DVAセキュリティ
あなたの組織では、開発者が自分のアプリケーション用にIAMロールを自由に作成・管理できるようにしたいと考えています。しかし開発者が自分のIAMポリシーよりも強い権限をロールに付与することで権限昇格（privilege escalation）が起きないよう制限する必要があります。管理者の負荷を最小限に抑えながらこれを実現するための、最も適切なIAMの仕組みはどれですか？
A開発者のIAMユーザーからiam:CreateRoleとiam:AttachRolePolicyを削除し、IAMロール作成を全面禁止する
IAMユーザーからロール作成・ポリシー付与の権限を完全削除すると、開発者は独自にIAMロールを管理できなくなります。すべてのロール作成が管理者依存になり負荷が増大するため、「管理者負荷を最小限に」という要件に反します。
BIAMアクセス許可境界（Permission Boundary）ポリシーを定義し、開発者がロールを作成する際に必ずその境界をアタッチするようSCPで強制する
✓ 正解
IAMアクセス許可境界（Permission Boundary）はIAMエンティティが持てる権限の上限をポリシーで定義する機能です。SCPで境界ポリシーのアタッチを必須化することで、開発者が自律的にロールを作成しつつも自身の権限を超えたロールを作成できないよう予防的に制御できます。
CAWS Configルールを設定して過剰な権限を持つIAMロールが作成されたら自動削除する
AWS Configによる自動削除は、問題のあるロールが作成された後に事後検出・削除を行うリアクティブな制御です。稼働中アプリケーションが依存するロールを削除すると障害が発生する危険があり、予防的な権限昇格防止にはなりません。
DIAM Access Analyzerを有効化して、外部エンティティからのアクセスを許可するポリシーを検出・通知する
IAM Access Analyzerは外部エンティティ（別アカウントや公開リソース）からアクセス可能なリソースを検出するサービスです。同一アカウント内での開発者による権限昇格という内部の問題には対応していません。
解説
IAMアクセス許可境界（Permission Boundary）は、IAMエンティティ（ユーザー・ロール）が持てる権限の上限を定義します。境界ポリシーを超えた権限はアイデンティティポリシーで付与されていても有効になりません。SCPで境界の必須アタッチを強制することで、開発者の自律性を維持しながら権限昇格を防止できます。
選択肢AのCreateRoleとAttachRolePolicyの完全削除は開発者の自律性を完全に損ない、管理者への依存が増大するため「管理者負荷を最小限に」という要件を満たしません。
選択肢CのAWS Config自動削除は事後検出であり予防的制御ではなく、ロールの自動削除は稼働中システムの障害を引き起こす危険があります。
選択肢D IAM Access Analyzerは外部エンティティからのアクセス検出が主目的で、内部の権限昇格防止には対応していません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDVAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →