Q30 — AWS SAA-C03 第14章

第 30/100 問 | ← 第14章

Q1030. ある企業が、複数のチームが利用する Amazon EMR クラスターを作成したいと考えています。この企業は、各チームのビッグデータワークロードが、各チームが必要とする AWS サービスのみにアクセスできるようにすることを望んでいます。また、クラスターの基盤となる EC2 インスタンス上の Instance Metadata Service Version 2（IMDSv2）へのワークロードからのアクセスを禁止したいと考えています。これらの要件を満たす解決策はどれですか？

正解: B. EMR ランタイムロールを作成します。クラスターがそのランタイムロールを使用するよう設定します。そして、そのランタイムロールを使用してビッグデータワークロードを送信します。

解説

各チームのビッグデータワークロードが、必要な AWS サービスのみにアクセスでき、かつ Amazon EMR クラスターの基盤となる EC2 インスタンス上の Instance Metadata Service Version 2（IMDSv2）へのアクセスを防止するという要件を満たすには、以下の選択肢が最も適しています： B. EMR ランタイムロールを作成し、クラスターがそのランタイムロールを使用するよう設定します。そして、そのランタイムロールを使用してビッグデータワークロードを送信します。 解説： 1. EMR ランタイムロール： 　・EMR ランタイムロールにより、EMR クラスター上で実行される各チームのジョブに対して、きめ細かいアクセス許可を指定できます。各チームは、必要最低限の特定 AWS サービスにのみアクセス可能な独自のランタイムロールを持つことができ、不要なリソースへのアクセスを防ぎます。 2. アクセスの分離： 　・ランタイムロールを用いることで、ジョブ単位でのアクセス許可管理が可能となり、最小権限の原則（Principle of Least Privilege）を実現し、セキュリティとコンプライアンスを強化できます。 3. IMDS アクセス制御について： 　・ランタイムロール自体は IMDS への直接的なアクセス制御を行いませんが、EMR クラスターおよび関連 IAM ロールの設計において、IMDS への依存を最小限に抑えることが可能です。ただし、IMDS 自体の使用を完全に無効化するには、追加の IAM ポリシーまたは EC2 インスタンスの IMDSv2 設定（例：`--http-tokens required` の強制）が必要になる場合があります。 他の選択肢の評価： A. 各チームが必要とする AWS サービス向けにインターフェイス型 VPC エンドポイントを設定する： 　・この方法は、VPC 内から AWS サービスへ安全にアクセスする手段を提供しますが、チームごとのアクセス権限の制御や IMDSv2 へのアクセス禁止といった要件を満たしません。 C. 各チームに必要な権限を持つ EC2 IAM インスタンスプロファイルを作成する： 　・インスタンスプロファイルはインスタンスレベルで適用されるため、同一インスタンス上で実行されるすべてのワークロードが同じ権限を継承します。これはチーム単位でのアクセス分離という要件に反します。 D. EnableApplicationScopedIAMRole オプションを false に設定した EMR セキュリティ構成を作成する： 　・この設定は、アプリケーションスコープの IAM ロールの使用を制限しますが、各チームに異なる権限を付与する機能はなく、要件を満たしません。 結論： 選択肢 B は、各チームのワークロードが必要な AWS サービスのみにアクセスできるよう制御し、モジュール的かつセキュアな Amazon EMR 環境を実現する最も効果的な解決策です。