【SCS-C02 模擬】外部監査法人へ3か月間の読み取り専用アクセスを、MFA必須・期限付きで安全に付与するには？
ある企業は、外部の監査法人に自社AWSアカウントのCloudTrail、AWS Config、IAMの設定を読み取り専用で確認してもらう必要があります。監査法人は自社で管理するAWSアカウントを保有しています。セキュリティ要件は次のとおりです。(1) 長期的な認証情報(アクセスキーやパスワード)を新たに発行しない。(2) 監査法人側でMFAを通過したセッションからのみアクセスを許可する。(3) 監査期間の3か月が過ぎたら追加作業なしで自動的にアクセスできなくなること。(4) 他の顧客を持つ監査法人が誤って別の顧客のロールを引き受ける「混乱した代理」問題に対処すること。
これらの要件をすべて満たす方法として最も適切なものはどれですか。
これらの要件をすべて満たす方法として最も適切なものはどれですか。
正解: B
正解はBです。クロスアカウントのIAMロールを使えば、監査法人は自社アカウントの認証情報でロールを引き受け、STSが発行する一時認証情報だけでアクセスするため、長期認証情報を新たに発行する必要がありません(要件1)。信頼ポリシーの条件に aws:MultiFactorAuthPresent を true で要求すれば、MFAで認証されたセッションからの AssumeRole のみ許可できます(要件2)。aws:CurrentTime に対する DateLessThan 条件で有効期限を設定すれば、期限後は自動的にロールを引き受けられなくなります(要件3)。sts:ExternalId は、サードパーティが顧客ごとに固有の識別子を指定してロールを引き受ける仕組みで、混乱した代理問題の標準的な対策です(要件4)。SecurityAudit 管理ポリシーは監査に必要な読み取り権限をまとめたAWS管理ポリシーです。
Aはアクセスキーという長期認証情報を発行するうえ、失効を手作業に頼るため要件1と3に反します。Cはルートユーザーの共有という最も避けるべき行為で、監査証跡上も誰の操作か区別できません。Dは管理者権限を付与しており最小権限の原則に反し、期限の自動失効や混乱した代理への対処も含まれていません。