【SCS-C02 模擬】開発者にIAMロールの作成を委任しつつ、自身より強い権限のロール作成を確実に防ぐ方法は？
ある企業では、開発チームがアプリケーション用のIAMロール(Lambdaの実行ロールやECSタスクロールなど)を自分たちで作成できるようにして、セキュリティチームへの依頼待ちをなくしたいと考えています。一方でセキュリティチームは、開発者が管理者相当の権限を持つロールを作成したり、そのロールを引き受けて自身の権限を昇格させたりすることを確実に防ぐ必要があります。開発者は引き続き必要なサービスへの権限をロールに付与できなければなりません。
これらの要件を満たす方法として最も適切なものはどれですか。
これらの要件を満たす方法として最も適切なものはどれですか。
正解: B
正解はBです。アクセス許可境界(Permissions Boundary)は、IAMエンティティが持てる権限の上限を定める仕組みです。開発者に対して「iam:PermissionsBoundary条件で特定の境界ポリシーが指定されている場合のみロール作成・ポリシー添付を許可」とすれば、作成されるロールの有効な権限は境界と本来のポリシーの共通部分に制限され、境界を超える権限昇格ができません。加えて境界ポリシーそのものの編集・削除・デタッチを拒否しておくことが不可欠です。これがAWSの推奨する権限委任パターンです。
AとDは安全ですが「開発者が自分で作成できる」という要件を満たさず、セルフサービス化の目的に反します。Cは事後検知に過ぎず、権限昇格を「確実に防ぐ」という予防的統制の要件を満たしません。