ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は AWS Organizations 配下の複数アカウントで、プライベートサブネットの EC2 インスタンスから Amazon S3 へゲートウェイ型 VPC エンドポイント経由でアクセスさせている。セキュリティ監査により、インスタンスが侵害され広範な IAM 権限を持つ認証情報が悪用された場合に、組織外（攻撃者所有）の S3 バケットへデータをコピーされる持ち出しリスクが指摘された。要件は、IAM 権限の広さに関わらずネットワークの出口で強制的に、組織が所有するアカウントのバケットへのアクセスのみを許可し、組織外バケットへのアクセスを遮断することである。最も適切な構成はどれか。
Aゲートウェイ型 VPC エンドポイントのポリシーは s3:* を全リソースに許可したままとし、各 EC2 インスタンスにアタッチする IAM ロールのポリシーでアクセス可能なバケットを自社バケットに限定する
エンドポイントを開放したまま IAM ロールに依存する構成は、認証情報が侵害されて広範な権限が悪用される想定を防げない。ネットワーク出口での一律強制にならず、要件の持ち出し遮断を満たせない
BS3 用のインターフェイス型 VPC エンドポイント（PrivateLink）を作成し、エンドポイントのセキュリティグループで送信元を組織の VPC CIDR 範囲に限定してアクセスを制御する
インターフェイス型エンドポイントのセキュリティグループは送信元を制御するのみで、宛先バケットの所有アカウントを判別できない。組織外バケットへの書き込みを遮断できず、持ち出しリスクを解消できない
Cゲートウェイ型 VPC エンドポイントのポリシーに aws:ResourceOrgID 条件キーを用い、リクエスト先バケットの所有アカウントが自組織に属する場合のみ S3 操作を許可する
✓ 正解
VPC エンドポイントポリシーは通過する全リクエストに適用され IAM 権限に依存しない。aws:ResourceOrgID で宛先バケットの所有組織を評価し自組織のみ許可すれば、組織外バケットへの持ち出しを出口で確実に遮断できる
Dゲートウェイ型 VPC エンドポイントのポリシーに aws:SourceVpc 条件キーを用い、当該 VPC からのリクエストのみに S3 操作を許可し、他 VPC からのアクセスを拒否する
aws:SourceVpc はエンドポイントを利用できる送信元 VPC を制限するだけで、宛先バケットの所有アカウントを評価しない。当該 VPC からであれば組織外バケットへのアクセスが許可され、持ち出しを防げない
解説
VPC エンドポイントポリシーはエンドポイントを通過するすべてのリクエストに適用されるため、IAM ロールの権限の広さに関わらずネットワークの出口で一律に制御を強制できる。aws:ResourceOrgID 条件キーはリクエスト対象リソース（バケット）を所有するアカウントが属する Organizations の ID を評価するため、これを自組織 ID に限定すれば、組織外アカウントが所有するバケットへのアクセスを確実に遮断でき、データ持ち出しを防止できる。
選択肢の IAM ロールポリシーによる制限は、認証情報が侵害され広範な権限が悪用される前提を防げず、ネットワーク出口での強制にならない。
選択肢のインターフェイス型エンドポイント + セキュリティグループは送信元（誰がアクセスするか）を制御するのみで、宛先バケットの所有者を判別できないため組織外バケットへの持ち出しを防げない。
選択肢の aws:SourceVpc 条件はエンドポイントを利用できる送信元 VPC を制限するだけで、宛先バケットの所有アカウントを評価しないため、当該 VPC からの組織外バケットへのアクセスは許可されてしまう。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →