケットポリシーで同一AWSアカウント内のプリンシパルすべてへ対象バケットの読み取りを許可し、関数側権限を簡略化する
答えと解説
答え：C
ワークロードではロールの一時的な認証情報を利用し、リソース範囲も要件に合わせます。
最小権限を設計するとき、要件から直接絞るべきものを3つ選択してください。
B. ポリシー名の命名ルール
C. 必要なリソース範囲
D. ロール名とアプリケーション名の完全一致
E. 必要な条件
F. AWS マネージドポリシーの採用数
答えと解説
答え：A / C / E
最小権限はアクションだけでなくリソースと条件を含むアクセス範囲全体で判断します。
アプリケーションAはS3 読み取り、アプリケーションBはDynamoDB 書き込みだけを必要とするが、両者がS3 読み取り + DynamoDB 書き込みを持つ同一ロールを共有している。最も適切な改善はどれか.
B. 共有ロールを維持し、セッション有効期間だけを短縮する
C. 共有ロールを維持し、リソース範囲をすべてワイルドカードへ統一する
D. ロールをIAMユーザーへ置き換え、同じ権限セットを維持する
答えと解説
答え：A
異なる権限要件を共有ロールへまとめると不要な権限が横流しされます。
開発者へアプリケーションロール作成を委任したいが、作成されるロールがセキュリティベースラインを超える権限を持つことは禁止したい。最も適切なのはどれか.
B. ロール作成を禁止し、すべてプラットフォームチームが手作業で作成する
C. SCPをアプリケーションロールへ直接アタッチして個別権限を付与する
D. 作成ロールにアクセス許可境界を必須化し、最大権限を制限する
答えと解説
答え：D
委任を維持しながら、作られるIAMエンティティが取得できる最大権限を境界で制限できます。
IAMロールにアクセス許可境界を設定した。境界はS3 読み取りを許容しているが、ロールのアイデンティティベースのポリシーはEC2のDescribeアクションだけを許可している。S3 読み取りについて最も正しい評価はどれか.
B. 境界単体ではS3 読み取りは付与されない
C. 境界を設定するとアイデンティティベースのポリシーは評価されなくなる
D. 境界があるロールはすべてリソースベースのポリシーを無視する
答えと解説
答え：B
アクセス許可境界はアイデンティティベースのポリシーが付与できる最大であり、許可を追加するポリシーではありません。
一時的な認証情報と最小権限について正しいものを3つ選択してください。
B. ワークロードではIAMロールによる一時的な認証情報を基本候補として評価する
C. ロールへAdministratorAccessを付けても一時的なら最小権限になる
D. 認証情報有効期間と権限範囲は別々に設計する
E. 長期認証情報の方が常に権限範囲は狭い
F. 一時セッションでもタスクに不要な権限は制限する
答えと解説
答え：B / D / F
認証情報の有効期限と認可範囲は別問題です。一時セッションでも必要最小限にします。
同一アカウントのS3バケットについて、ロールのアイデンティティベースのポリシーから書き込みを削除した。バケットポリシーにはロールセッション ARNへ書き込み許可が残っている。最も適切な判断はどれか.
B. アクセス許可境界を設定すればリソースポリシーのすべての許可が自動消去される
C. バケットポリシーのプリンシパルと適用対象の拒否を含め、実効アクセスを再評価する
D. バケットポリシーはクロスアカウントリクエストにしか影響しないため無視できる
答えと解説
答え：C
同一アカウントでロールセッション ARNへ直接付与するリソースポリシーはアイデンティティポリシー削除だけでは判断できません。プリンシパル種別と適用対象ポリシーを確認します。
サインイン済みモバイルユーザーが自分専用S3 プレフィックスへAWS APIで直接アップロードする必要があり、アプリケーションへ長期AWS認証情報は保存できない。最も適切なのはどれか.
B. 全ユーザーへ同一IAMユーザーのアクセスキーを配布する
C. S3バケット全体へパブリック書き込みを許可する
D. ユーザープールトークンをIAM アクセスキーとしてS3へ送信する
答えと解説
答え：A
アプリケーションユーザーがAWS APIを直接呼ぶ場合、アイデンティティプールと最小権限ロールによる一時的な認証情報を評価します。
Amazon Cognitoを利用したアプリケーションユーザーアクセスについて正しいものを4つ選択してください。
B. アイデンティティプールはIAMロールに基づく一時的 AWS 認証情報を提供できる
C. ユーザープールを利用する場合はアイデンティティプールも必ず必要である
D. ゲストアクセスを許可する場合はゲストロールの権限を特に狭くする
E. 認証成功後もAWSリソース認可を最小権限で設計する
F. アイデンティティプールを利用すればIAM 権限設計は不要になる
答えと解説
答え：A / B / D / E
ユーザープールとアイデンティティプールは責任が異なります。ゲスト / 認証済みいずれもIAMロールの認可設計が必要です。
組織全体では特定サービスの利用を禁止し、個別開発者が作るアプリケーションロールには別途最大権限を設定したい。最も適切な組み合わせはどれか.
B. セッションポリシーとリソースベースのポリシーで両方を制御する
C. 組織範囲をアクセス許可境界、ロール範囲をSCPで制御する
D. 組織範囲はSCP、ロール最大はアクセス許可境界で制御する
答えと解説
答え：D
SCPとアクセス許可境界は制御する範囲が異なります。
複数用途に使うIAMロールは広めの権限を持つが、今回の一時セッションではS3 読み取りだけに制限したい。最も適切なのはどれか.
B. 一時的にルートユーザーへ切り替えて操作する
C. セッションポリシーなどで、そのセッションが利用できる権限をさらに制限する
D. リソースベースのポリシーですべてのプリンシパルへ同じ権限を許可する
答えと解説
答え：C
セッションポリシーはロールの権限を追加せず、そのセッションで使える範囲をさらに狭めるために利用できます。
最小権限アーキテクチャをレビューするとき、適切な確認を4つ選択してください。
B. リソースベースのポリシーのプリンシパル指定が別のアクセス経路を作っていないか確認する
C. 委任管理でアクセス許可境界が必要か確認する
D. セッションポリシーやSCPなど適用対象のアクセス境界を確認する
E. 一時的な認証情報なら権限レビューを省略する
F. 明示的な拒否を含めプリンシパル / アクション / リソース/ 条件が要件以上に広くないか確認する
答えと解説
答え：B / C / D / F
実効アクセスは複数ポリシー経路の評価結果です。認証情報が一時的でも認可レビューは必要です。
新規アプリケーションではワークロードの固定キーを禁止し、開発者へロール作成を委任するがセキュリティベースライン超過は禁止する。サインイン済みユーザーは自分専用S3 プレフィックスへ直接アップロードする。最も適切なアイデンティティアーキテクチャはどれか.
B. ワークロードは範囲を限定したロール、委任ロールには境界、ユーザーの直接アクセスはアイデンティティプール + 範囲を限定したロールを組み合わせる
C. ワークロード、委任管理者、サインイン済みユーザーへ同一IAMロールを割り当て、セッション有効期間とロールポリシーだけで権限範囲を調整する
D. S3のリソースベースのポリシーをワイルドカードプリンシパルへ広げ、開発者とアプリケーションユーザーの個別IAM設計を不要にする
答えと解説
答え：B
プリンシパルごとに認証情報パターンと権限範囲を分離し、委任には境界、アプリケーションユーザーには一時的な認証情報を使います。