도메인 3(인프라 보안, ~20%)과 도메인 4(IAM, ~16%)는 시험에서 가장 점수 비중이 큰 묶음이다. 둘의 관계는 명확하다 — 인프라 보안은 "어디로 갈 수 있는가(네트워크 경로)"를, IAM은 "무엇을 할 수 있는가(권한)"를 통제한다. Specialty 답안은 거의 항상 *"네트워크 경계로 막고, 최소 권한 IAM으로 다시 막는다"*는 이중 통제를 요구한다. 오늘은 이 두 차원을 하나의 접근 통제 모델로 묶는다.
두 도메인이 합쳐 36%다. 결합 형태는 대략 여섯 가지로 수렴한다.
| 결합 형태 | 지문의 모양 | 답이 놓이는 자리 |
|---|---|---|
| 경로 차단형 | "이 트래픽만 통과시켜라" | SG / NACL / Endpoint 정책 / Network Firewall |
| 프라이빗 접근형 | "인터넷을 거치지 않고" | Gateway vs Interface Endpoint |
| 유출 방지형 | "우리 VPC·조직 밖으로 못 나가게" | Endpoint 정책 + aws:SourceVpce + SCP/RCP |
| 권한 판정형 | "왜 AccessDenied인가 / 왜 통과하는가" | 정책 평가 순서 6~7층 |
| 위임형 | "누구에게 어떻게 권한을 주는가" | AssumeRole·External ID·Identity Center·Roles Anywhere |
| 자격증명 배치형 | "키를 어디에 두는가" | 역할(인스턴스 프로파일/IR |