セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説組織には共有サービスアカウント、Prodアカウント、Devアカウントが存在します。共有サービスアカウントの中核となるログ用のS3バケットへ、ProdおよびDevのワークロードから安全にアクセスさせたい（短期的な認証情報を用い、最小権限を適用したい）場合、最も適切な設計はどれですか？ A. 共有サービスアカウントに LogsAccess というクロスアカウントロールを作成し、信頼ポリシーを Prod アカウントおよび Dev アカウントからの sts:AssumeRole のみ許可する。該当ロールに s3:ListBucket および s3:GetObject を共有バケットへ適用する権限を付与し、Prod/Dev 側のワークロードにはこのロールを引き受ける sts:AssumeRole の権限を付与する。さらにログバケットのバケットポリシーで LogsAccess ロールARN からのアクセスを許可する。組織レベルの SCP で root アカウントの iam:CreateRole を禁止する制約を併用する。
A共有サービスアカウントに LogsAccess というクロスアカウントロールを作成し、信頼ポリシーを Prod アカウントおよび Dev アカウントからの sts:AssumeRole のみ許可する。該当ロールに s3:ListBucket および s3:GetObject を共有バケットへ適用する権限を付与し、Prod/Dev 側のワークロードにはこのロールを引き受ける sts:AssumeRole の権限を付与する。さらにログバケットのバケットポリシーで LogsAccess ロールARN からのアクセスを許可する。組織レベルの SCP で root アカウントの iam:CreateRole を禁止する制約を併用する。
正解 ⭕⭕
【正解の理由】【正解】この設計は、AWSにおけるクロスアカウントアクセス管理のベストプラティクスに沿っています。リソースを所有する共有サービスアカウントに一元化されたIAMロールを配置することで、アクセス元となるProdおよびDevアカウントは、そのロールを引き受ける（sts:AssumeRole）ことで短期的な認証情報を用いて安全にログバケットにアクセスできます。これにより、長期的な認証情報の管理が不要となり、セキュリティリスクが大幅に低減されます。また、IAMロールの信頼ポリシーとS3バケットポリシーを組み合わせることで、アクセス元アカウントと許可されるアクションが厳密に制御され、最小権限の原則が適用されます。組織レベルのSCPでrootアカウントによるiam:CreateRoleを制限することは、ガバナンスを強化し、意図しない権限付与を防ぐための追加的なセキュリティ対策として非常に有効です。このアプローチは、アカウント数が増加しても管理が容易であり、スケーラビリティとセキュリティの両面で最も優れています。
B各メンバーアカウントに Prod および Dev 各自のワークロード用ロールを作成し、それぞれのロールを介して共有ログバケットへアクセスさせる。バケットポリシーには対象ロールの ARN を列挙して許可する。
誤答C共有バケットへ直接 s3:GetObject を許可するバケットポリシーを Prod および Dev のルートユーザーへ適用する。
誤答DRAM を用いて他アカウントとバケットを共有する方法を選択する。
誤答🎯正解の決め手・公式要点まとめ
正解は、共有サービスアカウントに中央のクロスアカウントロールを作成し、信頼ポリシーを対象となるProd/Devアカウントに限定する設計です。これにより、最小権限の原則を満たしつつスケーラブルなアクセスを実現できます。該当ロールにはS3バケットへの適切な権限（s3:ListBucket, s3:GetObject）を付与し、バケットポリシーでこのロールARNからのアクセスを許可します。Prod/Devのワークロード側にはこのロールを引き受ける権限を付与するだけで、長期的なクレデンシャルは不要です。組織のSCPを併用して、rootアカウントによるiam:CreateRoleを禁止することで、設定の一貫性を保ち、セキュリティをさらに強化できます。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。