DVA-C02：AWS Certified Developer - Associate アプリケーションのセキュリティ 問14
アプリケーションのセキュリティ／AWS サービスによる暗号化の実装大きなデータを AWS KMS で暗号化する際、データ本体を KMS に直接送らずに効率よく暗号化し、鍵の安全性も保ちたい。この仕組みはどれか。
当サイトのオリジナル問題（DVA-C02：AWS Certified Developer - Associateの出題範囲「アプリケーションのセキュリティ」に対応。実際の試験問題ではありません）
- Aデータ本体をそのまま KMS へ送って暗号化してもらう
- Bデータを暗号化せず KMS に保存する
- Cエンベロープ暗号化（KMS でデータキーを生成し、そのデータキーでデータ本体を暗号化、データキー自体は KMS キーで暗号化して保存する）
- D各サーバーのローカルに鍵を平文保存する
正解：C
解説
エンベロープ暗号化は、KMS でデータキー（平文と暗号化済みのペア）を生成し、平文データキーでデータ本体を暗号化したうえで、暗号化済みデータキーをデータと一緒に保存する方式です。大きなデータを KMS に直接送らず効率よく暗号化でき、鍵の安全性も保てます。本体を直接KMSへ送る・暗号化しない・鍵の平文保存は不適切です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。KMSは大きなデータ本体を直接暗号化する用途ではなく、データキー経由が標準です。
- B誤り。KMSはデータストアではなく、暗号化せず保存するものではありません。
- C正しい。データキーで本体を暗号化しデータキーをKMSキーで保護するのがエンベロープ暗号化です。
- D誤り。鍵の平文保存は重大なリスクです。