【SCS】IAMポリシー評価とKMS鍵管理の要点

SCSでは、IAMによるアクセス制御とKMSによるデータ保護が中核です。本記事ではIAMポリシーの評価ロジックとKMSの鍵管理の要点を整理します。なお試験バージョン（SCS-C02／C03）により範囲が更新されるため、最新の試験ガイドもご確認ください。合格ガイドやログ監視記事と合わせてご覧ください。

覚え方のフレームは「①誰がアクセスできるか（IAM）」「②データをどう守るか（KMS）」「③機密情報の扱い（Secrets Manager／Macie）」の3点です。

①IAMポリシー評価の基本

• デフォルトは暗黙的拒否。明示的な「許可」があって初めてアクセスできる。
• 明示的な拒否は、いかなる許可よりも優先される（最強）。使いどころは「特定のユーザーだけは絶対にアクセスさせたくない」という強い制約を掛けたい場合。
• 評価対象：アイデンティティベースポリシー、リソースベースポリシー、SCP、許可境界、セッションポリシー。

ロールと一時認証

長期アクセスキーの埋め込みは避け、IAMロールとSTSの一時認証情報を使うのが原則です。使いどころはクロスアカウントアクセスやフェデレーション（外部IdP連携）など、恒久的な認証情報を渡したくない場面です。

②KMSによるデータ保護

• カスタマーマネージドキー（CMK）とキーポリシーで鍵の利用権限を制御。使いどころは鍵ローテーションの周期や利用者を自社で細かく管理したい場合。
• S3はSSE-KMSでサーバー側暗号化。EBS・RDS・Secrets ManagerもKMSと連携。
• 鍵の利用には「IAMポリシー」と「キーポリシー」の両方の許可が必要になる点に注意。

③機密情報と機密データ

DBパスワード等はSecrets Managerで自動ローテーション。S3内の個人情報など機密データの発見・分類はAmazon Macieが担います。

チェックリスト

• IAMポリシー評価の優先順位（明示的拒否＞許可＞暗黙的拒否）を説明できるか
• 長期アクセスキーではなくIAMロール＋STSの一時認証を使う設計になっているか
• KMS鍵の利用にIAMポリシーとキーポリシー両方が必要な点を理解しているか
• 機密情報（Secrets Manager）と機密データ（Macie）の役割の違いを区別できるか
• 保管中（KMS）と転送中（TLS）の暗号化を区別できるか

まとめ

セキュリティは「誰が・何を・どう保護するか」をポリシーと鍵で正確に組み立てる力が要です。クイズで確認しましょう。バージョン・配点は変わることがあるため、申込前にAWS認定 公式ページで最新情報をご確認ください。