SCS-C02#3(identity-access)
ある企業は AWS IAM Identity Center を導入し、複数の AWS アカウントへの SSO を提供しています。財務チームには月次の請求レポート閲覧権限のみを与えたいと考えています。同じ permission set を複数アカウントで使い回し、運用負荷を最小限にする必要があります。
どの設計が最も適切ですか。
正解：A
正解の根拠
IAM Identity Center の permission set は、複数アカウントへ一貫したアクセスを割り当てる仕組みです。Billing マネージドポリシーをアタッチした permission set を作成し、各 AWS アカウントにアサインメントすることで、最小権限と運用効率の両立が図れます。
不正解の理由
- B: アカウント数 × 人数の IAM ユーザー管理は scale せず、ベストプラクティスに反します。
- C: 単一アカウント内のロールでは複数アカウントへの SSO アクセス要件を満たせません。
- D: ルートユーザー共有は最も避けるべきパターンであり、職務分離も成立しません。
コメント