【SCS-C02】コンテナ・サーバーレスのセキュリティ対策｜ECRイメージスキャンとLambda権限最小化

SCS-C02では、伝統的なEC2だけでなくコンテナやサーバーレスといったモダンな実行環境のセキュリティ対策も出題範囲です。

覚え方のフレーム：「持ち込む前に検査（イメージスキャン）・実行時の権限を絞る（最小権限）・実行環境を分離する（ネットワーク・IAM分離）」の3観点です。

持ち込む前に検査：Amazon ECRイメージスキャン

Amazon ECRに登録するコンテナイメージを自動でスキャンし、既知の脆弱性（CVE）を検出します。「本番デプロイ前に脆弱なベースイメージの利用を防ぎたい」要件でプッシュ時スキャンを有効化します。

実行時の権限を絞る：Lambda実行ロールの最小権限化

Lambda関数にはタスクごとに必要最小限のIAMロールのみを付与します。「1つの関数が侵害されても他のリソースへ被害が広がらないようにしたい」要件で最小権限の原則を徹底します。

実行環境の分離

コンテナはタスクごとに異なるセキュリティグループやサブネットへ配置し、機密性の高いワークロードはVPC内Lambda＋VPCエンドポイントでインターネットに出さない構成にします。

チェックリスト

• ECRイメージスキャンでCVEを検出する仕組みを説明できる
• Lambda関数ごとに最小権限のIAMロールを設計する重要性を理解している
• VPC内Lambda＋VPCエンドポイントで通信を閉域化する構成を理解している

まとめ

モダンな実行環境でも「検査・最小権限・分離」の3観点は変わりません。クイズで確認し、最新情報はAWS認定 公式ページをご参照ください。