AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. Amazon Cloud Directoryを使用する

Amazon Cloud Directory は、組織図や機器のカタログといった階層構造データを格納・検索するためのディレクトリストアです。
AWS マネジメントコンソールへのサインインを制御する仕組みではなく、ログインのセキュリティ強化とは無関係です。
「Directory」の語から Active Directory 連携を連想させる引っかけですが、その用途なら AWS Directory Service や IAM Identity Center が該当します。

B. AWS Identity and Access Management（IAM）ポリシーを定期的に見直す

IAM ポリシーの定期的な見直しは、最小権限の原則を保つ「認可」側の対策としては有効で、実施すべきベストプラクティスです。
しかしポリシーが制御するのは「ログイン後にどのリソースへ何ができるか」であり、ログイン時の本人確認を強化するものではありません。
パスワードが漏れた場合の不正サインインは防げないため、設問の要件（ログインセキュリティの強化）には直接応えません。

正解

C. 多要素認証（MFA）を有効にする

MFA（多要素認証）を有効にすると、ユーザー名とパスワード（知識要素）に加えて、認証アプリやセキュリティキーが生成するワンタイムコード等（所持要素）がサインイン時に要求されます。
これにより、パスワードが漏洩しても第 2 の要素が無ければログインできず、不正アクセスのリスクを大幅に低減できます。
特にルートユーザーと特権 IAM ユーザーへの MFA 有効化は AWS のセキュリティベストプラクティスの筆頭であり、コンソールログインを直接強化する唯一の選択肢＝正解です。

D. AWS CloudTrailを有効にする

AWS CloudTrail は、アカウント内のAPI 呼び出しやコンソール操作の履歴を記録する監査ログサービスです。
不正ログインの事後検知・追跡には役立ちますが、ログインそのものを阻止・強化する機能はありません（記録は「予防」ではなく「発見的統制」）。
設問は「ログインセキュリティを強化する対策」を求めているため不適です。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
強化したいのは「マネジメントコンソールへのログイン」	対象は認証（本人確認）のレイヤー。認可（権限）や監査（ログ）とは層が異なる →選択肢（C）が正解
パスワードだけでは漏洩時に突破される	MFA で「所持要素」を追加すれば、パスワードが漏れても単独ではサインインできない →選択肢（C）が正解
IAM ポリシーの見直しは何を守るか	ログイン後の権限（認可）を最小化する施策。ログイン自体の強化にはならない →選択肢（B）は候補に見えるが消す
記録・検知系のサービスか	CloudTrail は操作履歴の記録＝事後の監査。Cloud Directory は階層データの管理で認証と無関係 →選択肢（A・D）を消す

ひっかけポイント

• 選択肢 B（IAM ポリシーの見直し）はそれ自体が正しいベストプラクティスなので選びがち。しかし設問が求めるのは「ログイン＝認証」の強化で、ポリシーは「認可」の話
• CloudTrail は「セキュリティ強化」の文脈で頻出するが、予防的統制ではなく発見的統制。「防ぐ」のか「記録する」のかを読み分ける
• Amazon Cloud Directory と AWS Directory Service は別物。前者は階層データストア、後者が Microsoft AD 連携。名前の似たサービスに注意
• MFA はルートユーザーに最優先で設定する。「ルートユーザーの保護策は？」という形で問われても答えは同じ MFA（＋日常運用ではルートを使わない）

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「ルートユーザーのセキュリティを保護するベストプラクティスは」	MFA の有効化＋アクセスキーを作らない・日常業務では使わないが正解軸に。
「社員が既存の社内 ID（Active Directory）でシングルサインオンしたい」	AWS IAM Identity Center（旧 AWS SSO）が正解に変わる。
「誰がいつどの API を呼び出したかを追跡したい」	AWS CloudTrail が正解に変わる。
「アプリケーションからの AWS アクセスで長期キーを使わないようにしたい」	IAM ロール（一時的な認証情報）が正解軸に。MFA はコンソールログイン向けの対策。

関連サービスの解説

AWS IAM Identity Center (AWS Single Sign-On)
AWS CloudTrail
AWS Identity and Access Management (AWS IAM)