セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説組織で Prod アカウントに対して外部ベンダーに限定的な参照権を付与するケースを想定します。ベンダーは自分の AWS アカウントから Prod の CloudWatch Logs を読み取りたい。最小権限・短期・監査可能・MFA 要件を満たしつつ、自動化を必要としない設計として、最も適切な方法はどれですか。
AProdアカウントにクロスアカウントロールを作成し、信頼ポリシーをベンダーアカウントに限定する。CloudWatch Logsの参照権限のみを付与し、MFA必須化、sts:AssumeRole時のExternalId要求、および短い最大セッション時間を設定して、ベンダー側から一時的な認証情報を取得してアクセスさせる。
正解 ⭕⭕
【正解の理由】【正解】クロスアカウントロールを用いた設計は、一時的なセキュリティ認証情報（STS）を使用するため、長期クレデンシャルの漏洩リスクを排除できます。MFAの必須化、ExternalIdの要求、短いセッション時間の設定は、セキュリティと監査性の要件をすべて満たす最適なアプローチです。
BProdアカウントにベンダー専用のIAMユーザーを作成し、CloudWatch Logsの参照権限を付与したアクセスキー（長期クレデンシャル）を発行する。IPアドレス制限ポリシーを適用することでMFAやクロスアカウントロールの作成を不要にし、運用の手間を削減する。
誤答C組織のAWS OrganizationsでSCP（サービスコントロールポリシー）を適用し、ベンダーアカウントからのProdアカウントへの操作を制限する。クロスアカウントロールは作成せず、S3バケットポリシーを介してCloudWatch Logsのデータを直接共有する。
誤答DAWS IAM Identity Center（旧SSO）を使用してベンダー用のユーザーを作成し、Prodアカウントへの一時的なアクセス権を付与する。クロスアカウントロールは使用せず、ベンダーの既存のIDプロバイダーと直接フェデレーション連携を行い、監査ログを無効化する。
誤答🎯正解の決め手・公式要点まとめ
正解は、外部ベンダーに対して最小権限の跨アカウントロールを用いた一時的アクセスを提供する設計。信頼関係・MFA・ExternalId・短いセッション時間・Permissions Boundaryの組み合わせが重要。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。