AWSアカウントのrootユーザーに対する推奨事項として最も適切なものはどれですか？

解説

rootユーザーは強力な権限を持つため、日常利用を避け、MFAを有効化し、アクセスキーを作成しない運用が推奨されます。

選択肢ごとの解説

実務での使いどころ

AWS アカウントの root ユーザーは、当該アカウントに対するすべての操作権限（アカウント の解約、支払い情報の変更、サポートプランの変更を含む）を持つ最上位の特権アカウントで ある。権限が強すぎるため、日常運用での利用は推奨されておらず、AWS 公式のベストプラク ティスでは「root ユーザーは限定された数のタスク（例: 初回サインアップ後の IAM ユーザー作成、サポートプランの変更、特定の請求設定）にのみ使用し、それ以外の日常作業 には IAM ユーザーまたは IAM Identity Center で発行したユーザーを使う」運用が推奨されて いる。MFA（多要素認証）の有効化、強固なパスワード設定、アクセスキーを作成しない （または作成済みなら削除する）といった保護措置も必須に位置付けられる。 実務では、初期セットアップ完了後すぐに管理者用 IAM ユーザー（または IAM Identity Center のユーザー）を作成し、以後の作業はすべてその IAM ユーザー側で行う運用が標準 である。AWS Organizations を使う場合、メンバーアカウントの root ユーザーは Service Control Policy（SCP）でも完全には制限できないため、各アカウントの root ユーザーごとに MFA を有効化し、認証情報を金庫やパスワードマネージャーで厳重に管理 する必要がある。root ユーザーのアクセスキーが GitHub などのパブリックリポジトリに 誤って公開された場合、第三者にアカウントを乗っ取られて高額なリソースを起動される 事故が現実に発生しているため、アクセスキーを作成しないこと自体が最も確実な防御策と なる。 CLF-C02 では、「root ユーザーに対する推奨事項として正しいものはどれか」という形で 頻出する。正解は「日常作業では使わず、MFA を有効化する」のように、保護を強化し 利用を限定する選択肢である。誤答の典型は「アクセスキーを作成して GitHub に保存する」 「すべての開発者でパスワードを共有する」「請求情報を確認できないようにする」のように、 セキュリティのベストプラクティスと明らかに矛盾するパターンである。