マルチアカウントのAWS Organizations環境で、開発者が各自のアカウント内でIAMロールを自由に作成できる権限を持つが、作成されたロールに付与できる権限はセキュリティチームが定義した上限ポリシーを超えてはなら

Question

マルチアカウントのAWS Organizations環境で、開発者が各自のアカウント内でIAMロールを自由に作成できる権限を持つが、作成されたロールに付与できる権限はセキュリティチームが定義した上限ポリシーを超えてはならない。新規アカウントが Organization に追加された際も管理者による個別設定なしに制御が自動適用される構成として最も適切なものはどれか。

Accepted Answer

正解: Organizations の対象 OU に SCP を適用し、iam:CreateRole 実行時に条件キー iam:PermissionsBoundary で承認済みカスタマー管理ポリシーARNの指定がない場合を Deny するルールを設定する。SCP に iam:PermissionsBoundary 条件を設定して OU に適用すると、新規アカウント追加時も自動で制御が継承される。開発者はロール作成可能だが、承認済み Permission Boundary の付与が必須となり、作成ロールの権限上限を組織全体で強制できる。

Answer

Organizations の対象 OU に SCP を適用し、iam:CreateRole・iam:AttachRolePolicy・iam:PutRolePolicy を一律 Deny し、承認フローを経た管理者のみがロール作成を実行できるよう制限する — SCP で iam:CreateRole を一律 Deny すると開発者がロールを作成できなくなり、自由にロールを作成できるという要件を満たさない。

Answer

各アカウントの管理者がセキュリティチーム定義の上限権限ポリシーを IAM Permission Boundary として作成し、対象アカウントの開発者 IAM ユーザーまたはロールに手動でアタッチして権限上限を定義する — 各アカウントへの手動アタッチは個別設定であり、新規アカウント追加時に自動で制御が適用されないため管理オーバーヘッドが生じ要件を満たさない。

Answer

開発者 IAM ユーザーに Permission Boundary をアタッチし、iam:CreateRole のリソースARNを特定パスプレフィックスに制限するインラインポリシーを各アカウントに個別に設定する — Permission Boundary と ARN プレフィックス制限は作成者の権限を制限するが、作成されたロール自体に境界を強制する仕組みではなく、ロールへの過剰権限付与を防げない。

解説