AWS Certified Solutions Architect - Associate 問題集

正解: A

正解の理由
EC2 の IAM ロールのページは、インスタンスの権限を更新するにはインスタンスプロファイルを置き換えるよう書いている。インスタンスプロファイルからロールを外すことは、変更が効くまで最大1時間の遅れがあるため勧めていない。インスタンスに付けられるロールは1つで、同じロールを多くのインスタンスに付けることはできる。

違う選択肢
「インスタンスに2つ目の IAM ロールを追加で付け、権限を足す」… インスタンスに付けられる IAM ロールは1つだけである。インスタンスプロファイルにも入れられるロールは1つだけで、2つ目を足すことはできない。
「今のインスタンスプロファイルからロールを外し、新しいロールを入れる」… ページは、インスタンスプロファイルからロールを外すことを勧めていない。変更が効くまでに最大1時間かかるためである。すぐに切り替えたいなら、プロファイルごと置き換える。
「新しい権限の IAM ユーザーのアクセスキーをインスタンスに置き、アプリに使わせる」… IAM ロールは、アプリが使う認証情報を配って管理しなくて済むように作られている。アクセスキーをインスタンスに置くと、長期の認証情報の配布とローテーションを自分で抱えることになる。

押さえどころ
インスタンスプロファイルは IAM ロールの入れ物で、コンソールでロールを作ると同じ名前のプロファイルが自動で作られる。ロールの権限を変えると、そのロールを付けたすべてのインスタンスに反映される。本番の前には、IAM Access Analyzer でアクセスの記録からロールの権限を絞ったポリシーを作れる。