セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説組織内に Management アカウント、Prod アカウント、CI/CD アカウント、Shared Services アカウントが存在する。Prod アカウントへデプロイを CI/CD パイプライン経由で行う際、最小権限・セキュリティ境界・権限昇格の防止を同時に満たす設計として、最も適切なのはどれか。
AProd アカウント内にクロスアカウント用の IAM ロールを作成し、CI/CD アカウントを信頼する信頼関係を設定する。ロールには最小権限のポリシーを付与し、組織全体の SCP で iam:CreateUser、iam:DeleteUser、iam:AttachRolePolicy など高リスクな IAM アクションを禁止する。CI/CD パイプラインはこのロールを sts:AssumeRole で取得してデプロイ作業を実行する。
正解 ⭕⭕
【正解の理由】【正解】 最小権限を付与したクロスアカウントロールと、CI/CD アカウントの信頼関係を通じてデプロイを行う設計が、権限昇格のリスクを抑えつつデプロイを実行する正しい実践です。SCP を用いて高リスク IAM アクションを禁止することで、さらなるガードレールを追加しています。
BCI/CD アカウントに AdministratorAccess を直接付与し、Prod アカウントのデプロイ権限を必要に応じて追加で付与する。SCP は特に設定しない。
誤答CProd アカウント内に直接 IAM ユーザーを作成し、CI/CD アカウントのユースケースごとに権限を委譲する。デプロイはこの IAM ユーザーのクレデンシャルを使用して行う。
誤答DSCP を PROD アカウントでは適用せず、IAM ポリシーだけで権限を管理する設計。
誤答🎯正解の決め手・公式要点まとめ
正解は、クロスアカウントロールを Prod に用意し、CI/CD アカウントを信頼する信頼ポリシーと最小権限ポリシーを組み合わせ、加えて組織 SCP で高リスク IAM アクションを拒否する設計。これにより、デプロイ時の権限昇格を抑制しつつ、監査性と分離を確保できる。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。