最小権限設計 — IAMポリシー設計パターン

権限境界は、IAMユーザーやロールに設定できる**「実効権限の上限」**を定義する仕組みです。開発者に「IAMロールを自由に作成してよいが、そのロール自身が持てる権限は権限境界の範囲内に制限する」という設計をすることで、開発者が誤って（あるいは意図的に）強すぎる権限を持つロールを作成することを防げます。SCPが組織全体に対するガードレールであるのに対し、権限境界は個々のIAMエンティティに対するガードレールという違いがSAPで問われます。

**ABAC（属性ベースアクセス制御）**は、タグを使って動的にアクセス制御を行う設計手法です。「Projectタグがalphaのリソースには、同じくProject=alphaのタグを持つロールのみアクセスできる」というポリシーを一度定義すれば、新しいプロジェクトが追加されるたびにポリシーを書き換える必要がなく、スケーラブルな権限管理が実現できます。IAMロールを個別に量産するRBAC（ロールベース）よりも、大規模組織ではABACが推奨されるケースが増えている点が問われます。

IAM Access Analyzerは、実際のCloudTrailログ上のアクセス履歴を分析し、実際には使われていない過剰な権限を検出する機能（Access Analyzerのポリシー生成機能）を持ちます。「このロールは過去90日間、実際にはS3の読み取りしか行っていないが、ポリシー上はフルアクセスを許可している」といった乖離を検出し、最小権限のポリシーを自動生成できます。