解説

セッションポリシー（Session Policy）をAssumeRole時に渡すと、そのセッションの有効な権限は「ロールのアイデンティティベースポリシー」と「セッションポリシー」の積集合（AND条件）に制限されます。この挙動の重要なポイントは以下の通りです。 ①ロールが許可していてもセッションポリシーが許可していなければ実行不可 ②セッションポリシーが許可していてもロールが許可していなければ実行不可 ③セッションポリシーは権限を「追加」することはできず、「縮小」のためにのみ使用できる 本シナリオでは、ロールはs3:*とdynamodb:*を許可していますが、セッションポリシーはs3:GetObjectのみを許可しているため、有効な権限はs3:GetObjectのみとなります。DynamoDBへのアクセスはセッションポリシーで許可されていないため実行不可です。 選択肢Bはセッションポリシーの影響を考慮しておらず誤り。セッションポリシーを渡した場合は積集合に制限される。 選択肢CはセッションポリシーがS3のみに適用されるという誤った解釈であり、セッションポリシーは全サービスに対して積集合として機能する。 選択肢Dはセッションポリシーの効果を誤って解釈しており、積集合の範囲内（s3:GetObject）の権限は依然として有効である。