第6章 · セキュリティとコンプライアンス·v2.2.0·更新 2026/6/28·読了目安 約10分
変更要約: in-scope サービス網羅(是正): Network Firewall 節に Web 保護の AWS WAF（L7・SQLi/XSS/レート制限の IaC 適用）を追加（参考書で未説明だった軸B欠落を解消）
6.1ID とシークレットの管理
この節の要点
パイプラインと実行環境の認可——IAM ロール、一時認証情報、Secrets Manager／Parameter Store、OIDC フェデレーション——を理解します。長期キーを排し、最小権限で安全に動かします。
DevOps の自動化は強い権限を扱います。長期キーを避け、ロールと一時認証情報、シークレット管理で安全に運用します。
6.1.1認可とシークレット
- IAM ロール＋一時認証情報：サービスはロールで動作し、長期アクセスキーを埋め込まない。
- Secrets Manager：DB パスワードや API キーを保管し、自動ローテーションに対応。
- Parameter Store（SecureString）：設定値や軽量な機密を一元管理（KMS で暗号化）。
- OIDC フェデレーション：外部 CI（GitHub Actions 等）がキーなしでロールを引き受ける。
試験ポイント
「サービスは IAM ロール＋一時認証情報（長期キー禁止）」「ローテーション必須の機密＝Secrets Manager」「設定/軽量機密＝Parameter Store（SecureString）」「外部 CI からのキーレス認可＝OIDC フェデレーション」 は DOP-C02 で頻出です。GitHub Actions から AWS へは OIDC でロールを引き受けるのが定石です。