無限ノック › SCS 練習問題一覧 › 問題SCS インシデント対応
ある企業では、SAMLフェデレーションを使用してオンプレミスのIdPからAWSのIAMロールをAssumeRoleWithSAMLで取得するCI/CDパイプラインを運用しています。最大12時間のセッション時間が設定されているこのロールの一時的な認証情報（アクセスキーID・シークレットアクセスキー・セッショントークン）が、パブリックなGitHubリポジトリに誤ってコミットされ、流出から8時間後に検知しました。コミットはすでに削除しましたが認証情報はまだ有効です。新規にAssumeRoleするユーザーの業務を継続させながら、漏洩した既存の認証情報を即座に無効化する方法として最も適切なものはどれですか？
A IAMロールに現在時刻より前に発行された全トークンを拒否するDenyポリシー（aws:TokenIssueTime条件）をアタッチし、漏洩した既存セッションを無効化しながら新規セッションは許可し続ける
✓ 正解
aws:TokenIssueTime条件キーを使うことで、特定時刻より前に発行されたトークンのみを拒否し、その後に発行される新しいセッションには影響を与えません。IAMコンソールの「アクティブなセッションを取り消す」機能と同等の動作で、業務継続と漏洩対応の両立が可能です。
B 侵害されたIAMロールにすべてのAWS APIアクションを明示的に拒否するインラインDenyポリシーをアタッチし、インシデント対応が完了したら当該ポリシーを削除して正規ユーザーのAssumeRoleを再開させる
全アクションを拒否するインラインDenyポリシーは漏洩した認証情報を無効化しますが、その後に正規ユーザーがAssumeRoleWithSAMLで取得した新しいセッションも同様にブロックされます。「新規セッションを継続させながら」という要件を満たせないため不正解です。
C 侵害されたロールの信頼ポリシーに承認済みIPアドレス範囲に限定するaws:SourceIp条件を追加して、既知の内部ネットワーク以外からのAssumeRoleWithSAMLをブロックする
aws:SourceIp条件を信頼ポリシーに追加しても、それはAssumeRoleWithSAMLの呼び出し時点のIPチェックにのみ影響します。すでに発行済みのSTS一時認証情報には遡及的な制限を課せないため、漏洩した認証情報が外部から使用されても停止できません。
D AWS IAM Identity Centerのセッションタイムアウトを最短値に変更してすべてのSSOセッションを強制失効させ、その後に元のタイムアウト設定に戻してCI/CDパイプラインを再起動する
IAM Identity CenterはSSO経由のセッション管理を行うサービスですが、SAMLフェデレーションを使用してAssumeRoleWithSAMLで直接発行されたSTS一時認証情報とは独立して動作します。Identity Centerのセッション設定変更はSAML発行のSTS認証情報に影響を与えません。
解説 aws:TokenIssueTime条件キーを含むDenyポリシーはIAMコンソールの「アクティブなセッションを取り消す」機能の実装です。このポリシーは以下の仕組みで動作します。
①Effect:Deny・Action:*のポリシーに「DateLessThan: aws:TokenIssueTime: [現在時刻]」の条件を設定する
②このポリシーをIAMロールにアタッチする
これにより現在時刻より前に発行された一時認証情報からのAPIコールがすべて拒否されます。一方、その後に新規発行されるトークンはTokenIssueTimeが条件値より大きいため拒否されず、正規ユーザーの業務継続が可能です。
選択肢BのインラインDenyポリシーは条件キーなしで全アクションを拒否するため、漏洩した認証情報だけでなく正規ユーザーが新規取得したセッションも含めてすべてをブロックし、業務継続要件を満たせません。
選択肢Cのaws:SourceIp条件は、AssumeRoleWithSAMLの呼び出し元IPを制限しますが、すでに発行済みの一時認証情報には遡及適用されず、外部から漏洩した認証情報の不正使用を止められません。
選択肢DのIAM Identity Centerのセッションタイムアウト変更は、SSO経由のセッション管理に影響しますが、AssumeRoleWithSAMLで直接発行されたSTS一時認証情報には影響しません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →