SAA-C03：AWS Certified Solutions Architect - Associate セキュアなアーキテクチャの設計 問17
セキュアなアーキテクチャの設計／適切なデータセキュリティ制御の決定S3 と EBS の保管データを暗号化するにあたり、暗号化キーの作成・ローテーション・アクセス制御を自分たち（顧客）で細かく管理したい。最も適したキーの種類はどれか。
当サイトのオリジナル問題（SAA-C03：AWS Certified Solutions Architect - Associateの出題範囲「セキュアなアーキテクチャの設計」に対応。実際の試験問題ではありません）
- AAWS 管理キー（AWS managed key。AWS が自動管理し顧客は細かく制御できない）
- B暗号化せず S3 のバケットポリシーだけで保護する
- C各 EC2 のローカルディスクにキーを平文保存する
- DAWS KMS のカスタマー管理キー（customer managed key。顧客がキーポリシーやローテーションを制御できる）
正解：D
解説
AWS KMS のカスタマー管理キー（customer managed key）は、顧客がキーポリシー・付与・ローテーション（自動/手動）・無効化などを細かく制御でき、監査要件や鍵管理要件に適します。AWS 管理キーは AWS が自動管理で制御の余地が小さく、バケットポリシーは暗号化ではなく、キーの平文保存は論外です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。AWS管理キーはAWSが自動管理で、顧客がキーポリシーやローテーションを細かく制御できません。
- B誤り。バケットポリシーはアクセス制御で、保管データの暗号化そのものではありません。
- C誤り。キーの平文保存は重大なセキュリティリスクです。
- D正しい。キーの制御・ローテーションを顧客が管理するのはカスタマー管理キーです。