SAAセキュアなアーキテクチャの設計
ある大手IT企業のプラットフォームチームは、各開発チームにAWSアカウント内でIAMロールを自由に作成・管理する権限を委任したいと考えています。ただし、開発者が作成するIAMロールが自身に付与された権限を超えた強い権限（AdministratorAccessなど）を持てないよう、権限昇格を防止する必要があります。最小権限の原則を維持しながら開発者の自律性を確保するために最も適切なアプローチはどれですか？
AIAMパーミッションバウンダリーポリシーを作成し、開発者がロールを作成する際にiam:PermissionsBoundary条件でバウンダリーの適用を強制する
✓ 正解
パーミッションバウンダリーを定義したポリシーを使い、ロール作成時にiam:PermissionsBoundary条件で適用を強制することで、開発者が自身の権限を超えたロールを作成できなくなり、権限昇格を防止しながら自律性を確保できます。
BプラットフォームチームがIAMロール作成リクエストをチケットで受け付け、審査・承認後に手動でロールを作成する集中管理モデルを採用する
IAMロール作成をプラットフォームチームに集中させる方法は権限昇格は防げますが、開発者の自律性を損ないボトルネックが生じるため、「開発者に委任しながら昇格を防ぐ」という要件を満たしません。
CAWS OrganizationsのSCPで開発者のOUに強い権限を禁止するポリシーを設定し、アカウントレベルで権限の上限を管理する
SCPはOU・アカウントレベルで権限の上限を設定するサービスコントロールポリシーですが、開発者個人が作成するロールへの権限上限を個別に制御する粒度は持たないため、直接的な権限昇格防止策にはなりません。
DIAMポリシーのNotAction要素を使い開発者が利用不可のアクションを列挙したうえで、残りのアクションを許可するポリシーを付与する
NotActionはポリシー内で特定アクションを除外する要素ですが、開発者が他のエンティティに付与できる権限の上限を制御する仕組みではなく、開発者自身のロール作成時の権限昇格防止には使用できません。
解説
IAMパーミッションバウンダリー（Permission Boundary）は、IAMユーザーまたはロールが持てる権限の最大範囲を定義するマネージドポリシーです。開発者にIAMロール作成権限を委任する際、ロールを作成するポリシーに「iam:PermissionsBoundary条件キーで指定したバウンダリーの適用」を必須条件として設定することで、開発者は自身のバウンダリーを超えた権限を委任できなくなります。この仕組みにより権限昇格（Privilege Escalation）攻撃を防ぎながら、開発者が自律的にIAMロールを管理できる環境を実現できます。
選択肢Bの集中管理モデルは権限昇格を防げますが、IAMロール作成にボトルネックが発生し、開発者の自律性を損なうため「委任しながら昇格を防ぐ」という要件を満たしません。
選択肢CのSCPはアカウントレベルのガードレールとして有効ですが、「どの開発者が作ったロールか」という粒度での権限制御はできず、個人の権限昇格防止の直接手段にはなりません。
選択肢DのNotAction要素は特定のアクションを除外して残りを許可する記述方式であり、開発者が作成するロールに付与できる権限の上限を制御する仕組みではありません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →