SCSアイデンティティとアクセス管理
あなたの会社はSaaSサービスを提供しており、複数顧客のAWSアカウントでIAMロールをAssumeRoleして各種リソースを管理します。
各顧客は自社AWSアカウントにIAMロールを作成し、あなたの会社のAWSアカウントIDをTrust Policyに設定します。
セキュリティチームから「Confused Deputy（混乱した代理人）攻撃のリスクがある」と指摘されました。
このリスクを最も効果的に軽減する対策はどれですか？
A顧客のIAMロールのTrust Policyに aws:MultiFactorAuthPresent 条件を追加してMFAを必須にする
MFAはサービス間の自動化されたロール引き受けシナリオで適用が困難であり、人間が介在する対話的なアクセスには向きますが、完全自動化には対応できません。
B顧客ごとに一意のExternal IDを生成し、顧客のIAMロールのTrust PolicyのConditionブロックで sts:ExternalId 条件として設定する
✓ 正解
顧客ごとに一意のExternal IDをシークレットとして共有し、AssumeRole時にその値の一致を検証することで、Confused Deputy攻撃による不正なロール引き受けを防止できます。
Cあなたの会社のIAMロールにPermission Boundaryを設定し、顧客リソースへのアクセス範囲に上限を設ける
Permission Boundaryはロール権限の上限を設定する仕組みですが、不正なロール引き受け自体を防ぐメカニズムではなく、信頼性の検証には対応できません。
D顧客のIAMロールにVPCエンドポイント条件を追加し、特定のVPCエンドポイント経由のAssumeRoleのみを許可する
VPCエンドポイント条件はネットワーク接続経路を制限するもので、別顧客のロール不正引き受けを防ぐ直接的な対策にはならず、信頼検証メカニズムが必要です。
解説
Confused Deputy攻撃は、信頼されたSaaSプロバイダーが悪意ある第三者に騙され、別顧客のロールを引き受けてしまうリスクです。顧客ごとに一意のExternal IDをシークレットとして共有し、AssumeRole時にその値の一致を検証することで、不正なロール引き受けを防止できます。
選択肢AのMFAはサービス間の自動化されたロール引き受けシナリオには適用が困難です。
選択肢CのPermission Boundaryは権限の上限を設定しますが、不正なロール引き受け自体を防ぐ仕組みではありません。
選択肢DのVPCエンドポイント制限はネットワーク制御であり、別顧客のロールへの不正アクセスを防ぐ直接的な対策にはなりません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →