5.1標準
要約アプリはS3の指定バケットを読み取るだけでよい。
モデル呼び出しとデータアクセスを別権限にする。
IAM設計として適切なものを2つ選べ。
× 不正解
AIアプリには、必要なサービス・アクション・リソースだけを許可し、環境や役割を分離する。モデル出力を認可に使わない。
詳細解説
正しい実行ロールに必要なS3読み取りとモデル呼び出しだけを許可する
不要な削除、管理、別バケットへのアクセスを防げる。
不要な削除、管理、別バケットへのアクセスを防げる。
問題の要件では、実行ロールに必要なS3読み取りとモデル呼び出しだけを許可するが解決する範囲と、別の工程が担う範囲を分けて判断する。
正しい環境ごと・サービスごとにロールを分け、条件とリソースARNを限定する
権限の範囲と責任を小さくし、誤設定の影響を抑えられる。
権限の範囲と責任を小さくし、誤設定の影響を抑えられる。
問題の要件では、環境ごと・サービスごとにロールを分け、条件とリソースARNを限定するが解決する範囲と、別の工程が担う範囲を分けて判断する。
誤り簡単なので全てのAIアプリにAdministratorAccessを付ける
侵害時の影響が大きく、最小権限に反する。
侵害時の影響が大きく、最小権限に反する。
問題の要件では、簡単なので全てのAIアプリにAdministratorAccessを付けるが解決する範囲と、別の工程が担う範囲を分けて判断する。
誤りモデルの出力をそのままIAMポリシーとして実行する
生成出力は信頼された認可判断ではなく、サーバー側で制御すべきである。
生成出力は信頼された認可判断ではなく、サーバー側で制御すべきである。
問題の要件では、モデルの出力をそのままIAMポリシーとして実行するが解決する範囲と、別の工程が担う範囲を分けて判断する。
実際に確かめる
一時的な検証環境で実行できる例です。
AWS公式IAM最小権限とAIF-C01 Domain 5.1のAIシステム保護を確認する。期待される結果
AIアプリの実行ロールを最小権限で設計し、認可をモデルから分離できる。理解のポイント
- 最小権限
- ロール分離
- 認可
確認時の注意
- 確認環境: AWS公式AIF-C01試験ガイドとAWS公式ドキュメントの確認
- AWS公式ドキュメントで、対象サービスが提供する機能と前提条件を確認する。
- モデル、データ、アプリケーション、利用者の責任分界を混同しない。
基礎のおさらい
最小権限
主体へ必要最小限の操作、リソース、条件だけを与えるアクセス管理原則。
実行ロール
AWSサービスやアプリケーションが一時的に引き受けて操作するIAMロール。
問題IDAWS-AIF-111
確認環境AWS公式AIF-C01試験ガイドとAWS公式ドキュメントの確認
最終技術確認2026-08-20
誤り・権利侵害を報告