AWS ソリューションアーキテクトセキュリティ・IAMオリジナル・公式資料照合難易度★★★★☆
アカウントAの顧客管理KMSキーで暗号化したS3オブジェクトを、アカウントBのロールが読む。S3のクロスアカウント権限は適切だがkms:Decryptが拒否される。KMS grantは使わない。必要な設定はどれか。
A
BのIAMポリシーでkms:Decryptを許可すれば、Aのキーポリシーは無関係
クロスアカウントのIAMポリシーだけでは、キー所有側の許可を代替できない。
B
AのバケットポリシーだけでKMSの復号も許可する
S3とKMSは別の認可を評価し、バケットポリシーだけでは復号権限を与えない。
C
AのキーポリシーでB側の利用を許可し、Bのロールにもそのキーのkms:Decryptを許可する★ 正解
クロスアカウントではキー所有側と呼出し側双方の許可が必要。適用されるDeny等も確認する。
D
Bのロールにs3:ListBucketだけを追加する
バケット一覧権限はKMSの復号拒否を解決しない。
解説
S3の読取り権限とKMSの復号権限を別々に確認する。ここではgrantを使わないため、所有側キーポリシーと呼出し側IAMポリシーの双方を最小権限で設定する。
根拠資料・確認情報
対応範囲：SAA-C03
資料確認日：2026-10-28