無限ノック › SCS 練習問題一覧 › 問題SCS セキュリティの基盤とガバナンス
ある企業のプラットフォームチームは、開発者がセキュリティ要件を満たす標準化されたリソース(暗号化済みS3バケットやハードニング済みAMIを使うEC2など)のみをセルフサービスでプロビジョニングできるようにしたいと考えています。開発者にはCloudFormationや基盤リソースを直接操作する強い権限を付与せず、最小権限を維持する必要があります。AWS Service Catalog を用いる場合、この要件を満たす構成はどれですか。
A ポートフォリオに製品を登録し、必要な権限を持つIAMロールを指定した起動制約(Launch Constraint)を設定して、開発者は自身の限定的な権限のままそのロールを介して製品を起動する
✓ 正解
起動制約は製品起動時にService Catalogが引き受けるIAMロールを指定する機能。開発者自身は限定権限のまま、ロールの権限で基盤リソースが作成されるため、最小権限を維持しつつ標準化リソースのセルフサービス提供を実現でき要件を満たす。
B ポートフォリオに製品を登録し、テンプレート制約(Template Constraint)でパラメータの許容値を制限したうえで、開発者には基盤リソースを操作するIAM権限を別途付与する
テンプレート制約はパラメータの許容値を制限する機能にすぎず、権限委譲のモデルを制御しない。開発者に基盤リソースの操作権限を別途付与する構成は、最小権限を維持するという要件に明確に反する。
C ポートフォリオに製品を登録し、通知制約(Notification Constraint)でSNSトピックを指定してスタックイベントを通知し、開発者にはCloudFormationの実行権限を付与する
通知制約はスタックイベントをSNSへ通知する機能で、権限委譲には関与しない。開発者にCloudFormation実行権限を直接付与すると基盤操作権限を持つことになり、最小権限を維持できない。
D ポートフォリオに製品を登録し、開発者グループにCloudFormationおよび対象リソースのフルアクセス権限を付与したうえで、タグオプションでコスト配分タグを強制する
開発者へのフルアクセス権限付与は最小権限の原則に明確に反する。タグオプションはタグ付けを統制するだけで、権限の最小化や承認済みリソースへの限定を保証する機能ではない。
解説 起動制約(Launch Constraint)は、Service Catalog が製品を起動する際に引き受けるIAMロールを指定する機能である。これにより、開発者自身には基盤リソースを操作する権限を与えなくても、指定ロールの権限でCloudFormationスタックが作成・管理される。開発者は限定的な権限のまま、承認済みの標準化された製品のみをセルフサービスで起動できるため、最小権限を維持しつつガバナンスを実現できる。
選択肢Bのテンプレート制約はパラメータの許容値を制限するだけで権限モデルを制御せず、開発者に基盤操作権限を別途付与すれば最小権限に反する。
選択肢Cの通知制約はスタックイベントの通知機能にすぎず、CloudFormation実行権限を直接付与する点で最小権限を満たさない。
選択肢Dのフルアクセス付与は最小権限の原則に明確に反し、タグオプションはタグ統制のみで権限最小化を保証しない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →