DVAセキュリティ
プラットフォームチームはアプリ開発チームに、Lambda関数用のIAMロールを自分で作成できる権限を委任したい。ただし、開発チームが作成するロールが特定の権限範囲を超えないようにし、過剰な権限を持つロールが作成されるリスクを防ぎたい。最小限の管理オーバーヘッドでこの要件を満たすために使うべきIAM機能はどれか？
AAWS OrganizationsのSCP（サービスコントロールポリシー）で開発者アカウント全体を制限する
Organizations単位の粗い制御であり、個別ロールの細かな権限委任には不向きです。
BIAMパーミッションバウンダリーを定義し、開発チームが作成するロールへのアタッチを条件として委任する
✓ 正解
バウンダリーはアタッチポリシーとの論理積で実効権限を制限するため、開発チームが広い権限を設定しても上限を超えられません。
C開発チームの各IAMユーザーにインラインポリシーで明示的なDenyを一括追加する
開発チームが付与ポリシーを変更して回避される可能性があり、確実な権限制御ができません。
DCloudTrailで全ロール作成イベントを監視し、違反時に自動削除するLambdaを構築する
事後的な監視・削除であり、ロール作成時の委任制御には不向きです。
解説
IAMパーミッションバウンダリー（Permission Boundary）はIAMエンティティに付与できる最大権限を定義するマネージドポリシーです。アタッチ済みポリシーとバウンダリーの論理積（AND）が実効権限となるため、開発チームが広い権限を設定しても上限を超えられません。SCPはOrganizations単位の粗い制御であり個別ロールの委任制御には不向きです。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDVAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →