AWS ソリューションアーキテクト権限上限・秘密更新・戻り通信オリジナル・公式資料照合難易度★★★☆☆
IAMユーザーへ、特定S3オブジェクトのGetObjectをAllowするpermissions boundaryを付けた。しかしユーザーのidentity-based policyはGetObjectを許可せず、bucket policy等からの別の許可もない。permissions boundaryの意味として正しいのはどれか。
A
boundaryにAllowがあるので、identity-based policyの許可は不要になる
boundaryのAllowは上限内であることを示すだけで、権限を直接付与しない。
B
identity-based policyに明示Denyがあっても、boundaryのAllowがそれを上書きする
権限の上限のAllowは、別ポリシーの明示Denyを打ち消す許可ではない。
C
boundaryは上限なので、権限を与える別の許可がなければGetObjectは実行できない★ 正解
付与ポリシーとboundaryの両方を考慮する必要がある。
D
boundaryはSCPと同じく、必ずアカウント内の全ユーザーへ同時適用される
permissions boundaryは対象のIAMユーザーやロールへ設定するもので、アカウント全体のSCPとは異なる。
解説
permissions boundaryはidentity-based policyで与えられる権限の最大範囲を制限するもので、それ自体が許可を与えるポリシーではない。今回、boundary内に操作があっても権限を与える別のAllowがないため実行できない。
根拠資料・確認情報
対応範囲：SAA-C03
資料確認日：2026-10-30