【SCS-C02】IAMアクセス許可の高度な管理｜SCP・Permission Boundary・IAM Identity Center

SCS-C02では、単純なIAMポリシーだけでなく組織全体で権限を統制する高度な仕組みが問われます。3つの制御レイヤーを整理します。

覚え方のフレーム：「組織単位の上限（SCP）・個人単位の上限（Permission Boundary）・入口の一元化（IAM Identity Center）」の3層で整理します。

組織単位の上限：Service Control Policy（SCP）

AWS Organizations配下のアカウントに対し、IAMポリシーでいくら許可されていても超えられない上限を設定します。「特定リージョンでのリソース作成を組織全体で禁止したい」という要件で使います。

個人単位の上限：Permission Boundary

IAMユーザーやロールが持てる権限の上限を委任先の管理者が設定でき、「開発者に一部のIAMロール作成権限は与えたいが、権限昇格はさせたくない」要件に対応します。

入口の一元化：IAM Identity Center

複数アカウントへのシングルサインオンと、外部IdP（Microsoft Entra ID等）との連携を提供します。「退職者のアクセス権を1箇所で即座に無効化したい」という要件で中心的な役割を果たします。

チェックリスト

• SCPとPermission Boundaryの適用単位（組織か個人か）の違いを説明できる
• 「上限を設定するだけで権限は付与しない」という共通点を理解している
• IAM Identity Centerで認証を一元化するメリットを説明できる

まとめ

権限管理は組織単位・個人単位・認証入口の3層で整理すると設計の抜け漏れを防げます。クイズで確認し、最新情報はAWS認定 公式ページをご参照ください。