セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説組織内のセキュリティチームは、複数アカウントに跨って IAM 設定の監査を実施したい。IAM の変更を禁止し、監査者が各アカウントの IAM 設定を読み取るための適切な設計はどれか。
A各アカウントに監査用ロール AuditRole を作成し、信頼ポリシーで Security アカウントを sts:AssumeRole の許可対象とする。監査ロールへ iam:ListUsers, iam:GetUser, iam:ListRoles, iam:GetRole などの読み取り権限を付与する。Security アカウントからは全アカウントの監査ロールを Assume できるようにする。Organizations の Root には iam:CreateUser, iam:CreateRole, iam:DeleteUser, iam:DeleteRole を拒否する SCP を適用する。
正解 ⭕⭕
【正解の理由】【正解】 複数アカウントに対して跨る監査アクセスを実現する標準的かつ推奨される方法です。各アカウントに監査用ロールを置くことで、監査主体が対象アカウントごとに委任を受け、IAM データを読み取ることができます。SCP により変更操作を禁止することで組織レベルの変更を防止します。
B中心的には
誤答C跨アカウント監査のためには、各アカウントに監査用のロールを設置し、セキュリティアカウントからそれを引き受けられるよう信頼関係を確立する設計が最適です。SCP で変更操作の拒否を保証します。
誤答D各アカウントごとに監査ロールを設置する設計は運用が煩雑になる可能性があるが、最も安全確実な方法です。
誤答E監査用ロールを1つのセキュリティアカウントに集約する設計は、跨アカウントの IAM データへ直接アクセスする前提となり得ず、現実的ではありません。
誤答F誤解の典型として、SCP だけで跨アカウントの監査アクセスを実現できると考えるケースや、監査に外部ツールを使うだけで IAM の調整を完結させる考え方があります。
誤答🎯正解の決め手・公式要点まとめ
跨アカウント監査には、対象アカウントごとに監査用ロールを配置し、セキュリティアカウントから assuming するモデルが一般的で安全です。SCP は変更禁止を保証します。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。