DOPセキュリティとコンプライアンス
あるグローバル企業はAWS Organizationsで50のAWSアカウントを管理しており、現在は各アカウントにIAMユーザーと長期アクセスキーを使用しています。セキュリティチームは以下の要件を満たす集中ID管理を導入したいと考えています：
①既存の企業Active Directoryとの統合、
②開発・ステージング・本番アカウントそれぞれで異なる権限の適用、
③すべてのコンソールおよびCLIアクセスの完全な監査証跡の確保。どの構成が最もこれらの要件を満たしますか？
AAWS IAM Identity Center（旧AWS SSO）をAWS Managed Microsoft ADまたはAD Connectorに接続し、権限セットをアカウントごとに割り当てる。アクセスはCloudTrailに記録される
✓ 正解
AWS IAM Identity CenterはAWS Organizations全体の集中的なID管理を提供し、権限セットでアカウント毎の権限を一元管理でき、すべてのアクセスがCloudTrailに自動記録される最適なソリューションです。
B各アカウントにSAMLプロバイダーとしてActive Directoryを個別に登録し、AssumeRoleWithSAMLで各アカウントのIAMロールを引き受けるよう50アカウント分のフェデレーション設定を個別に構築し維持管理する
50アカウント分のSAML設定を個別に行うのは非常に煩雑で、管理・保守負荷が大きく、権限の一元管理ができません。IAM Identity Centerはこの課題を解決します。
CAWS Control TowerのAccount Factoryで新規アカウントをプロビジョニングし、全開発者に管理アカウントへのIAMフェデレーションアクセスを付与してそこからCross-accountロールを引き受けて各環境へアクセスさせる
管理アカウントへの直接フェデレーションアクセスはセキュリティ上のアンチパターンであり、管理アカウントの最小限アクセス原則に違反し、50アカウント権限の一元管理も実現できません。
DAWS Directory ServiceのSimple ADを各アカウントに個別にデプロイし、アカウントごとにADグループとIAMロールのマッピングを定義して認証を分散管理する
Simple ADを各アカウントにデプロイする分散方式は、管理負荷の増大とコスト増加を招き、Organizations規模での一元管理を実現できないため不適切です。
解説
AWS IAM Identity Centerは、AWS Organizations全体の集中的なID管理を提供するために設計されたサービスです。AWS Managed Microsoft ADまたはAD Connectorで既存ADを統合（要件①）、権限セットで開発/ステージング/本番の異なる権限をアカウントごとに割り当て（要件②）、すべてのサインインとロール引き受けがCloudTrailに記録（要件③）されます。一時認証情報のみが発行され、長期アクセスキーも不要になります。
選択肢B はアカウントごとにSAMLプロバイダーを設定する方法は機能しますが、50アカウント分の個別設定・維持管理が非常に煩雑で、権限の一元管理ができません。IAM Identity Centerはこの課題を解決するために存在します。
選択肢C は管理アカウントへの直接フェデレーションアクセスはセキュリティ上のアンチパターンです。管理アカウントは最小限のアクセスに制限すべきであり、50アカウントへの権限管理も一元化されません。
選択肢D はSimple ADを各アカウントにデプロイする方式は管理の分散・コスト増大を招き、Organizations規模での一元管理を実現できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →