無限ノック › SCS 練習問題一覧 › 問題SCS セキュリティの基盤とガバナンス
ある企業のプラットフォームチームは、開発者がセルフサービスで承認済みのインフラ（VPC構成やEC2など）をデプロイできるようにしつつ、デプロイ時に開発者本人の IAM 権限を昇格させたくないと考えています。要件は、(1)開発者には CloudFormation を直接実行する広範な権限を与えない、(2)製品の起動時には事前定義したサービスロールの権限でリソースが作成される、(3)起動できる構成はプラットフォームチームが承認したテンプレートに限定する、です。これを満たす仕組みはどれですか。
A AWS Service Catalog でポートフォリオに製品を登録し、起動制約（launch constraint）でサービスロールを指定したうえで、開発者にはポートフォリオへのアクセス権のみを付与する。
✓ 正解
起動制約は製品起動時に CloudFormation が使うサービスロールを指定するため、開発者本人の権限を昇格させずにリソースを作成できる。開発者にはポートフォリオアクセス権のみ付与すればよく、承認済みテンプレートに限定され全要件を満たす。
B 開発者に CloudFormation の実行権限と PassRole 権限を直接付与し、Permission Boundary で作成可能なリソースタイプを制限する。
開発者に CloudFormation 実行権限と PassRole を直接付与する時点で「広範な権限を与えない」要件(1)に反する。Permission Boundary でリソースタイプを絞っても権限分離の意図を満たさない。
C AWS Service Catalog で製品を登録し、テンプレート制約（template constraint）でリソースのパラメータ値を制限したうえで、開発者に管理者ロールを引き受けさせる。
テンプレート制約はパラメータの許容値を制約する機能であり、起動時に使用するサービスロールを指定するものではない。さらに開発者に管理者ロールを引き受けさせる点が最小権限と権限非昇格の要件に反する。
D CloudFormation StackSets を委任管理者から実行し、開発者には StackSets の作成権限と Service Catalog の閲覧権限を付与する。
StackSets は複数アカウント・リージョンへ一括展開する機能で、開発者向けセルフサービスと権限分離の要件には対応しない。開発者に StackSets 作成権限を与えること自体が広範な権限付与となる。
解説 AWS Service Catalog の起動制約（launch constraint）は、製品起動時に CloudFormation が引き受けるサービスロールを指定する仕組みである。
これにより開発者自身は CloudFormation やリソース作成の権限を持たず、起動制約で指定されたロールの権限でリソースが作成されるため、権限昇格なしにセルフサービスデプロイが実現する。
開発者にはポートフォリオ／製品へのアクセス権だけを付与すればよく、起動できる構成は承認済みテンプレートに限定される。3要件すべてを満たす。
選択肢の開発者に CloudFormation 実行権限と PassRole を直接付与する構成は、要件(1)の「広範な権限を与えない」に反する。
選択肢のテンプレート制約はパラメータ値を制限する機能であり、起動時に使用するロールを指定するものではなく、管理者ロールを引き受けさせる点も最小権限に反する。
選択肢の StackSets はマルチアカウント／リージョンへの一括展開のための機能で、開発者のセルフサービス権限分離の要件を満たさない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →