這些題目為學習目的而獨立製作，並非 AWS 官方考題、實際考題、外流題或考題庫。
CLF-010
關於 IAM 角色（IAM Role）的描述，下列何者最為適切？
選項
解析與正確答案
閱讀解析與正確答案（劇透：建議先自行作答）
正確答案：A. 使用臨時認證資訊向 AWS 服務或使用者授與權限的機制
解析
IAM 角色是向 AWS 服務或使用者等，使用臨時認證資訊授與權限的機制。
各選項解析
A. 使用臨時認證資訊向 AWS 服務或使用者授與權限的機制
正確。IAM 角色使用臨時認證資訊這一點相當重要。
B. 壓縮 S3 儲存貯體內影像的服務
錯誤。並非影像壓縮服務。
C. Route 53 的網域註冊功能
錯誤。網域註冊屬於 Route 53 的功能。
D. 顯示 EC2 執行個體 CPU 使用率的圖表
錯誤。指標的顯示屬於 CloudWatch 的領域。
實際使用情境
IAM 角色是針對 AWS 資源或使用者，以發行臨時認證資訊的形式授與權限的機制。 IAM 使用者擁有與「人」綁定的永久性憑證（密碼／存取金鑰），相對地，IAM 角色不與 單一實體綁定，會於需要的時點透過 AssumeRole 取得臨時憑證（STS 所發行的存取金鑰 ID／密碼存取金鑰／工作階段權杖）。所發行的認證資訊設有有效期限，外洩時影響範圍 會在時間軸上受到限制，這是與長期有效的存取金鑰相比最大的優點。 實務上常見的運用模式有 3 種。第 1 種是 EC2 執行個體設定檔，於 EC2 上運作的應用 程式存取 S3 或 DynamoDB 時，不將存取金鑰嵌入程式碼或環境變數，而是透過 IAM 角色 取得權限的架構。第 2 種是 Lambda 執行角色，用於 Lambda 函式存取其他 AWS 服務時 的認證。第 3 種是跨帳戶存取，透過允許其他 AWS 帳戶的 IAM 使用者或角色 AssumeRole， 可在不共用長期憑證的情況下實現帳戶間的整合。Identity Center（舊 SSO）與 Cognito 在內部也利用 IAM 角色的臨時憑證發行機制。 CLF-C02 中，會以「關於 IAM 角色的描述，下列何者最為適切」「不使用存取金鑰由 EC2 存取 S3 的方法為何」等形式被考問。常見誤答模式為將「影像壓縮服務」「指標顯示」 「網域註冊功能」等與 IAM 不同領域的服務當作正解。SAA-C03 之後則會更深入地考問 IAM 使用者／群組／角色／政策的搭配運用、信任政策與存取許可政策的差異、AssumeRole 的授權流程等。