セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説組織には複数の OU で SCP を適用しており、デフォルトでは sts:AssumeRole などの権限を制限しています。Prod のワークロードが Shared Services アカウントのクロスアカウントロールを引き受けて、中央のS3バケットへアクセスする必要があります。SCP の制約を維持しつつ、この跨アカウントアクセスを実現する最も適切な設計はどれですか？ A. 組織の SCP で特定のクロスアカウントロール ARN に対する sts:AssumeRole を許可する条件を追加する。Prod 側のワークロードにはこの ARN を引き受ける権限を付与する IAM ポリシーを付与する。Shared Services 側のロールの信頼ポリシーには Prod アカウントを許可する。
AProd 側のワークロードから別の OU の SCP を迂回する形で直接クロスアカウントロールを信頼する。SCP に例外を追加せずに実装する。
正解 ⭕⭕
【正解の理由】【正解】 SCPは上位の権限の規制であり、他OUの制約を回避して特定ロールを信頼させることはできません。適切な方法はSCPを用いて明示的に sts:AssumeRole を許可し、信頼ポリシーでアカウント間の信頼を設定することです。
BSCP を完全に無効化して、クロスアカウントアクセス用のロールを自由に作成・利用できるようにする。
誤答CCross-account ロールを Shared Services アカウント内に置くのではなく Prod アカウント内に置き、Shared Services へのアクセスをバケットポリシーで許可する。
誤答DFederated ユーザー（SAML/OIDC経由）を利用して、短期クレデンシャルを取得する形で跨アカウントアクセスを行う。
誤答🎯正解の決め手・公式要点まとめ
正解は、SCPで sts:AssumeRole の特定ARNを許可する条件を追加し、ProdワークロードのIAMポリシーでそのARNのAssumeRoleを許可する設計。さらにShared Servicesのロール信頼ポリシーにProdアカウントを明示し、最小権限を保つ構成が、SCPの保護と跨アカウントアクセスの両立を実現する。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。