AWS IAMでは、RBAC（Role-Based Access Control）とABAC（Attribute-Based Access Control）の2つの主要なアクセス制御方式を提供しています。

RBACは固定的なロールに基づくアクセス制御で、ABACは動的な属性（タグ）に基づくアクセス制御です。資格試験では、環境の変化頻度とスケーラビリティ要件から適切な方式を選択することが重要です。

AWS資格試験では、以下のキーワードから適切なアクセス制御方式を判断します。動的・スケーラブル・頻繁な変更・自動拡張などのキーワードが出てきた場合はABACを選択し、固定的・シンプル・明確な役割が強調されている場合はRBACを選択します。

一般的に、ABACとRBACを直接比較する場面では、現代的なクラウド環境の要件によりABACが選択されるケースが多くなっています。スケーラビリティと柔軟性が重視される環境では、ABACの動的な制御が適しているためです。

ABACとRBACの選択問題を3つのカテゴリに分けて解説します。各問題では、環境の特性から適切なアクセス制御方式を判断する思考プロセスを体験できます。

問題を解く際は、環境の変化頻度、管理負荷の許容度、スケーラビリティ要件の3つの観点から分析することを意識してください。

ABAC（属性ベースアクセス制御）は、タグを活用した動的なアクセス制御により、新規プロジェクト追加時にもポリシー変更なしで自動的にスケールします。頻繁な変更・動的環境・管理負荷最小化が求められる場合に最適です。

RBAC（ロールベースアクセス制御）は、固定的なロールによるシンプルなアクセス制御で、安定した組織構造・明確な役割分担がある環境に適しています。

資格試験では、環境の変化頻度とスケーラビリティ要件から判断することがポイントです。「スケーラブル」「自動拡張」「最小限の管理作業」などのキーワードが出てきた場合は、迷わずABACを選択しましょう。

実装時は、PrincipalTag（ユーザー・ロールのタグ）とResourceTag（リソースのタグ）の両方を活用し、条件キー「${aws:PrincipalTag/Project}」「${aws:ResourceTag/Environment}」を組み合わせることで、細粒度のアクセス制御を実現できます。