セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説カテゴリ: セキュアなアーキテクチャの設計 トピック: IAMポリシー・ロール・SCP・マルチアカウント 実務シナリオ: 組織は AWS Organizations を利用して複数アカウントのセキュリティガバナンスを運用している。Security アカウントは全アカウントの監査情報（CloudTrail のログと監査用リソース）へ読み取りアクセスを持ちつつ、IAM の作成・削除・ロールのアタッチ/デタッチなどの権限昇格を厳格に禁止したい。最小権限の原則を満たしつつ、マルチアカウント間のアクセス境界を確実に設ける設計として最も適切なのはどれか。
A各メンバーアカウントに監査ロールを作成し、Securityアカウントの特定ロールからの sts:AssumeRole のみを許可する。監査ロールにはCloudTrail等の読み取り権限を付与し、組織のSCPでIAM作成・削除・ポリシーアタッチなどの権限昇格操作を明示的に拒否（Deny）する。
正解 ⭕⭕
【正解の理由】【正解】クロスアカウントロールを用いた最小権限のアクセスと、SCPによる強力な権限昇格防止策を組み合わせた、AWSのベストプラクティスに合致する設計です。
BSecurityアカウントに共通の監査ロールを作成し、全メンバーアカウントがこのロールを信頼してアクセスできるようにする。監査ロールにはCloudTrail等の読み取り権限を付与し、各アカウントのIAMポリシーで個別に権限昇格操作を禁止する。
誤答C各メンバーアカウントに個別の監査用IAMユーザーを作成し、Securityアカウントの管理者がアクセスキーを保持して直接ログインする。各アカウントのIAMポリシーで読み取り権限を付与し、SCPは使用せずにIAMグループで権限昇格を制限する。
誤答D共有サービスアカウントにCloudTrailログを集約し、SecurityアカウントにはS3バケットポリシーのみでアクセスを許可する。IAMロールやSCPは使用せず、バケットポリシーの条件（Condition）を用いて権限昇格や不正アクセスを防止する。
誤答🎯正解の決め手・公式要点まとめ
AWS Organizations環境におけるマルチアカウントの監査設計では、各メンバーアカウントに監査用ロール（IAM Role）を作成し、Securityアカウントの特定のロールからのみ sts:AssumeRole（クロスアカウントアクセス）を許可する構成がベストプラクティスです。これにより、監査権限をアカウントごとに分離しつつ、Securityアカウントからの一元的なアクセスが可能になります。また、IAMの作成・削除やポリシーのアタッチといった権限昇格につながる操作を確実に禁止するためには、組織（Organizations）のルートまたはOUに対してSCP（サービスコントロールポリシー）を適用し、対象操作を明示的に拒否（Deny）することが最も効果的です。SCPはメンバーアカウントのルートユーザーを含むすべてのユーザー・ロールに適用されるため、強力なガードレールとして機能します。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。