5.1標準
要約アプリはS3の指定バケットを読み取るだけでよい。
モデル呼び出しとデータアクセスを別権限にする。
IAM設計として適切なものを2つ選べ。
× 不正解
AIアプリには、必要なサービス・アクション・リソースだけを許可し、環境や役割を分離する。モデル出力を認可に使わない。
詳細解説
誤りモデルの出力をそのままIAMポリシーとして実行する
生成出力は信頼された認可判断ではなく、サーバー側で制御すべきである。
正しい実行ロールに必要なS3読み取りとモデル呼び出しだけを許可する
不要な削除、管理、別バケットへのアクセスを防げる。
正しい環境ごと・サービスごとにロールを分け、条件とリソースARNを限定する
権限の範囲と責任を小さくし、誤設定の影響を抑えられる。
誤り簡単なので全てのAIアプリにAdministratorAccessを付ける
侵害時の影響が大きく、最小権限に反する。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
AWS公式IAM最小権限とAIF-C01 Domain 5.1のAIシステム保護を確認する。
参考にした公式資料
確認できる内容
AIアプリの実行ロールを最小権限で設計し、認可をモデルから分離できる。
理解のポイント
- 最小権限
- ロール分離
- 認可
確認時の注意
- 確認環境: AWS公式AIF-C01試験ガイドとAWS公式ドキュメントの確認
- AWS公式ドキュメントで、対象サービスが提供する機能と前提条件を確認する。
- モデル、データ、アプリケーション、利用者の責任分界を混同しない。
基礎のおさらい
最小権限
主体へ必要最小限の操作、リソース、条件だけを与えるアクセス管理原則。
実行ロール
AWSサービスやアプリケーションが一時的に引き受けて操作するIAMロール。
問題IDAWS-AIF-111
確認環境AWS公式AIF-C01試験ガイドとAWS公式ドキュメントの確認
最終技術確認2026-08-20
誤り・権利侵害を報告