本文へスキップ
InfraDojo
AIキャリア診断法人プランログイン無料会員登録

AWS SAA-C03 対策 #02 IAM・セキュリティ

Pro会員限定入門約330分52レッスン

誰が・何を・どれにできるかを決める IAM と、データを守る暗号化・監視の仕組みを学びます。認証と認可の違いから始めて、ロール・ポリシー・KMS・CloudTrail までを身近なたとえで押さえ、CLI シミュレーターで実際に権限を組みます。過去問と暗記だけでは試験が終わると忘れる。だから読んだ直後に手を動かす。SAA の第1ドメイン（セキュア、配点 30%）の土台になる章です。

対象者: #00・#01 を終えた人。AWS アカウントは作れるが、誰に何を許すかの設計がまだ分からない人

前提知識: #00 AWSを学ぶ前の超基礎、#01 AWS・クラウドの基本（責任共有モデル・IAM の全体像）

この教材を終えると、できるようになること

  • 認証と認可の違いを、身近な例で説明できる。AWS で「誰が（プリンシパル）」「何を（アクション）」「どれに（リソース）」の3つを分けて考えられる。問題文の「アクセスを許可したい」「本人確認を強くしたい」が認証・認可のどちらの話か判断できる
  • IAM ユーザーとグループの関係を説明できる。なぜ権限をユーザーではなくグループに付けるのかを言える。AWS 管理ポリシーとカスタマー管理ポリシーの違いが分かる
  • IAM ユーザーとグループを CLI で作り、構成図と describe コマンドで確認できる。
  • IAM ユーザーと IAM ロールの違いを、たとえで説明できる。「EC2 から S3 にアクセスしたい」と聞かれたら、迷わずロールを選べる。信頼ポリシーと権限ポリシーの2つがロールに必要な理由を言える。EC2 にロールを付ける手順（インスタンスプロファイル）を CLI で実行できる
  • IAM ロール（サービスに一時的にかぶせる権限の帽子）を CLI で作り、構成図と describe コマンドで確認できる。
  • IAM ロール（サービスに一時的にかぶせる権限の帽子）の要件を読み解いて、自分で構成を組める。

…ほか 16 項目（レッスン一覧をご覧ください）

この講座はPro会員限定です。無料の会員登録後、無料レッスンのあるコースから学習を始められます。

無料で始めるログイン

Chapter 1認証と認可

あなたは誰か・何をしていいか。IAM ユーザー・グループ・ロール・ポリシーの関係と、最小権限・MFA・STS

  1. 認証と認可（あなたは誰か・何をしていいか）認証は「あなたは誰か」を確かめること。認可は「その人に何を許すか」を決めること。AWS のセキュリティはこの2つの組み合わせでできている約8分（有料会員限定）
  2. 認証と認可（あなたは誰か・何をしていいか） ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  3. 認証と認可（あなたは誰か・何をしていいか） 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）
  4. IAM ユーザーとグループIAM ユーザーは「人ひとり分のアカウント」。グループは「同じ役割の人をまとめる箱」で、権限はグループに付けるのが基本約8分（有料会員限定）
  5. IAM ユーザーとグループ ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  6. IAM ユーザーとグループ ハンズオンAWS CLI 風シミュレーター（学習用・非公式）で手順どおりに作り、右の構成図で確かめる約8分（有料会員限定）
  7. IAM ユーザーとグループ 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）
  8. IAM ロール（サービスに一時的にかぶせる権限の帽子）ロールは「人ではなく、EC2 や Lambda などに一時的に付ける権限の帽子」。パスワードもアクセスキーも持たない約10分（有料会員限定）
  9. IAM ロール（サービスに一時的にかぶせる権限の帽子） ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  10. IAM ロール（サービスに一時的にかぶせる権限の帽子） ハンズオンAWS CLI 風シミュレーター（学習用・非公式）で手順どおりに作り、右の構成図で確かめる約12分（有料会員限定）
  11. IAM ロール（サービスに一時的にかぶせる権限の帽子） 自分で組む完成条件だけを見て、自分で構成を組む約12分（有料会員限定）
  12. IAM ロール（サービスに一時的にかぶせる権限の帽子） 考える演習要件から構成を選ぶ・なぜその構成かを自分の言葉で選ぶ約6分（有料会員限定）
  13. IAM ロール（サービスに一時的にかぶせる権限の帽子） 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）
  14. IAM ポリシー（許可と拒否のルールブック）ポリシーは「誰が・何を・どれに」できるかを書いたルールブック。明示的な Deny が最優先で、書いていないものは全部拒否約11分（有料会員限定）
  15. IAM ポリシー（許可と拒否のルールブック） ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  16. IAM ポリシー（許可と拒否のルールブック） 考える演習要件から構成を選ぶ・なぜその構成かを自分の言葉で選ぶ約6分（有料会員限定）
  17. IAM ポリシー（許可と拒否のルールブック） 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）
  18. 最小権限と MFA（事故を小さくする4つの習慣）必要な権限だけ渡す（最小権限）、本人確認を二重にする（MFA）、ルートユーザーは使わない、アクセスキーは定期的に替える。この4つで事故の大きさが決まる約9分（有料会員限定）
  19. 最小権限と MFA（事故を小さくする4つの習慣） ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  20. 最小権限と MFA（事故を小さくする4つの習慣） ハンズオンAWS CLI 風シミュレーター（学習用・非公式）で手順どおりに作り、右の構成図で確かめる約12分（有料会員限定）
  21. 最小権限と MFA（事故を小さくする4つの習慣） 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）
  22. STS と一時的な認証情報（帽子を貸し出す窓口）STS は「期限つきの認証情報を発行する窓口」。ロールを引き受けるとき、別アカウントを触るとき、社内 ID でログインするときの裏側にいつもいる約9分（有料会員限定）
  23. STS と一時的な認証情報（帽子を貸し出す窓口） ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  24. STS と一時的な認証情報（帽子を貸し出す窓口） 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）

