DVAセキュリティ
ある企業では、開発者チームが自分たちのLambda関数用に必要なIAMロールを自ら作成・管理できるようにしたいと考えています。一方で、開発者が意図せずAdministratorAccessなど過剰な権限を持つロールを作成することを防ぐ必要があります。最小限の運用負荷で要件を満たす実装はどれですか？
A開発者のIAMユーザーにAdministratorAccessポリシーを付与し、コードレビューで権限設定を都度確認・修正するプロセスを設ける
AdministratorAccessの付与は最大権限を与えるものであり、コードレビューは事後的な確認にすぎないため、過剰な権限を持つロールの作成を事前に技術的に防ぐことができません。
BIAMアクセス許可の境界（Permissions Boundary）を使用し、ロール作成時にConditionで特定のBoundaryポリシーARNの付与を必須化する
✓ 正解
Permissions BoundaryをConditionで必須化することで、開発者はBoundary内の範囲で自律的にロールを作成でき、Boundary外の過剰な権限行使をIAMポリシーレベルで技術的に防止できます。
CAWS OrganizationsのSCP（サービスコントロールポリシー）のみを使用し、すべてのIAM操作をアカウントレベルで一律に制限する
SCPはOU・アカウントレベルでの粗い権限制御に向いており、特定のBoundaryポリシー付与を条件としたロール作成制御のような細粒度の要件には対応できません。
D開発者からIAMロール作成権限を完全に剥奪し、プラットフォームチームへのチケット申請フローを通じてロールを代理作成する
チケット申請制は過剰権限ロールの作成を防ぐ効果はありますが、開発者が自らIAMロールを作成・管理するセルフサービスという要件を満たせません。
解説
IAMアクセス許可の境界（Permissions Boundary）は、IAMエンティティ（ユーザー・ロール）が実際に行使できる権限の上限を定めます。開発者のIAMポリシーにiam:CreateRoleを許可しつつ、Conditionでiam:PermissionsBoundaryキーに特定のポリシーARNを必須指定することで、Boundaryなしのロール作成を拒否できます。これにより開発者はBoundary内で自律的にロールを作成でき、プラットフォームチームの承認不要でセルフサービスが実現します。
選択肢A（AdministratorAccess + コードレビュー）では事後的な確認となり、既に過剰な権限を持つロールが作成されているため防止できない。
選択肢C（AWS Organizations SCP のみ）はOU・アカウントレベルの粗い制御に向いており、個別ロール作成の細かい制御には不向き。
選択肢D（チケット申請制）ではセルフサービスプロビジョニングの要件を満たせない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDVAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →