對於 AWS 帳戶的 root 使用者，最適切的建議事項為何？

解析

root 使用者擁有強大權限，因此建議避免日常使用、啟用 MFA，並且不建立存取金鑰。

各選項解析

實際使用情境

AWS 帳戶的 root 使用者，是對該帳戶持有所有操作權限（包含帳戶解約、付款資訊變更、Support 方案變更等）的最高層特權帳戶。由於權限過於強大，並不建議於日常運用中使用。AWS 官方的最佳實務建議「root 使用者僅於有限的作業（例如首次註冊後建立 IAM 使用者、變更 Support 方案、特定的帳單設定）使用，其餘日常作業則使用 IAM 使用者或透過 IAM Identity Center 核發的使用者」。啟用 MFA（多因素認證）、設定強密碼、不建立存取金鑰（若已建立則刪除）等保護措施也屬於必要的位階。 實務上，標準的做法是在初期設定完成後立即建立管理者用的 IAM 使用者（或 IAM Identity Center 的使用者），之後的所有作業均在該 IAM 使用者端進行。使用 AWS Organizations 時，成員帳戶的 root 使用者即使透過 Service Control Policy（SCP）也無法完全限制，因此需要對每個帳戶的 root 使用者啟用 MFA，並以保險箱或密碼管理工具嚴密管理認證資訊。曾經實際發生過 root 使用者的存取金鑰誤公開於 GitHub 等公開儲存庫，導致第三方接管帳戶並啟動高額資源的事故，因此「不建立存取金鑰」本身就是最確實的防禦措施。 CLF-C02 中經常以「對 root 使用者的建議事項中，何者正確」的形式出題。正解為「不用於日常作業，並啟用 MFA」這類強化保護並限制使用的選項。誤答的典型則是「建立存取金鑰並儲存於 GitHub」「由所有開發者共用密碼」「禁止任何人檢視帳單資訊」等，明顯與安全最佳實務相互矛盾的模式。