Q1 — 単一選択企業はIAMロールの未使用アクセスを30日間の追跡期間で分析した。四半期末にだけ実行する処理に必要なアクセス許可も未使用として検出された。最も適切な対応はどれか。
A. 未使用として検出されたアクセス許可をすべて即時削除する
B. 四半期処理の権限だけAdministratorAccessへ変更する
C. 業務サイクルを含む追跡期間で再評価し、必要性を確認してから削減する
D. IAM Access Analyzerを停止し、ポリシー名だけで不要権限を判断する
答えと解説
答え：C
未使用アクセスは削減候補ですが、未使用であることだけでは不要とは確定できません。定期処理などを含む観測期間と業務要件を確認します。
Q2 — 単一選択既存IAMロールにはS3、DynamoDB、EC2へのアクセス許可がある。180日間の利用実績と現在の業務要件を確認すると、S3アクセスだけが必要で、DynamoDBとEC2は使用されていない。最も適切な改善はどれか。
A. IAMロール自体を削除し、アプリケーションを匿名アクセスへ変更する
B. 必要なS3権限を維持し、DynamoDBとEC2の不要権限を段階的に削減する
C. 未使用権限が再び必要になる可能性があるため現在の権限をすべて維持する
D. 権限は維持したままIAMロールの最大セッション時間だけ短縮する
答えと解説
答え：B
現在の業務に必要な権限を残し、不要と確認できた権限を削減します。
Q3 — 単一選択広いアクセス許可を持つIAMロールについて、IAM Access AnalyzerでCloudTrailアクティビティに基づくポリシーを生成した。生成されたポリシーの扱いとして最も適切なものはどれか。
A. 生成結果は将来必要なすべての操作を保証するため、そのまま現在のポリシーと置き換える
B. 生成結果へAdministratorAccessを追加し、観測されなかった操作にも対応する
C. 現在の広いポリシーを残し、生成結果はポリシー名の参考だけにする
D. 生成結果を出発点に、業務要件・リソース範囲・条件を確認してから縮小ポリシーを作る
答えと解説
答え：D
ポリシー生成は観測されたアクセスアクティビティを基にしたテンプレートです。業務上必要な処理やリソース、条件を確認して調整します。
Q4 — 単一選択アプリケーションは現在、S3オブジェクトの読み取りだけを必要としている。しかし過去のテスト処理によって s3:PutObject が実際に使用された記録が残っている。最小権限監査として最も適切な判断はどれか。
A. 現在の業務要件で書き込みが不要なら、使用実績だけを理由に維持せず削減を評価する
B. 一度でも使用されたアクセス許可は将来も必須なので必ず維持する
C. 使用実績があるアクセス許可はIAM Access Analyzerの監査対象外とする
D. 読み取り権限も削除し、必要になった操作だけ都度追加する
答えと解説
答え：A
利用実績は重要な証拠ですが、最小権限の基準は現在の正当な業務要件です。過去に使われた権限でも現在不要なら削減候補になります。
Q5 — 単一選択IAMロールへ広いAWSマネージドポリシーがアタッチされている。監査後、必要なアクセス許可だけを持つカスタマーマネージドポリシーを新しく作成してアタッチしたが、元の広いポリシーも残っている。最も適切な対応はどれか。
A. 狭いポリシーを追加済みなので、広いポリシーが残っていても最小権限になっている
B. 広いポリシーを残し、狭いポリシーには明示的な拒否を大量に追加する
C. 必要操作を検証した後、不要になった広いポリシーを外して実際の権限を再確認する
D. 新しいポリシーを削除し、元のAWSマネージドポリシーだけへ戻す
答えと解説
答え：C
狭いポリシーを追加しても、広いアクセス許可が残っていれば権限縮小は完了していません。