ある企業が Amazon SageMaker パイプラインを使って機械学習ワークフローを自動化している。セキュリティ審査で「パイプラインのトレーニングジョブが過剰な権限で動作している」と指摘された。最小権限の原則に従ってリスクを軽減するために実施すべき対策を2つ選択してください。
- A. SageMaker 実行ロールをトレーニングジョブ用・デプロイ用・データ処理用に分割し、各ジョブ種別に必要な権限のみを付与する
- B. IAM ポリシーの Condition 要素に sagemaker:VpcSubnets などの条件キーを追加して、特定の VPC サブネット内からの操作のみを許可する
- C. SageMaker ドメインの全ユーザーに同一のロールを付与して一元管理する
- D. 定期的に AWS IAM Access Analyzer を使って SageMaker ロールの実際の使用権限を分析し、未使用の権限を削除する
- E. すべての SageMaker ジョブを同一の AdministratorAccess ロールで実行してロール管理の複雑さを下げる
解答と解説を見る
正解: A, B
最小権限の原則の実践には、ロールをジョブの種類・用途ごとに細分化して必要な権限のみを付与する（A）ことと、IAM Condition で操作可能なネットワーク範囲やリソースを絞り込む（B）ことが効果的。Eの全ジョブに AdministratorAccess を付与するのは最小権限の原則に完全に違反し、侵害時のリスクが最大化する。Cのすべてのユーザーへの同一ロール付与も細かいアクセス制御ができず過剰権限になりやすい。Dの IAM Access Analyzer による未使用権限の定期削除も有効な施策だが、Condition による事前制限（B）と比較して即時性・予防性に欠けるため、AとBの組み合わせが最も適切。
📚 関連サービスの解説: Amazon SageMaker ・ AWS IAM