セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説あなたの組織は AWS Organizations を使用しており、セキュリティアカウントと複数のメンバーアカウントを持つ。メンバーアカウントでIAMロール/ユーザーの作成を許可する権限を、中央のセキュリティアカウントの SecurityOps ロールを経由するワークフローのみで実行させたい。SCPを用いてこの要件を組織全体で強制したい。最適な実装はどれか。
AOrganization-wide Deny of iam:CreateUser, iam:CreateRole, and iam:AttachRolePolicy for all accounts, unless the request originates from the SecurityOps role in the Security account, with an explicit Allow for the SecurityOps role when the condition aws:PrincipalArn equals arn:aws:iam::111111111111:role/SecurityOps.
正解 ⭕⭕
【正解の理由】【正解】 この設計は、SCP で org 全体の該当アクションを否定しており、SSS-Admin 等の特定ロールのみを許可する条件付きの Allow を同じ SCP に含めることで、中央の SecurityOps ロールを介したワークフローのみを実現します。SCP の Allow/Denial の組み合わせにより、他の主体は組織全体で実質的に拒否され、Centralized control が達成されます。必要に応じて、SecurityOps に対して明示的な許可を付与する policy を別途アタッチして機能を確保します。explanation_details:{
BAttach per-account IAM policies that grant iam:CreateUser and iam:CreateRole only to designated Dev teams, and rely on SCPs for broader enforcement (not sufficient to enforce a central, org-wide workflow).
誤答CIn each member account, create a dedicated cross-account role that the SecurityOps role in the Security account can assume to perform IAM changes, and do not use an Organization SCP.
誤答DUse AWS Control Tower guardrails to enforce a centralized IAM change workflow across accounts (alternative approach, not specifically using a custom SCP).
誤答🎯正解の決め手・公式要点まとめ
SCPは組織レベルでの権限の付与/拒否を統一的に制御できる点が要点。aws:PrincipalArn 等の条件付き Allow を用い、特定ロールのみが組織内で IAM リソースを作成できるように設計する。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。