AWS Certified Solutions Architect - Professional 無料問題 4 / 10 ・ 分野2: セキュリティ、コンプライアンス、ガバナンス
ルートに付けた RCP で、組織外のプリンシパルによるメンバーアカウントの S3 バケットへのアクセスを拒否した。ところが、管理アカウントにある S3 バケットは、バケットポリシーで許可した組織外のプリンシパルからアクセスできた。この動きの説明として合うものはどれか。
- RCP は AWS が管理するキーを含むリソースに適用される。バケットポリシーの許可が優先された
- RCP は管理アカウントのユーザーとロールを制限する。メンバーアカウントのバケットのリソースには適用されない仕組みである
- RCP が適用されるのは組織内のプリンシパルからのアクセスである。組織外からのアクセスは対象にならない
- RCP は管理アカウントのリソースには適用されない。RCP が制限するのはメンバーアカウントのリソースへのアクセスである
正解と解説を見る
正解: D
正解の理由
RCP は、組織内のリソースに対する最大限の権限を中央で制御する仕組みで、管理アカウントのリソースには影響しない。影響するのは、組織のメンバーアカウントにあるリソースへのアクセスである。サービスにリンクされたロールの有効な権限や、AWS KMS の AWS マネージドキーも対象外である。
違う選択肢
「RCP は管理アカウントのユーザーとロールを制限する。メンバーアカウントのバケットのリソースには適用されない仕組みである」… RCP が制御するのはプリンシパルではなく、リソースへのアクセスである。管理アカウントのリソースは対象外で、バケットにも適用されないとは言えない。
「RCP は AWS が管理するキーを含むリソースに適用される。バケットポリシーの許可が優先された」… RCP は AWS KMS の AWS マネージドキーには適用されない。また、RCP の拒否は、リソースベースポリシーの許可より優先される。
「RCP が適用されるのは組織内のプリンシパルからのアクセスである。組織外からのアクセスは対象にならない」… RCP は、組織の外のアカウントからのアクセスを含めて、メンバーアカウントのリソースへのアクセスに適用される。組織外を対象にしない設計ではない。
押さえどころ
RCP は管理アカウントのリソースに効かない。SCP も RCP も管理アカウントは対象外。RCP は組織外のプリンシパルからのアクセスも制限できる。
AWS Certified Solutions Architect - Professionalの演習アプリ（無料10問・全問は購入で）へ