DVA-C02：AWS Certified Developer - Associate アプリケーションのセキュリティ 問13
アプリケーションのセキュリティ／AWS サービスによる暗号化の実装S3 の保管時暗号化（SSE）の方式のうち、暗号化キーのアクセス制御（キーポリシー）と使用監査（CloudTrail）を AWS 上で細かく行いたい場合に適した方式はどれか。
当サイトのオリジナル問題（DVA-C02：AWS Certified Developer - Associateの出題範囲「アプリケーションのセキュリティ」に対応。実際の試験問題ではありません）
- ASSE-S3（S3 が管理するキーで暗号化し、キーの細かな制御はしない）
- BSSE-KMS（AWS KMS のキーで暗号化し、キーのアクセス制御・監査を細かく行える）
- CSSE-C（顧客が提供するキーを毎回渡す方式）
- D暗号化せずバケットポリシーだけで保護する
正解：B
解説
SSE-KMS は AWS KMS のキーで S3 を保管時暗号化し、キーのアクセス制御（キーポリシー）や使用の監査（CloudTrail）を細かく行えます。SSE-S3 は S3 管理キーで簡便ですが制御の余地が小さく、SSE-C は顧客がキーを毎回渡す方式で運用負担が大きく、バケットポリシーは暗号化ではありません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。SSE-S3はS3管理キーで、キーのアクセス制御・監査を細かく行えません。
- B正しい。キーの制御・監査が要るならSSE-KMSです。
- C誤り。SSE-Cは顧客がキーを毎回渡す方式で、キー管理の運用負担が大きくなります。
- D誤り。バケットポリシーはアクセス制御で、保管時暗号化そのものではありません。