CLF-C02：AWS Certified Cloud Practitioner セキュリティとコンプライアンス 問4
セキュリティとコンプライアンス／AWS のアクセス管理（IAM・最小権限・ルートユーザー保護）複数の開発者に、特定の Amazon S3 バケットの読み取りだけを許可したいと考えています。最小権限の原則に沿った管理方法として適切なものはどれですか。
当サイトのオリジナル問題（CLF-C02：AWS Certified Cloud Practitionerの出題範囲「セキュリティとコンプライアンス」に対応。実際の試験問題ではありません）
- A各開発者にルートユーザーの認証情報を共有する
- B必要な読み取り権限だけを持つポリシーを作成し、開発者をまとめた IAM グループにアタッチする
- C全開発者に AdministratorAccess を付与し、不要な操作をしないよう口頭で依頼する
- D開発者ごとにアクセスキーを発行し、アプリケーションのコードにハードコードする
正解：B
解説
最小権限の原則では、業務に必要な権限だけを与えます。読み取りのみが必要なら、その権限だけを持つポリシーを作り、対象の利用者をまとめた IAM グループにアタッチして管理するのが適切です。グループ単位で管理すると権限の付与・剥奪も容易になります。本問は IAM ユーザーが既にある前提での最小権限の与え方を問うものですが、人（開発者）のアクセスを新たに整える場合は、長期の IAM ユーザーよりも、IAM Identity Center などによるフェデレーションと一時的な認証情報の利用が推奨されます。ルート認証情報の共有や過剰な権限付与、アクセスキーのハードコードは避けます。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。ルートユーザーの認証情報の共有は最も避けるべき運用です。
- B正しい。必要な読み取り権限だけのポリシーを IAM グループにアタッチするのが最小権限に沿った方法です。
- C誤り。AdministratorAccess は過剰な権限で、口頭の依頼では制御になりません。
- D誤り。アクセスキーをコードにハードコードするのは、認証情報が漏えいしやすく失効・ローテーションも難しいため避けるべき運用です。これは権限の大小とは別の、認証情報管理上の問題であり、長期キーの埋め込みではなくロールや一時的な認証情報を使います。