DEA-C01：AWS Certified Data Engineer - Associate データセキュリティとガバナンス 問6
データセキュリティとガバナンス／認証メカニズムの適用ETL ジョブが使用するデータベースの認証情報を、コードや設定に直書きせず安全に保管し、定期的に自動ローテーションしたいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（DEA-C01：AWS Certified Data Engineer - Associateの出題範囲「データセキュリティとガバナンス」に対応。実際の試験問題ではありません）
- A認証情報をジョブのスクリプトに平文でハードコードする
- BAWS Secrets Manager に認証情報を保管し、対応するデータベース向けの自動ローテーションを有効化して、実行時に取得させる
- C認証情報を S3 に暗号化せずに置き、URL を知る人だけが使う
- D認証情報を CloudWatch Logs に出力して共有する
正解：B
解説
AWS Secrets Manager は、データベース認証情報などを暗号化して保管し、対応するデータベース向けの自動ローテーションを提供します。実行時に API で取得させれば、コードや設定への直書きを避けられます。平文のハードコードや S3 への無暗号化保管、ログ出力は漏えいリスクが高く不適切です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。平文ハードコードは漏えいリスクが高く、ローテーションもできません。
- B正しい。Secrets Manager に保管し自動ローテーションを有効化すれば、安全に管理・取得できます。
- C誤り。S3 への無暗号化保管と URL 頼みのアクセスは重大な漏えいリスクです。
- D誤り。CloudWatch Logs への認証情報出力は漏えいリスクを高めます。