セキュリティ・IAM

AWS認定試験で頻出の「セキュリティ・IAM」分野の用語を10語まとめました。試験で問われる観点を交えて解説します。

AWS IAM（アイアム）

誰が（認証）どのAWSリソースに対し何を（認可）できるかを管理するアクセス制御の基盤サービス。ユーザー、グループ、ロール、ポリシーで権限を構成する。最小権限の原則やルートユーザーの保護、MFAの有効化など、セキュリティの土台として全試験で頻出。

IAMロール（アイアムロール）

一時的な権限のセットを、ユーザーやサービスに「引き受けさせる（AssumeRole）」仕組み。長期的なアクセスキーを埋め込まずに、EC2やLambdaへ安全に権限を付与できる。アクセスキーのハードコードを避けるベストプラクティスの解答として、極めて頻繁に出題される。

IAMポリシー（アイアムポリシー）

許可または拒否する操作を、JSON形式で定義した権限のルール文書。Effect、Action、Resource、Conditionといった要素で構成される。明示的な拒否（Deny）が許可より優先される評価ロジックや、最小権限を実現する書き方が試験で問われる。

AWS KMS（ケーエムエス）

暗号化に使う鍵（キー）を一元的に作成・管理するキー管理サービス。S3やEBS、RDSなど多くのサービスと統合し、保存データの暗号化を簡単に実現する。鍵のローテーションやアクセス制御、誰が暗号化を行えるかを管理する文脈で出題される。

AWS Secrets Manager（シークレットマネージャー）

データベースのパスワードやAPIキーなどの機密情報を安全に保管し、必要に応じて取得できるサービス。認証情報の自動ローテーションに対応し、コードへの平文埋め込みを防ぐ。機密情報をハードコードしない安全な管理方法の解答として登場する。

AWS WAF（ワフ）

SQLインジェクションやクロスサイトスクリプティングなど、Webアプリへの攻撃を防ぐWebアプリケーションファイアウォール。CloudFrontやALB、API Gatewayと連携し、ルールに基づきリクエストを許可・ブロックする。アプリケーション層（レイヤー7）の防御策として問われる。

AWS Shield（シールド）

DDoS攻撃からアプリケーションを保護するサービス。一般的な攻撃に自動対応する無料のStandardと、高度な保護と専門サポートを提供する有料のAdvancedがある。WAF（アプリ層の攻撃対策）に対し、ネットワーク／トランスポート層のDDoS対策として区別して問われる。

Amazon Cognito（コグニート）

Webやモバイルアプリにユーザーのサインアップやサインインといった認証機能を追加するサービス。ユーザーを管理するユーザープールと、AWSリソースへの一時認証情報を渡すIDプールから成る。アプリのユーザー認証や外部IDプロバイダー連携の解答として出題される。

Amazon GuardDuty（ガードデューティ）

ログ（CloudTrail、VPCフローログ、DNSログなど）を機械学習で分析し、不審な挙動や脅威を自動検出するセキュリティ監視サービス。エージェント導入なしで有効化でき、継続的に脅威を検知する。脅威検知の自動化が求められる運用要件の解答として問われる。

AWS Organizations / SCP（オーガニゼーションズ）

複数のAWSアカウントを一元管理し、一括請求や組織単位（OU）での整理を可能にするサービス。SCP（サービスコントロールポリシー）は組織内のアカウントに対し、許可できる操作の上限（ガードレール）を定める。アカウント横断のガバナンスとコスト統合の出題で頻出。

最終更新日: 2026-06-24

本ページの内容は、AWS公式ドキュメントを基に作成し、運営者が編集・監修しています。詳しくは編集・品質管理方針をご覧ください。