AWS ソリューションアーキテクト プロフェッショナル組織の委譲とアカウント境界オリジナル・公式資料照合難易度
外部CI基盤から各開発アカウントへデプロイする。CIに長期アクセスキーを保管せず、特定のリポジトリと環境だけを信頼したい。適切な構成はどれか。
A
OIDC連携のIAMロールを用い、発行者・audience・subject等の条件を限定する★ 正解
外部IdPのトークンを検証して一時認証へ交換し、信頼条件を対象CI実行へ絞る。
B
全リポジトリで同じ管理者アクセスキーを共有する
長期鍵の保管と広い権限共有が残る。
C
OIDC発行者さえ一致すればsubject等を無条件にする
同じIdPを使う別主体までロールを引き受けられる恐れがある。
D
認証に成功したトークンなら任意アカウントの全操作を許す
認証と必要操作への認可は分け、最小権限にする。
解説
外部IdPのトークンを検証して一時認証へ交換し、信頼条件を対象CI実行へ絞る。
根拠資料・確認情報
対応範囲：SAP-C02
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。
同じレッスンの問題
問題 1
複数アカウントの運用サービスでOrganizationsのtrusted accessを有効にする。全社員のIAM権限もそのサービスで管理者になるという理解を訂正する説明はどれか。
問題 2
買収したAWSアカウントを隔離OUから本番OUへ移す。既存アプリの継続動作と統制の維持のため、事前に確認すべきことはどれか。
問題 3
組織全体の課金・アカウント管理を行う管理アカウントへ、本番業務アプリも置こうとしている。SCPによる統制を重視する場合の改善はどれか。
問題 4
ネットワーク部門のVPCサブネットを、同じOrganizationsの複数アプリ用アカウントへ共有する。アプリ用アカウントの責任範囲として適切なのはどれか。