CLF-C02 (クラウドプラクティショナー) の練習問題のうち 3 問で AWS IAM Identity Center が正解になります。出題はすべて第 2 分野: セキュリティとコンプライアンス (3問) からです。タスク単位では「タスク 2.3 AWS のアクセス管理機能を特定する」が 3 問と中心で、ここが AWS IAM Identity Center を学ぶうえで最優先の論点です。誤答の選択肢としては AWS Resource Access Manager、AWS RAM、AWS CLI が併記されやすく、これらとの役割の違いを説明できるかどうかが正誤の分かれ目になります。
AWS IAM Identity Center の出題分野の内訳
分野別
第 2 分野: セキュリティとコンプライアンス
3問
タスク別（AWS 公式 Exam Guide のタスクステートメント）
タスク 2.3 AWS のアクセス管理機能を特定する
3問
AWS IAM Identity Center の例題 3問（クリックで即採点）
選択肢をタップするとその場で正誤が分かります。ログインもページ移動も不要です。
例題 1
単一選択
難易度: 標準
既存の社内 ID を使うフェデレーション
オンプレミスの Microsoft Active Directory を運用する企業が、社員が既存の社内 ID のまま AWS マネジメントコンソールにサインインできるようにしたいと考えています。最も適した方法はどれですか。
解説を読む（正解: D）
フェデレーテッドアイデンティティとは、AWS の外部にある既存の ID ストア (Active Directory や SAML 2.0 / OIDC 対応の ID プロバイダーなど) で認証したユーザーに、AWS 側で IAM ユーザーを作らずに一時的な認証情報を与える仕組みです。AWS IAM Identity Center を使うと、外部 ID プロバイダーや AWS Directory Service 経由の Active Directory を ID ソースとして接続し、社員は使い慣れた社内 ID でサインインして、割り当てられた許可セットの範囲でコンソールを利用できます。入退社時の権限管理も社内ディレクトリ側の操作に一元化できるため、D が正解です。A は、社員数分の IAM ユーザーを二重管理することになり、退職者の削除漏れやパスワードの二重運用という運用負荷と統制上のリスクを生みます。B は、共有アカウントでは AWS CloudTrail のログから誰が操作したのか特定できず、監査証跡の要件を満たせないため不適切です。C は、長期のアクセスキーを人に配る運用であり、そもそも設問が求めているマネジメントコンソールへのサインインを実現できません。
AWS Organizations で複数のアカウントを運用し、従業員 ID は外部 ID プロバイダーで管理しています。アカウントごとに IAM ユーザーを作らず、1 つの ID でサインインして割り当てられたアカウントと権限にだけアクセスさせる最適な方法はどれですか。
解説を読む（正解: B）
AWS IAM Identity Center (旧 AWS Single Sign-On) は、AWS Organizations 配下の複数アカウントとビジネスアプリケーションに対するアクセスを一元管理するサービスです。ID ソースとして Identity Center 内蔵のディレクトリ、Active Directory、あるいは SAML 2.0 対応の外部 ID プロバイダーを選べ、フェデレーションによって従業員は社内 ID のまま AWS アクセスポータルにサインインできます。付与する権限は「許可セット」として定義し、どのユーザー/グループにどのアカウントで適用するかをマッピングするだけでよいため、アカウント数が増えても運用負荷が線形に増えません。実体としてはサインインのたびに一時的な認証情報が発行され、長期アクセスキーが不要になる点も重要です。入退社時は ID プロバイダー側で 1 か所を変更すれば全アカウントに反映されるため、B が要件に最も合致します。A はアカウント数 × 従業員数の IAM ユーザーを維持する運用となり、削除漏れによる退職者アカウントの残存という典型的なリスクを生みます。C はルートユーザーの共有であり、操作者の特定が不可能になるうえアカウント全体を危険にさらすため、いかなる場合も避けるべきです。D は長期アクセスキーを人数分・アカウント分ばらまくことになり、失効管理も監査も破綻します。フェデレーションと一時認証情報の活用が、マルチアカウント環境における最小権限実装の基本です。