セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説カテゴリ: セキュアなアーキテクチャの設計 トピック: IAMポリシー・ロール・SCP・マルチアカウント 実務シナリオ: 組織は新規要件として Security アカウントが全アカウントの監査情報へ読み取りアクセスできる一方、IAM 操作の昇格を防ぐ必要がある。Permission Boundaries と SCP を併用して適切な境界を設計する。最適解を選べ。
AOrganization Root に Deny iam:CreateUser, iam:DeleteUser, iam:AttachRolePolicy, iam:DetachRolePolicy を設定する SCP を作成する。AuditRole は各アカウントに分離して信頼ポリシーを Security アカウントのロールに限定。監査ロールには CloudTrail 読み取りと監査用バケットの GetObject のみを許可する権限を付与し、各ロールには権限境界(Permission Boundaries)を設定する。
正解 ⭕⭕
【正解の理由】【正解】 本選択は、権限昇格を防ぐ境界として SCP（境界ポリシー）を適用し、個別アカウントごとに監査ロールを用意して信頼ポリシーを Security アカウントのロールに限定する正しい組み合わせです。監査ロールには最小権限のみを付与し、必要に応じて Permission Boundaries を併用して追加の権限拡張を防止します。
BSCP を設定せず、各アカウントの IAM ロールに対してのみ読み取り権限を付与する IAM ポリシーを直接適用する。Security アカウントのロールは sts:AssumeRole を介してのみ他アカウントの監査ロールを引き受けられるように設計するが、組織レベルでの権限昇格防止策は考慮しない。
誤答C全アカウントの IAM アクションを permissive に許可し、監査ロールは任意のリソースへアクセスできるようにする。SCP は使わず、IAM ポリシーだけで境界を設定するが、これは最小権限の原則に反し、権限昇格のリスクを増大させるため不適切である。
誤答DCloudTrail バケットポリシーだけで監査アクセスを許可し、IAM ロールは使わず Security アカウントの直接認証でアクセスを行う設計とする。しかし、これはクロスアカウントのセキュリティ境界や権限分離の要件を満たさず、運用管理が困難になる。
誤答🎯正解の決め手・公式要点まとめ
正解は、SCP を境界として権限昇格を防止し、Permission Boundary を併用して監査ロールの最大権限を制限する設計。信頼ポリシーを Security アカウントのロールに限定して横断アクセスを許可することで、監査の独立性とセキュリティを両立します。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。