SCSアイデンティティとアクセス管理
ある企業では、複数の従業員が外部IdPからのフェデレーションを経て同一のIAMロールを引き受け、本番環境を操作しています。監査チームから「共有ロールでも、操作を行った個々の従業員を一意に特定し、その識別子がロールチェーン（別ロールへの再AssumeRole）を経ても改ざんされずCloudTrailに残ること」を要求されました。この要件を満たす構成はどれですか。
A信頼ポリシーで sts:SetSourceIdentity を許可し、IdPがアサーションで送信したソースID（SourceIdentity）を設定する。ソースIDは不変でロールチェーンを通じて伝播しCloudTrailに記録される
✓ 正解
ソースIDは一度設定されると変更不可で、ロールチェーンを通じて後続セッションに伝播し全CloudTrailイベントに記録される。共有ロールでも操作者を一意かつ改ざん耐性をもって特定するという要件を満たす。
B信頼ポリシーで sts:RoleSessionName を条件で必須化し、アプリケーションが従業員ごとに一意のセッション名を指定してロールを引き受けるよう実装する
ロールセッション名は呼び出し側が任意に指定でき不変性が保証されず、ロールチェーン先のセッションには引き継がれない。改ざん耐性と伝播性の要件を満たせないため不適切。
Csts:TagSession を用いてセッションタグに従業員名を付与し、aws:PrincipalTag 条件キーとCloudTrailでタグ値を参照して操作者を特定する
セッションタグは操作者の記録に使えるが、ソースIDのような変更不可の保証がなく後続のAssumeRoleで上書きされ得る。チェーンを通じた不変な識別という要件には不十分。
DCloudTrail Insights を有効化して異常なAPI呼び出しパターンを検出し、関連付けられたロールセッションから操作者を逆引きして特定する
CloudTrail Insightsは通常と異なるAPIコール量・パターンを検出する異常検知機能であり、個々の操作者を一意に確実に特定する目的の機能ではないため要件に合致しない。
解説
ソースID（SourceIdentity）は、ロールを引き受ける主体を一意に識別するための仕組みで、一度設定されると以降のセッションでは変更・削除できません。ロールチェーン（あるロールから別ロールへのAssumeRole）を経ても伝播し、すべてのCloudTrailイベントに記録されます。信頼ポリシーで sts:SetSourceIdentity を許可し、IdP側でアサーションにソースIDを含めることで実現できます。
選択肢Bのロールセッション名は呼び出し側が任意に設定でき不変ではなく、ロールチェーンを通じて伝播しないため改ざん耐性の要件を満たさない。
選択肢Cのセッションタグは操作者特定に利用できるが、ソースIDのような不変性が保証されず後続セッションで変更され得るため要件に合致しない。
選択肢DのCloudTrail Insightsは異常検出の機能であり、個々の操作者を一意かつ確実に特定する仕組みではない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →