ある企業は複数のAWSアカウントを使用しています。この企業は、Microsoft Azure DevOpsと統合されたAWS ToolkitおよびAWS Single Sign-On（AWS SSO）を採用しています。A

Question

ある企業は複数のAWSアカウントを使用しています。この企業は、Microsoft Azure DevOpsと統合されたAWS ToolkitおよびAWS Single Sign-On（AWS SSO）を採用しています。AWS SSOでは、アクセス制御機能の属性マッピングが有効化されています。属性マッピングのリストには、以下の2つの項目が含まれています。「department」キーは「${path:enterprise.department}」にマッピングされ、「costCenter」キーは「${path:enterprise.costCenter}」にマッピングされます。
現在、すべてのAmazon EC2インスタンスには「department」タグが付与されており、その値は企業内の3つの部門（d1、d2、d3）に対応しています。DevOpsエンジニアは、これらの属性と一致するポリシーを作成したいと考えています。これらのポリシーは、管理作業を最小限に抑え、各Azure ADユーザーが自身の部門名と一致するEC2インスタンスのみにアクセスできるように制限する必要があります。
DevOpsエンジニアは、カスタム許可ポリシーにどの条件キーを含めるべきですか？

Accepted Answer

C. "Condition": { "StringEquals": { "ec2:ResourceTag/department": "${aws:PrincipalTag/department}" } }

Answer

A. "Condition": { "ForAllValues:StringEquals": { "aws:TagKeys": ["department"] } }

Answer

B. "Condition": { "StringEquals": { "aws:PrincipalTag/department": "${aws:ResourceTag/department}" } }

Answer

D. "Condition": { "ForAllValues:StringEquals": { "ec2:ResourceTag/department": ["d1", "d2", "d3"] } }

Q13 — AWS DOP-C02 第2章

正解: C. "Condition": { "StringEquals": { "ec2:ResourceTag/department": "${aws:PrincipalTag/department}" } }

解説