無限ノック › SCS 練習問題一覧 › 問題SCS アイデンティティとアクセス管理
ある企業はAWS IAM Identity Center（旧AWS SSO）で多数のプロジェクトチームのアクセスを管理しています。プロジェクト数は今後も増え続ける見込みで、各従業員は自分が所属するプロジェクトのタグが付いたリソースのみにアクセスできる必要があります。セキュリティチームは、新しいプロジェクトが追加されるたびに権限セットやポリシーを増やさずに運用できる、スケーラブルな認可設計を求めています。最も適切なアプローチはどれですか。
A IAM Identity Centerの属性ベースのアクセスコントロール（ABAC）を有効化し、IdPやディレクトリの属性をセッションタグとして渡し、aws:PrincipalTag とリソースタグを比較する条件付きポリシーを用いる
✓ 正解
ABACは利用者属性をセッションタグとして渡し、aws:PrincipalTagとリソースタグを動的に突き合わせて認可する。単一の汎用ポリシーでプロジェクト追加に対応でき、ポリシーを増やさないスケーラビリティ要件を満たす。
B プロジェクトごとに専用の権限セットを作成し、各権限セットに対象プロジェクトのリソースARNを明示したIAMポリシーを付与して、従業員を該当する権限セットに割り当てる
プロジェクトごとに権限セットとARN明示ポリシーを作る方式は、プロジェクトが増えるたびに構成要素が線形に増加する。権限セットやポリシーを増やさず運用するという要件に反するため不適切。
C プロジェクトごとにAWS Organizations内のOUを分け、各OUにプロジェクト固有のサービスコントロールポリシー（SCP）を適用してアクセス範囲を制御する
SCPは許可を付与するものではなく権限の上限を定めるガードレールであり、個々の従業員へのきめ細かなアクセス付与には使えない。OUとSCPの増加も招きスケールしない。
D プロジェクトごとにIAM Identity Centerのグループを作成し、グループ単位で個別のIAM管理ポリシーを割り当てて、リソースへのアクセスをグループで分離する
グループごとに個別ポリシーを割り当てる方式はプロジェクト追加のたびにグループとポリシーが増え続ける。属性に基づく動的な認可ではないため、増やさず運用する要件を満たせない。
解説 属性ベースのアクセスコントロール（ABAC）は、ユーザーの属性（部門・プロジェクトなど）とリソースのタグを動的に突き合わせて認可する方式です。IAM Identity CenterではIdPやディレクトリの属性をセッションタグとして伝播でき、ポリシー内で aws:PrincipalTag/project とリソースの project タグが一致することを条件にできます。これにより、プロジェクトが増えてもポリシーや権限セットを追加せず単一の汎用ポリシーで運用でき、スケーラビリティ要件を満たします。
選択肢Bのプロジェクト別権限セットはプロジェクト追加のたびに権限セットとポリシーが増え、スケーラブルな運用という要件に反する。
選択肢CのOU別SCPはSCPが許可ではなく上限（ガードレール）を定める仕組みで、個々の従業員へのきめ細かい付与には適さず、OU/SCPの増加も招く。
選択肢Dのグループ別ポリシーもプロジェクトごとにグループとポリシーが増え続け、ABACのような動的な認可にならない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →