4.1標準
複数のデータチームがSageMaker Unified Studioの同じドメインを利用し、プロジェクトごとに扱うデータが異なる。
利用者には所属プロジェクトの作業だけを許可し、ドメイン管理や他プロジェクトのデータ操作は許可したくない。
最も適切な設計または運用はどれか。
× 不正解
SageMaker Unified Studioのドメインとプロジェクトの境界に合わせてIAMロールとポリシーを分離し、プロジェクト単位の認証・アクセスを設計する。
詳細解説
誤りすべての利用者へAdministratorAccessを付与する
プロジェクト境界を越えた管理操作とデータアクセスが可能になる。
誤りCloudTrailの閲覧権限だけでプロジェクト参加者を管理する
監査ログの参照は認証主体や実効権限の付与を行わない。
正しいプロジェクト用のIAMロールとポリシーを割り当て、ドメイン管理権限とは分離する
プロジェクトの作業に必要なデータ・ジョブ操作だけを許可し、主体ごとの認証境界を維持できる。
誤りS3バケットを公開してプロジェクトを識別する
公開設定は利用者の認証やプロジェクト単位の権限分離を提供しない。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
SageMaker Unified Studio domains/projects、IAM roles、IAM policy evaluationの公式説明を確認する。
参考にした公式資料
確認できる内容
管理者権限の一括付与、公開設定、監査ログ参照と、プロジェクト境界に沿った認証設計の違いを説明できる。
理解のポイント
- SageMaker Unified Studio
- Domain
- Project
- IAM role
確認時の注意
- 確認環境: AWS公式DEA-C01試験ガイドと各サービスの公式ドキュメントの確認
- AWS公式DEA-C01の該当Skillと各サービスの現行ドキュメントを確認する。
基礎のおさらい
ドメイン
SageMaker Unified Studioの利用者、設定、プロジェクトをまとめる管理境界。
プロジェクト
データ、ツール、処理資産をチームや用途ごとに分離して管理する作業境界。
IAMロール
利用主体やサービスが一時的な認証情報でAWS操作を行うための権限集合。
問題IDAWS-DEA-311
確認環境AWS公式DEA-C01試験ガイドと各サービスの公式ドキュメントの確認
最終技術確認2026-08-31
誤り・権利侵害を報告