AWS CLF　問題1381-1384：AWS IAM

【正解】
C) IAMグループは、必要な権限をまとめてIAMユーザーに割り当てるための仕組みです。

【解説】
A) この説明は正しくありません。IAMグループはIAMユーザーの集合体であり、各IAMユーザーごとに独自のポリシーを持つのではなく、IAMグループに所属するユーザーに対してポリシーを一括して適用するための仕組みです。IAMユーザーごとに異なるポリシーを持つ場合、各IAMユーザーに個別にポリシーをアタッチします。

B) この説明も正しくありません。IAMグループには最大で300のIAMユーザーを含めることができます。5つのユーザーまでという制限はありません。

C) 正しい答えです。IAMグループは、同じ権限を持つ複数のIAMユーザーに対して、一括でポリシーを割り当てるための仕組みです。例えば、開発者グループに所属するIAMユーザーには開発に必要なアクセス権をまとめて割り当てることができます。

D) この説明も正しくありません。IAMグループはIAMユーザーのセキュリティ資格情報（ユーザー名とパスワード）を管理するものではありません。ユーザー名とパスワードはIAMユーザーごとに設定され、IAMグループはアクセス権の管理に関与しますが、認証情報の管理はIAMユーザー自身が行います。

【正解】
C) IAMロールは、EC2インスタンスやLambda関数などのAWSサービスに一時的なセキュリティ資格情報を提供します。

【解説】
A) この説明は正しくありません。IAMロールは、特定のIAMユーザーとの関連付けに限らず、複数のAWSサービスやリソースに対して使用できます。IAMロールは、ユーザーに紐づかず、必要な場所で使用できるセキュリティ資格情報を提供します。

B) この説明も正しくありません。IAMロールはAWSリソースに対する直接のアクセス権を持ちません。IAMロールは一時的なセキュリティ資格情報を提供し、それを利用してAWSリソースにアクセスするために使用されますが、ロール自体はリソースに対する直接のアクセスを持ちません。

C) 正しい答えです。IAMロールは、一時的なセキュリティ資格情報（アクセスキー、シークレットキー、一時的なセキュリティトークンなど）を提供し、AWSサービスやリソースに対するアクセスを許可します。たとえば、EC2インスタンスがIAMロールをアタッチして、S3バケットにアクセスする際に、その一時的なセキュリティ資格情報を使用します。

D) この説明も正しくありません。IAMロールはIAMユーザーのセキュリティ設定を管理するものではありません。IAMロールは、一時的なアクセス許可を提供する役割を果たします。セキュリティ設定はIAMユーザーやIAMグループに関連付けられます。

【正解】
A) IAMユーザーが別のIAMユーザーに一時的なアクセス権を委任する場合にIAMロールを使用します。

【解説】
A) この説明は最も適切です。IAMロールは、IAMユーザーが別のIAMユーザーに一時的なアクセス権を委任する場合に使用されます。例えば、ユーザーAがユーザーBにS3バケットにアクセスする権限を一時的に付与したい場合、IAMロールを介してアクセス権を委任できます。

B) この説明は正しくありません。IAMユーザーは通常、自分のセキュリティ設定を変更するためにIAMロールを使用しません。IAMロールは通常、他のユーザーやAWSサービスに提供するために使用されます。

C) この説明も正しくありません。IAMロールはEC2インスタンスやAWSサービスに一時的なセキュリティ資格情報を提供するために使用され、直接ファイルを転送するためだけのものではありません。

D) この説明は正しくありません。IAMロールはルートユーザーに関連付けて使用するものではありません。ルートユーザーはAWSアカウントの最上位の管理者であり、IAMロールは一時的なアクセス権を提供するために設計されています。

【正解】
C) セキュリティ資格情報は他のユーザーや外部に漏洩しないように厳重に管理する必要があります。

【解説】
A) これは誤った説明です。セキュリティ資格情報をIAMユーザー間で共有することはセキュリティ上のリスクを高めます。各IAMユーザーは自分のセキュリティ資格情報を厳格に管理する必要があります。

B) これも誤った説明です。セキュリティ資格情報をテキストファイルに保存することはセキュリティ上のリスクを高めます。セキュリティ資格情報は暗号化された方法で保管する必要があります。

C) 正しい説明です。セキュリティ資格情報は慎重に管理される必要があります。他のユーザーや外部に漏洩すると、AWSアカウントが危険にさらされる可能性があります。セキュリティ資格情報は安全な場所に保管され、他の人と共有されないようにする必要があります。

D) これも誤った説明です。セキュリティ資格情報はAWS公式のウェブサイトから定期的にダウンロードし直す必要はありません。セキュリティ資格情報はIAMユーザーごとに生成され、変更される場合がありますが、通常、ユーザーは自分のアカウント内で管理します。