最小権限のセキュアアーキテクチャ（IAM Access Analyzer）難易度 標準無料
セキュリティチームが、組織内のS3バケット・IAMロール・KMSキーなどのリソースについて、①組織外のアカウントへ意図せずアクセスを許可しているリソースベースポリシーを洗い出したい、②あわせて過去90日間使われていない過剰な権限（未使用のアクセス）を持つロールを見つけて最小権限化のヒントにしたい。これらを実現する最も適切なサービスを選べ。（単一選択）
- AAWS Trusted Advisorのセキュリティチェックを使えば、外部アクセスの検出と未使用アクセスの分析の両方を同等の粒度で行える
- BAWS CloudTrail Insightsを有効化し、異常なAPI呼び出しパターンを検出することで、外部アクセスの許可状況と未使用の権限を特定する
- CIAM Access Analyzerを使う。外部アクセスアナライザーでリソースベースポリシーが組織外に許可している箇所を検出し、未使用アクセスアナライザーで一定期間使われていない権限・ロールを検出して最小権限化の推奨を得る
- DAWS Config単体（追加のカスタムルール無し）で、外部アクセスの許可状況と未使用アクセスの両方を標準機能として分析できる
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：CAI作成・独立検証済
解説
この2つの要件はいずれもIAM Access Analyzerの機能領域である。
- 外部アクセスの分析（external access analyzer）：S3バケットポリシー、IAMロールの信頼ポリシー、KMSキーポリシー、SQSキューポリシーなど リソースベースポリシーを解析し、組織/アカウントの「ゾーン・オブ・トラスト」の外側にアクセスを許可している箇所を検出する。
- 未使用アクセスの分析（unused access analyzer）：過去の実際のCloudTrail利用状況から、 一定期間（追跡期間を設定可能）使われていない権限・ロール・アクセスキーを検出し、最小権限化の推奨を提示する。
Trusted Advisorは一般的なベストプラクティスチェック（例：S3バケットのパブリックアクセス有無の簡易チェック等）は行うが、 本問のようなリソース単位・ポリシー単位の詳細な外部アクセス分析や未使用アクセス分析には対応していない。CloudTrail Insightsは異常なAPI呼び出しパターンの検出であり権限分析ではない。
- ATrusted Advisorは一般的なベストプラクティスの簡易チェックが中心で、リソースポリシー単位の外部アクセス検出や未使用アクセスの継続分析はカバーしない。
- BCloudTrail Insightsは呼び出し頻度・パターンの異常検知が目的であり、ポリシー上どの権限が外部に開いているか・どの権限が未使用かを直接分析する機能ではない。
- DAWS Config自体はリソース設定の変更履歴・コンプライアンス評価の基盤であり、本問のような外部アクセス分析・未使用アクセス分析を標準機能単体では提供しない（この用途にはIAM Access Analyzerが専用に設計されている）。
ひっかけ： 「Trusted Advisorでも同程度の分析ができる（A）」という誤解に注意。Trusted Advisorのセキュリティチェックはより一般的なベストプラクティス項目が中心で、
本問のようなポリシー単位での外部アクセス検出・未使用アクセスの継続分析はIAM Access Analyzer固有の機能である。
公式ドキュメント・関連IAM User Guide ― Identifying unused access using IAM Access Analyzer↗IAM User Guide ― Using IAM Access Analyzer to identify resources shared with an external entity↗
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）