SCSアイデンティティとアクセス管理
ある企業は自社データセンターの数百台の Linux サーバーから AWS の S3 と DynamoDB へ定期的にアクセスする必要があります。セキュリティ要件は次の通りです。
①サーバーに長期的なIAMアクセスキーを保存しない、
②取得する認証情報は一時的なものとする、
③既存の社内 PKI が発行する X.509 クライアント証明書を認証に再利用する、
④AWS 側で証明書を失効・制御できる。これらを満たす方式はどれですか。
AIAM Roles Anywhere を構成する。社内CAの証明書を信頼アンカーとして登録し、IAMロールとプロファイルを作成して、各サーバーが署名ヘルパーで X.509 証明書を提示し STS の一時認証情報を取得する
✓ 正解
信頼アンカーに社内CAを登録し IAM Roles Anywhere を使うと、サーバーは既存の X.509 証明書を提示して STS の一時認証情報を取得でき、長期キー不要・証明書での制御という全要件を満たす。
B各サーバーに専用のIAMユーザーを作成してアクセスキーを発行し、AWS Secrets Manager に保存して90日ごとに自動ローテーションする。サーバーは起動時にキーを取得して S3 と DynamoDB へアクセスする
ローテーションしても各サーバーに長期のアクセスキーを保存する設計であり、長期キーを置かない（①）・一時認証情報のみ（②）という要件に明確に反するため不適切。
CAWS Systems Manager のハイブリッドアクティベーションで各サーバーをマネージドインスタンスとして登録し、アクティベーションコードと付与されたIAMロールを用いて S3 と DynamoDB の一時認証情報を取得する
ハイブリッドアクティベーションは有効期限付きのアクティベーションコードで登録する仕組みで、社内 PKI の X.509 証明書を認証に再利用するという要件③を満たさない。
DAmazon Cognito の ID プールを作成し、社内 PKI を OpenID Connect プロバイダーとして登録する。各サーバーが証明書で認証して認証済みID用のIAMロールから一時認証情報を取得する
Cognito の ID プールはモバイル/Web アプリのエンドユーザー向けフェデレーションを目的としたサービスで、データセンターのサーバー間マシン認証という用途には適合しない。
解説
IAM Roles Anywhere は、オンプレミスなどAWS外のワークロードが既存の X.509 証明書を使って AWS の一時認証情報を取得できるサービスです。
社内CA（またはACM Private CA）を信頼アンカーとして登録し、IAMロールとプロファイルを定義すると、サーバー上の署名ヘルパーが証明書で署名したリクエストを送り STS から短期認証情報を受け取ります。長期キーが不要で（①②）、既存PKIの証明書を再利用でき（③）、信頼アンカーやプロファイルの無効化・証明書失効で制御できる（④）ため、全要件を満たす唯一の方式です。
選択肢BのIAMユーザー＋アクセスキー方式は、ローテーションしても長期認証情報をサーバーに保存することになり、要件①②に反します。
選択肢CのSystems Manager ハイブリッドアクティベーションは登録に有効期限付きアクティベーションコードを使い、既存の X.509 証明書を認証に利用しないため要件③を満たしません。
選択肢DのCognitoのIDプールはモバイル/Webアプリのエンドユーザー向けフェデレーションを想定したサービスで、サーバー間のマシン認証用途には適合しません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →