AWSリソースへのアクセス許可を定義するJSON形式のドキュメントはどれですか？

解説

IAMポリシーは、どのAWSリソースに対して、どの操作を許可または拒否するかを定義するJSON形式のドキュメントです。

選択肢ごとの解説

実務での使いどころ

AWS Identity and Access Management（IAM）におけるポリシー（IAM ポリシー）は、AWS リソースに対する「誰が」「どのリソースに対して」「どの操作を」「許可するか/拒否するか」を 定義する JSON 形式のドキュメントである。ポリシーは Version・Statement・Effect・Action・ Resource・Condition といった要素から構成され、Effect（Allow/Deny）と Action（API アクション名）、Resource（対象 ARN）の組み合わせでアクセス権限を表現する。ポリシーは IAM ユーザー・IAM グループ・IAM ロールにアタッチされて初めて効果を持つ。 試験文脈では「AWS リソースへのアクセス許可を JSON 形式で定義するもの」として IAM ポリシーを選ばせる問題が出る。誤答として「アベイラビリティゾーン（リージョン内の 独立データセンター群）」「リザーブドインスタンス（割引購入オプション）」「リージョン （地理的エリア）」など、アクセス制御とは役割の異なるリソース概念が並ぶパターンが 多い。「JSON 形式」「アクセス許可の定義」というキーワードが揃った時点で IAM ポリシー 以外の選択肢は切り捨ててよい。 実務では、ポリシーは AWS 管理ポリシー（AWS があらかじめ用意したもの）、カスタマー 管理ポリシー（利用者が再利用可能な形で作成したもの）、インラインポリシー（特定の プリンシパルに直接埋め込んだもの）の 3 種類で運用する。最小権限の原則に従い、必要な Action を必要な Resource に対してのみ許可する設計が推奨される。CLF-C02 では IAM ユーザー・IAM グループ・IAM ロール・IAM ポリシーの 4 概念の役割分担と、責任共有 モデルにおける「IAM はユーザー責任の領域である」点が頻出論点となる。