AIF-C01#92(fundamentals-generative-ai)
ある企業が、Amazon Bedrock と Amazon S3 にアップロードされた顧客データを使用して大規模言語モデル（LLM）アプリケーションを開発しようとしています。同社のセキュリティポリシーでは、各チームが自分のチームに属する顧客のデータにのみアクセスできるようにする必要があります。 この要件を満たすソリューションはどれですか？
正解：A
正解の根拠
Bedrock はモデル呼出時にカスタムサービスロール (IAM Role) を引き受け、その権限で S3 等の関連リソースにアクセスします。各チーム専用のロールを作成し、それぞれのチームの S3 プレフィックスへの最小権限を付与することで、テナント分離を IAM レベルで強制でき、セキュリティポリシー要件を確実に満たせます。
マルチテナント分離パターン
| パターン | 特徴 |
|---|---|
| チーム別カスタムロール | IAM で確実に分離 |
| S3 Prefix + IAM | 細粒度制御 |
| VPC Endpoint Policy | ネットワーク層制御 |
| KMS Key 分離 | 暗号化キー単位の分離 |
不正解の理由
- B: アプリでチームに顧客名を指定させる方式は人為的ミスや偽装に弱く、IAM で強制する設計より脆弱です。
- C: 個人データ編集 (Redaction) はテナント分離の代替にならず、アクセス制御要件を満たしません。
- D: フルアクセスロールを共有する設計は最小権限原則に反し、IAM ロールはアクションだけでなくサービスロールとして Bedrock に渡す必要があり整合しません。
参考：Bedrock IAM
コメント