DVAセキュリティ
モバイルアプリケーション開発者は、ユーザーがGoogleアカウントでサインインした後に、特定のAmazon S3バケットへ写真を直接アップロードできるように認証・認可基盤を構築しています。ユーザーの管理機能（認証）と、制限付きの動的なAWS IAM一時クレデンシャルの払い出し（認可）を組み合わせる必要があります。どの構成を選択すべきですか。
AAmazon Cognito ユーザープールでGoogleログインを構成し、取得したJWTトークンを使用して直接S3バケットへのアクセス権限を付与する。
Cognito ユーザープールはユーザーの認証とJWTトークンの発行を行いますが、S3リソースへの直接アクセスに必要なAWS IAM一時クレデンシャルは発行できません。
BAmazon Cognito アイデンティティプールで外部プロバイダ連携を構成し、認証済みユーザーに対してIAMロールの一時クレデンシャルを発行する。
✓ 正解
Cognito アイデンティティプールを使用することで、Google認証後のユーザーに対して適切なIAMロールが割り当てられたAWS一時クレデンシャルを発行できます。
CAWS STSのGetSessionToken APIをモバイルアプリから直接呼び出し、IAMユーザーのアクセスキーを使用して一時クレデンシャルを取得する。
モバイルアプリ内に永続的なIAMユーザーのアクセスキーを埋め込むことはセキュリティ上のアンチパターンであり、アクセス漏洩のリスクが高いため不適切です。
DAmazon Cognito ユーザープールとアイデンティティプールを組み合わせ、アイデンティティプールから発行されるアクセスキーを永続化する。
アイデンティティプールが払い出すクレデンシャルは一時的（有効期限付き）なものであり、アプリ側で永続化して利用する設計はセキュリティ要件に反します。
解説
Amazon Cognito アイデンティティプール（IDプール）は、認証済み（CognitoユーザープールやGoogleなどの外部IdentityProvider）または未認証のユーザーに対して、AWSリソースへ直接アクセスするための評価済みIAM一時認証情報（クレデンシャル）を発行するサービスです。一方、ユーザープールはユーザーの登録・ログイン・認証（JWTトークン発行）を担当します。本要件ではS3への直接アクセスに必要なIAM一時クレデンシャルが必要なため、アイデンティティプールを使用するのが適切です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDVAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →