ある大規模製造グループが段階的にAWSへ移行しています。現状：オンプレミスのWindows Server Active Directory（AD）で60,000人のユーザーとグループを管理しており、今後もオンプレミスADを認証のマスターソースとして維持することが必須要件です。AWSには40のアカウントがProduction OU（20アカウント）、Development OU（15アカウント）、Shared Services OU（5アカウント）に分かれています。部門（製造・財務・HR・IT）ごとに対応するアカウント群と権限（AdministratorAccess・PowerUser・ReadOnly）が割り当てられます。実装すべき要件：(1) オンプレミスADを認証ソースとして維持し、ADグループによる権限管理を継続する。(2) 各部門のユーザーは対応するアカウントにのみアクセスでき、役割に応じた権限セットを付与する。(3) AdministratorAccess権限セット使用時には常にMFAを必須とする。(4) ADからユーザーが削除された場合、24時間以内に全AWSアクセスを無効化する。(5) 四半期ごとのアクセス証明レポートを自動生成してコンプライアンスチームに提供する。この要件を満たすために実装すべき設計として正しいものを2つ選択してください。
IAM Identity Center（旧AWS SSO）はAD Connector統合により既存のADグループを40アカウントの権限セットに一元マッピングできる唯一のAWSネイティブ集中IDサービスです。セッション最大時間を24時間以下に設定することで、ADからのユーザー削除後のアクセスを追加実装なしで要件通りに無効化できます。 選択肢B：アカウントごとの個別SAML/ADFS（Active Directory Federation Services）設定が必要で40アカウントへのスケールが非効率です。また各アカウントにAWS Managed Microsoft ADをデプロイする構成はオンプレミスADを認証マスターとして維持する要件とも相反します。 正解：C. IAM Identity CenterのMFA設定を「認証のたびに要求（常時）」に設定して全ユーザーにMFAを強制する。さらにAdministratorAccess権限セットのインラインポリシーに、MFA未実施セッションからのアクセスを拒否する条件（Condition: BoolIfExists: aws:MultiFactorAuthPresent: false → Effect: Deny）を追加することで、この権限セット使用時に確実にMFAが要求される構成とする。全権限セットでMFA「強制登録」モードを有効化し、未登録ユーザーはMFAデバイス登録を完了するまでAWSアクセスが制限される。 Identity CenterのMFA設定はインスタンス全体に適用されるため、ネイティブ設定では権限セット単位のMFA制御はできません。しかしAdministratorAccess権限セットのインラインポリシーにaws:MultiFactorAuthPresentのDeny条件を追加することで、この権限セット使用時にのみMFAを実質必須にできます。 選択肢D：アクセス証明レポートにはAWS Audit ManagerやIdentity Centerの組み込みレポート機能が適切であり、IAM Access Analyzerの未使用アクセス検出とは用途が異なります。 選択肢E：リアルタイム検知は技術的に可能ですが、選択肢Aのセッション最大時間制限のみで「24時間以内に全アクセスを無効化」という要件を満たせるため過剰実装となります。