SAP-C02#3(complexity)
ある SaaS 企業は IAM Identity Center を導入し、外部 IdP として Okta を SAML 2.0 で連携しています。50 のメンバーアカウントごとに「DevOps」「ReadOnly」「Billing」の 3 つの権限セットを配布する必要があり、グループは Okta 側で管理されています。最も運用負荷が低い割当方法はどれですか。
正解：C
正解の根拠
IAM Identity Center は SAML 認証に加え SCIM 2.0 によるユーザー/グループの自動プロビジョニングをサポートします。Okta から SCIM 同期されたグループに対して権限セットをアカウント単位または OU 単位で割り当てれば、新規アカウントや異動が発生しても割当ルールが維持され、追加作業はほぼ不要です。
| 機能 | 役割 |
|---|---|
| SAML 2.0 | サインイン認証 |
| SCIM 2.0 | ユーザー/グループの自動同期 |
| Permission Set | 各アカウントに同一権限を再現 |
不正解の理由
- A: アカウント数 × 3 ロールを手動管理することになり、規模拡大に伴い破綻して運用負荷が増大します。
- B: IAM ユーザーの共有はベストプラクティス違反で、長期認証情報の流出リスクが大きく高まります。
- D: AD と Okta の二重管理になり、Identity Center の SCIM 同期に比べ運用が複雑になります。
コメント