AWS CLF　問題1377-1380：AWS IAM

【正解】
A) ルートユーザーは、AWSアカウント内のすべてのリソースにアクセスできる特権ユーザーです。
C) IAMグループを使用すると、IAMユーザーにポリシーをまとめて割り当てることができます。

【解説】
A) ルートユーザーはAWSアカウントの最初に作成される特別なユーザーであり、アカウント内のすべてのリソースにアクセスできる特権ユーザーです。ルートユーザーは最高の権限を持ち、アカウント全体を管理できます。ただし、AWSはルートユーザーの使用を制限し、日常的なタスクにはIAMユーザーを使用することを推奨しています。

C) IAMグループを使用すると、同じポリシーを複数のIAMユーザーに一括で割り当てることができます。これにより、権限の管理が簡素化され、一貫性が保たれます。IAMグループは、類似した権限を持つユーザーをまとめて管理するのに役立ちます。

B) IAMポリシーはIAMユーザーごとに1つだけ関連付けることができます。誤りです。IAMポリシーは複数のIAMユーザー、グループ、ロールに関連付けることができます。

D) IAMユーザーは最大で10,000個作成できます。誤りです。IAMユーザーは最大で5,000個作成できます。AWSはアカウントごとにこの制限を設けており、この制限を超える場合はAWSサポートに連絡する必要があります。

【正解】
C) MFAは、第2要素として事前に設定されたデバイスに表示される認証コードを必要とします。

【解説】
Multi-Factor Authentication（MFA）は、ユーザーのセキュリティを強化するための仕組みで、通常はユーザー名とパスワードに加えて、事前に設定されたデバイス（例: スマートフォンのアプリ）に表示される認証コードが必要です。これにより、第2要素の認証が行われ、セキュリティが向上します。
MFAデバイスは、Amazon.comなどで購入できる物理的なデバイスと、モバイルアプリ版の仮想MFAデバイスを利用できます。
Amazon MFA デバイス自体は高価なものではなく数千円程度です。ただし、日本で購入できますが、海外から配送されるため、送料が2万円程度かかるようです。

【正解】
B) IAMユーザーには必要最低限の権限を与えるべきで、必要に応じて追加の権限を割り当てるべきではありません。
C) IAMユーザーが最後にアクセスしたサービスとその時間は、「アクセスアドバイザー」から調べることができます。

【解説】
B) IAMユーザーには必要最低限の権限を与える原則は、セキュリティを強化するために非常に重要です。ユーザーには、その業務やタスクを遂行するために必要な最小限の権限のみを付与すべきです。この原則に従うことで、不必要なリスクやセキュリティの問題を最小限に抑えることができます。

C) IAMユーザーが最後にアクセスしたサービスとその時間を調べるために、「アクセスアドバイザー」を使用できます。これにより、ユーザーが実際に使用している権限やサービスを把握し、不要な権限を特定して取り除くことができます。セキュリティとコスト管理の観点から、定期的にアクセスアドバイザーを活用することが重要です。

A) IAMユーザーに最大限の権限を与えることは、セキュリティ上のリスクを高めることにつながります。最小の権限の原則に反します。

D) IAMユーザーにすべてのAWSサービスへのフルアクセス権限を持たせることは、セキュリティ上の危険を伴います。最小の権限の原則に反し、ユーザーが意図しない操作を行う可能性が高まります。セキュリティを強化するために、IAMユーザーには必要な権限のみを与えるべきです。

【正解】
D) IAMポリシーはJSON（JavaScript Object Notation）ドキュメントであり、AWSサービスへのアクションを許可または拒否するルールを定義します。

【解説】
A) IAMポリシーはHTML形式ではなく、JSON形式で記述されます。HTML形式ではないため、ビジュアルエディタで簡単に作成することはできません。

B) IAMポリシーはIAMユーザーごとに作成する必要はありません。IAMポリシーは一般的に、複数のIAMユーザーやIAMロールに適用できます。これにより、同じポリシーを複数のユーザーやロールに再利用できます。

C) IAMポリシーはAWSリソースの物理的なアクセスを制御するのではなく、AWSサービスへのアクション（操作）を制御します。IAMポリシーは、ユーザーがAWSサービスで実行できるアクション（例: EC2インスタンスの起動、S3バケットの作成など）を許可または拒否するルールを指定します。

D) 正しい答えです。IAMポリシーはJSON形式のドキュメントで、AWSサービスへのアクションに対する許可または拒否のルールを定義します。これにより、特定のユーザー、グループ、ロールに対して権限を制御し、セキュリティを強化することができます。 JSON形式は構造化されており、細かい制御が可能です。