SAP-C02 練習問題 8

ある企業に、Auto Scaling グループ内の Amazon EC2 インスタンスを使用するアプリケーションがあります。品質保証（QA）部門は、アプリケーションをテストするために、多数の短命な（short-lived）環境を起動する必要があります。アプリケーション環境は現在、部門のマネージャーが AWS CloudFormation テンプレートを使用して起動しています。スタックを起動するために、マネージャーは CloudFormation、EC2、Auto Scaling の API を使用する権限を持つロールを使用しています。 マネージャーは、テスター自身が自分の環境を起動できるようにしたいと考えていますが、各ユーザーに広範な権限を付与したくはありません。 これらの目標を達成するセットアップはどれですか？

【正解】B

【0からの解説】
「広範な権限を各ユーザーに与えずに、ユーザー自身がセルフサービスでプロビジョニングできるようにする」というのは AWS Service Catalog の中心的なユースケースです。

Service Catalog では、管理者が CloudFormation テンプレートを「製品（product）」として登録し、ポートフォリオでユーザーに公開します。ここで重要なのが「起動制約（Launch Constraint）」です。製品に既存のマネージャーのロール（EC2・Auto Scaling・CloudFormation 権限を持つロール）を起動制約として設定すると、実際のリソース作成はその制約ロールの権限で行われます。

そのため、テスターには「Service Catalog の API を使う権限」だけを与えればよく、テスター自身は EC2 や CloudFormation の直接権限を一切持ちません。これにより最小権限を保ちながらセルフサービスを実現できます。

【誤りの選択肢】
A：ユーザーにマネージャーのロールを assume させると、ポリシーで絞っても実質そのロールの権限をユーザーが直接行使できることになり、「広範な権限を付与しない」という意図が崩れます。テンプレート/リソース単位での厳密な制限も運用が複雑です。
C：ユーザーに CloudFormation と S3 の権限を直接付与すると、結局スタックが作成する EC2/Auto Scaling リソースを作る権限も必要になり、最小権限の維持が困難です。Service Catalog の起動制約のような権限分離ができません。
D：Elastic Beanstalk は Web アプリのデプロイ/管理向けのサービスで、既存の Auto Scaling アプリの CloudFormation テンプレートをそのまま「短命なテスト環境」として量産する用途には適しません。要件のセルフサービス＋最小権限という観点でも Service Catalog が最適です。

【参考】
AWS Service Catalog とは
Service Catalog の起動制約（Launch Constraints）