DEA-C01：AWS Certified Data Engineer - Associate データセキュリティとガバナンス 問8
データセキュリティとガバナンス／認可メカニズムの適用アプリやパイプラインが参照する設定値（エンドポイント名やパラメータ。一部は機密）を、コードから分離して一元的に管理・参照したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（DEA-C01：AWS Certified Data Engineer - Associateの出題範囲「データセキュリティとガバナンス」に対応。実際の試験問題ではありません）
- Aすべての設定値をコードにハードコードする
- B設定値を S3 に平文で置いて各自が参照する
- C設定値を DynamoDB に平文で保存して参照する
- DAWS Systems Manager Parameter Store に設定値を保管し、機密値は SecureString で暗号化して参照する
正解：D
解説
AWS Systems Manager Parameter Store は、設定値やパラメータをコードから分離して一元管理でき、機密値は SecureString として KMS で暗号化して保管・参照できます。ハードコードや S3/DynamoDB への平文保存は、管理性・機密性の点で不適切です（なお頻繁なローテーションが必要なシークレットは Secrets Manager が適します）。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。ハードコードは変更管理・機密保護の点で不適切です。
- B誤り。S3 への平文保存は機密値の保護になりません。
- C誤り。DynamoDB への平文保存も機密値の保護になりません。
- D正しい。Parameter Store で設定値を一元管理し、機密値は SecureString で暗号化して参照できます。