あるグローバル企業は、AWS上で数千のIAMユーザーとグループを管理しています。運用チームは以下の要件を満たすソリューションが必要です。 ・特定の管理タスクを実行するための「一時的なアクセス」権限をユーザーに付与できること ・セキュリティ監査のために、誰がいつどのような権限でアクセスしたのかを正確に記録できること ・アクセス権を自動的に無効化できること 最適なソリューションはどれですか。
数千のIAMユーザーを抱える環境では、個別のIAMユーザー/ロール管理はスケーラビリティの面から困難です。AWS Identity Center (AWS SSO) はマルチアカウント環境のアクセスを一元管理するための推奨サービスです。許可セット（Permission Sets）で権限を定義してユーザーに割り当て・失効できます。監査ログはCloudTrailに標準で記録されるため、大規模IAMユーザー環境でセキュリティ要件（監査可能性・自動失効）を満たしながら管理負荷を削減できます。 選択肢AのIAMロールセッションポリシーとSTSフェデレーションは一時的な権限付与として有効ですが、数千ユーザーの一元管理や権限の自動無効化には対応しておらず、大規模運用に向いていません。 選択肢BのIAMグループへのインラインポリシー追加は、作業終了後に手動削除が必要であり、自動失効の要件を満たしません。削除漏れによる権限残留リスクもあり、監査の信頼性が低下します。 選択肢CのEC2インスタンスプロファイルはEC2インスタンスにIAMロールを割り当てる仕組みであり、IAMユーザーへの一時的なアクセス権付与とは目的が根本的に異なります。本要件に対して用途が合いません。 選択肢DのAWS Identity Centerが正解です。許可セットによるアクセス一元管理と、CloudTrailによる詳細な監査ログ記録を実現でき、セキュリティ要件をすべて満たします。