ある会社では、開発チームが自チームの CI/CD パイプライン用 IAM ロールを自律的に作成できる権限を要求しています。セキュリティチームは、開発者が管理者権限相当のロールを作成してセキュリティ境界を逸脱することを懸念しています。最小権限の原則を維持しながら権限を委任する最も適切な方法はどれですか？
IAM パーミッションバウンダリー（Permission Boundary）は IAM エンティティの最大許可範囲を制限するマネージドポリシーです。開発者の IAM ポリシーに iam:CreateRole を iam:PermissionsBoundary 条件付きで許可することで、「指定バウンダリーをアタッチした場合のみロール作成可能」という制約を課せます。開発者は自律的にロールを作成できますが、バウンダリーで定義された権限を超えるロールは作成不可となります。 選択肢AはIAMフルアクセスの付与により開発者が管理者権限相当のロールを自由に作成できてしまいセキュリティ境界を逸脱するリスクがあります。AWS Configによる事後監査は違反の事前防止ができず、最小権限の原則を維持できません。 選択肢CはSCPによるロール作成の完全禁止で開発チームの自律性が失われ、すべてのロール作成依頼をセキュリティチームが対応することになりCI/CDパイプラインの開発アジリティが大幅に低下します。 選択肢DのService Catalogテンプレートは事前定義された構成しか提供できず、CI/CDパイプラインが必要とする多様なロール要件をすべてカバーするテンプレートを網羅的に維持することは困難です。テンプレート外の要件が発生するたびにセキュリティチームへの依頼が必要となり柔軟性が低下します。