AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. きめ細かなアクセス制御 (Fine-Grained Access Control) を有効化し、内部ユーザーデータベースを用いた HTTP Basic 認証を行う

きめ細かなアクセス制御 (FGAC) を有効にすると内部ユーザーデータベースが利用でき、ユーザー名とパスワードによる HTTP Basic 認証で OpenSearch Dashboards や REST API にアクセスできます。
ドメイン単体で完結する標準機能であり、「サポートしていない方式」には当たりません。

B. Amazon Cognito と連携し、OpenSearch Dashboards へのサインインを管理する

Amazon Cognito 認証は、ドメインの設定項目として用意されている公式にサポートされた方式です。
ユーザープールでサインインを管理し、IDプールから引き受けた IAM ロールで Dashboards へのアクセスを制御します。
標準機能なので、この設問の答えにはなりません。

C. SAML 2.0 に対応した ID プロバイダーと連携し、OpenSearch Dashboards へのシングルサインオンを行う

SAML 認証も OpenSearch Dashboards のシングルサインオン手段として正式にサポートされています。
ID プロバイダーのメタデータを登録し、IdP 側のロールを FGAC のバックエンドロールにマッピングすることで、既存の ID 基盤をそのまま利用できます。
これも標準機能です。

正解

D. OAuth 2.0 プロバイダーとネイティブに統合し、Dashboards や API へのアクセスを認証する

正解（＝サポートされていない方式）です。Amazon OpenSearch Service が提供する認証方式は IAM、内部ユーザーデータベース、Amazon Cognito、SAML 2.0 であり、OAuth 2.0 プロバイダーと直接ネイティブに統合する設定は用意されていません。
OAuth ベースの ID プロバイダーを使いたい場合は、Cognito ユーザープールのフェデレーション経由にするなど、間に別サービスを挟む必要があります。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
FGAC の内部ユーザーデータベースでユーザー名・パスワード認証	FGAC の標準機能。HTTP Basic 認証でそのままアクセスできる →選択肢（A）を消す
Dashboards へのサインイン管理	Amazon Cognito 認証はドメイン設定に用意された正式なオプション →選択肢（B）を消す
既存の ID プロバイダーとのシングルサインオン	SAML 2.0 による Dashboards の SSO は公式サポート →選択肢（C）を消す
OAuth 2.0 プロバイダーとのネイティブ統合	マネージドの OpenSearch Service にはこの統合設定が存在しない。Cognito などを間に挟む必要がある →選択肢（D）が正解

ひっかけポイント

• 「サポートしていないものはどれか」という否定形の設問。3 つの正しい機能を読んで納得したまま、つい"正しいもの"を選んでしまうのが最大の罠
• Amazon Cognito 自体は OAuth 2.0 / OpenID Connect に対応しているが、それはCognito 側の仕様。OpenSearch Service が OAuth プロバイダーと直接つながるわけではない
• SAML と OAuth 2.0 / OIDC はどちらも「外部 IdP との連携」に見えるが、OpenSearch Service が受け付けるのは SAML 側だけ
• 内部ユーザーデータベースはFGAC を有効化してマスターユーザーを設定して初めて使える。FGAC 無効のままでは利用できない点も混同しやすい

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「既存の Active Directory のアカウントで Dashboards にサインインしたい」	SAML 認証（または Cognito 経由のフェデレーション）が正解に。
「アプリケーションから署名付きリクエストでドメインの API を呼びたい」	IAM ベースの認証（SigV4 署名）が正解軸に。
「インデックスやドキュメント・フィールド単位で参照範囲を分けたい」	FGAC のドキュメントレベル／フィールドレベルセキュリティが正解に。
「ドメインをインターネットに公開せずアクセスさせたい」	認証ではなく VPC アクセス＋セキュリティグループの設計が論点になる。

関連サービスの解説

Amazon OpenSearch Service
Amazon Cognito

リファレンス

この問題を解くために必要な知識を扱う公式ドキュメントです。

知識項目	公式ドキュメント
OpenSearch Service のきめ細かなアクセス制御と認証方式	Amazon OpenSearch Service のきめ細かなアクセスコントロール