セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説実務シナリオ：3つの AWS アカウント（Management/Dev/Prod）が存在する組織において、Dev の開発者は Prod へデプロイする権限を持ちたいが Prod の管理者コンソールには直接アクセスさせたくない。Prod にはセキュリティのベースラインとしてサービスコントロールポリシー（SCP）を適用し、Dev 以外のアカウントからの権限昇格を抑制したい。これらの要件を満たす最も適切な設計はどれか。
AProd アカウントに DeployToProd というクロスアカウントロールを作成し、信頼ポリシーで Dev アカウント内の特定のデプロイ用 IAM ロール（例: CodePipeline/CodeBuild のサービスロール）のみが sts:AssumeRole できるように限定する。Dev 側には当該ロールを引き受ける権限を付与し、Prod 側では DeployToProd にデプロイに必要な最小権限の IAM ポリシーを添付する。さらに Prod には SCP を適用して iam:* などの権限昇格操作を一律 Deny するベースラインを設定する。
正解 ⭕⭕
【正解の理由】【正解】 クロスアカウントデプロイの王道設計。Prod 側ロールの信頼先を Dev アカウント内の特定ロールに限定することで人手の直接アクセスを防ぎ、自動化のみを許容。ロールには最小権限を付与。SCP は Prod 内の昇格操作（iam:* 等）を包括的に Deny するベースラインとして機能し、過剰権限の取得を抑止できる。
BDev 側のユーザーに直接 Prod の権限を付与し、Prod 側の SCP は設定しない。
誤答CProd アカウントに Admin ロールを作成し、Dev 側のユーザーがこの Admin ロールを信頼ポリシーで AssumeRole できるようにするが、Dev 側にはこの前提権限を付与しない。
誤答DDev アカウントと Prod アカウントを分離せず、Management アカウントにて一括してデプロイ作業を行う。
誤答🎯正解の決め手・公式要点まとめ
クロスアカウントの信頼は Dev アカウントの“特定の IAM ロール ARN”に限定し、Prod ロールにはデプロイに必要な最小権限のみを付与。SCP は外部アカウントの呼び出しを直接弾く用途ではなく、Prod 内の権限昇格操作を網羅的に Deny するベースラインとして用いる。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。