Chapter 2組織

複数の AWS アカウントをまとめる Organizations と、権限の上限を決める SCP、一括請求

  1. Organizations と SCP（複数アカウントの束ね方と上限）Organizations は複数の AWS アカウントを束ねる仕組み。SCP はアカウント全体にかける「権限の上限」で、権限を与えるものではない。請求もひとつにまとまる約9分（有料会員限定）
  2. Organizations と SCP（複数アカウントの束ね方と上限） ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  3. Organizations と SCP（複数アカウントの束ね方と上限） 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）

Chapter 3データ保護

保管時の暗号化（KMS・S3 の暗号化方式）、秘密情報の置き場所（Secrets Manager・Parameter Store）、通信の暗号化（ACM）

  1. KMS と暗号化（鍵を預かる金庫番）KMS は「暗号化に使う鍵を預かり、使うたびに記録する金庫番」。S3 の暗号化は SSE-S3 / SSE-KMS / SSE-C の3種類で、鍵を誰が管理するかが違う約11分（有料会員限定）
  2. KMS と暗号化（鍵を預かる金庫番） ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  3. KMS と暗号化（鍵を預かる金庫番） ハンズオンAWS CLI 風シミュレーター（学習用・非公式）で手順どおりに作り、右の構成図で確かめる約10分（有料会員限定）
  4. KMS と暗号化（鍵を預かる金庫番） 考える演習要件から構成を選ぶ・なぜその構成かを自分の言葉で選ぶ約6分（有料会員限定）
  5. KMS と暗号化（鍵を預かる金庫番） 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）
  6. Secrets Manager と Parameter Store（パスワードの置き場所）どちらも「設定や秘密をコードの外に置く場所」。Secrets Manager は自動ローテーションつきで有料、Parameter Store は無料枠があり設定値全般に使える約8分（有料会員限定）
  7. Secrets Manager と Parameter Store（パスワードの置き場所） ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  8. Secrets Manager と Parameter Store（パスワードの置き場所） ハンズオンAWS CLI 風シミュレーター（学習用・非公式）で手順どおりに作り、右の構成図で確かめる約7分（有料会員限定）
  9. Secrets Manager と Parameter Store（パスワードの置き場所） 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）
  10. ACM と証明書（通信を暗号化する身分証）ACM は HTTPS に必要な証明書を無料で発行し、期限が来たら自動で更新してくれる。ALB や CloudFront に付けて使う約8分（有料会員限定）
  11. ACM と証明書（通信を暗号化する身分証） ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  12. ACM と証明書（通信を暗号化する身分証） 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）

Chapter 4防御と監査

攻撃を防ぐ WAF・Shield、誰が何をしたかを記録する CloudTrail、脅威を見つける GuardDuty・Security Hub・Inspector・Macie

  1. WAF と Shield（Web への攻撃を入口で止める）WAF は「Web の中身を見て怪しいリクエストを止める門番」、Shield は「大量アクセスで押しつぶす攻撃（DDoS）から守る盾」。守る相手が違う約9分（有料会員限定）
  2. WAF と Shield（Web への攻撃を入口で止める） ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  3. WAF と Shield（Web への攻撃を入口で止める） 考える演習要件から構成を選ぶ・なぜその構成かを自分の言葉で選ぶ約6分（有料会員限定）
  4. WAF と Shield（Web への攻撃を入口で止める） 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）
  5. CloudTrail（誰が何をしたかの記録）CloudTrail は「AWS で誰が・いつ・何の操作をしたか」を全部記録する監査ログ。アプリのログは CloudWatch Logs、設定の変遷は Config、通信の記録は VPC Flow Logs と役割が分かれる約9分（有料会員限定）
  6. CloudTrail（誰が何をしたかの記録） ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  7. CloudTrail（誰が何をしたかの記録） ハンズオンAWS CLI 風シミュレーター（学習用・非公式）で手順どおりに作り、右の構成図で確かめる約6分（有料会員限定）
  8. CloudTrail（誰が何をしたかの記録） 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）
  9. GuardDuty と Security Hub（見張り役と集約係）GuardDuty は怪しい動きを見つける見張り、Security Hub は各サービスの警告を 1 画面に集める係、Inspector は弱点検査、Macie は S3 の個人情報探し。4 つの役割を一言で言えればよい約9分（有料会員限定）
  10. GuardDuty と Security Hub（見張り役と集約係） ミニクイズ読んだ直後に、短い問題で確かめる約3分（有料会員限定）
  11. GuardDuty と Security Hub（見張り役と集約係） ハンズオンAWS CLI 風シミュレーター（学習用・非公式）で手順どおりに作り、右の構成図で確かめる約4分（有料会員限定）
  12. GuardDuty と Security Hub（見張り役と集約係） 本番形式問題「ある企業では〜」のシナリオ問題で、本番の聞かれ方に慣れる約6分（有料会員限定）

Chapter 5章末テスト

この章の範囲から 20 問。正答率 80% 以上で理解できていると判定します。問題は毎回少しずつ変わります

  1. IAM・セキュリティ 章末テストこの章の範囲から 20 問。正答率 80% 以上で「理解できている」と判定します約30分（有料会員限定）
AWS SAA-C03 対策 #02 IAM・セキュリティ｜AWS SAA対策 | InfraDojo