セキュアなアーキテクチャの設計30% · 3項目

Q1. IAM のポリシー評価について正しい説明はどれか。

1. アイデンティティポリシーで許可していても、いずれかのポリシーに明示的な拒否があればアクセスは拒否される
2. アイデンティティポリシーとリソースポリシーが矛盾した場合は、後から作成したポリシーの内容が常に優先される
3. SCP で許可された操作は、IAM ポリシーで許可していなくても実行できるようになる
4. どのポリシーにも記載のない操作は、同じアカウント内であれば既定で許可される

Q2. SCP の性質として正しいものはどれか。

1. SCP を付けると、対象アカウントの IAM ユーザーに自動で同じ権限が付与される仕組みである
2. SCP は操作の上限を定めるもので、実際に操作するには IAM ポリシーでの許可も必要になる
3. SCP は個別の IAM ユーザーにだけ付けることができ、OU には付けられない
4. SCP は管理アカウントにも適用され、管理アカウントの操作も同様に制限できる

Q1. 3層構成の Web アプリ（ALB・アプリサーバー・RDS）を VPC に配置する。セキュリティの観点で最も適切な配置はどれか。

1. すべてをプライベートサブネットに置き、NAT ゲートウェイで受け付ける
2. ALB とアプリはパブリック、RDS はプライベートサブネットに置く
3. ALB はパブリック、アプリと RDS はプライベートサブネットに置く
4. アプリと RDS をパブリックに置き、セキュリティグループで ALB からだけ許可する

Q2. セキュリティグループとネットワーク ACL の違いとして正しいものはどれか。

1. セキュリティグループでは拒否ルールを書けるが、ネットワーク ACL では許可ルールしか書けない
2. どちらもステートレスであり、ルールの番号順に評価される点も同じである
3. セキュリティグループはサブネット単位、ネットワーク ACL はインスタンス単位で適用される
4. セキュリティグループは戻りの通信を自動で許可し、ネットワーク ACL は戻りにも許可が必要

Q1. モバイルアプリの利用者が、S3 の自分専用のフォルダに直接写真をアップロードする。AWS の認証情報をアプリに埋め込まない方法として最も適切なものはどれか。

1. Cognito のアイデンティティプールで、権限を絞った一時的な認証情報を発行する
2. ルートユーザーの認証情報を暗号化してアプリに保存する
3. 共通の IAM ユーザーのアクセスキーをアプリに組み込み、すべての利用者でそのキーを共有して使う
4. S3 バケットを一般公開し、誰でも書き込めるように設定する

Q2. アクセス許可の境界（Permissions boundary）の説明として正しいものはどれか。

1. ユーザーが所属するグループの数の上限を決める設定で、権限の範囲には影響しない
2. IAM ユーザーやロールが持てる権限の上限を設定し、境界の外の操作は許可していても実行できない
3. Organizations の OU に適用して、組織全体の操作を制限する仕組みである
4. リソースベースのポリシーの代わりに、S3 バケットや KMS キーへのアクセスを直接許可するための仕組みである