無限ノック › DVA 練習問題一覧 › 問題DVA セキュリティ
Amazon EKS上のコンテナアプリケーション（ポッド）からAmazon DynamoDBへ安全にアクセスする設計を行っています。AWSのセキュリティベストプラクティスおよび最小権限の原則に従い、アプリケーションコード内に静的な認証情報をハードコードすることなく、必要なポッドにのみ権限を付与する最適なアプローチはどれですか。
A EKSワーカーノードのEC2インスタンスプロファイルに、DynamoDBへのアクセス権限を持つIAMポリシーを追加付与する。
ノードのインスタンスプロファイルに権限を付与すると、同じノード上で実行されている他のすべての無関係なポッドからもDynamoDBへアクセスできてしまうため、最小権限の原則に反します。
B AWS Secrets ManagerにIAMユーザーの長期アクセスキーを保存し、ポッド起動時に環境変数として動的に読み込む。
IAMユーザーの永続的なアクセスキーを発行して利用することは、キーの漏洩リスクや定期的なローテーションの管理負荷が伴うため、AWSのセキュリティベストプラクティスに違反します。
C 専用のIAMユーザーを新規に作成し、コンテナの環境変数や設定ファイル内にアクセスキーをハードコードして参照させる。
コンテナ内部や設定ファイルに静的な認証情報をハードコードするアプローチは、セキュリティインシデントに直結する重大なアンチパターンであり、絶対に避けるべき設計です。
D IAM Roles for Service Accounts (IRSA) を有効化し、ポッドが使用するサービスアカウントにIAMロールを紐付ける。
✓ 正解
IRSAを利用することで、ポッド単位できめ細やかなAWSアクセス権限を安全に付与でき、クレデンシャルの自動ローテーションも行われるためベストプラクティスに合致しています。
解説 Amazon EKS上の特定のポッドに対してAWSサービスへのアクセス権限を付与するベストプラクティスは、「IAM Roles for Service Accounts (IRSA)」を使用することです。IRSAを利用すると、KubernetesのサービスアカウントとAWSのIAMロールをOIDCを通じて紐付けることができます。これにより、ワーカーノード全体に広範な権限を付与するのではなく、特定のポッドにのみ最小権限の原則に基づいたアクセス権限を安全に提供でき、一時クレデンシャルも自動的にローテーションされます。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDVAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →